CISA cifra en más de 500 las organizaciones de infraestructura crítica afectadas por Medusa

19 de agosto de 2026. La Cybersecurity and Infrastructure Security Agency (CISA) informó de que el grupo de ransomware Medusa ha vulnerado a más de 500 organizaciones de infraestructura crítica en Estados Unidos desde junio de 2021. El dato figura en una alerta conjunta elaborada con el Department of Health and Human Services (HHS) y el Federal Bureau of Investigation (FBI).

Según las tres agencias federales, a abril de 2026 los actores de Medusa habían afectado a más de 500 víctimas en varios sectores considerados críticos. Entre ellos se encuentran Healthcare and Public Health, Defense Industrial Base, Critical Manufacturing, Government Services and Facilities, Information Technology y Financial Services.

El aviso también identifica víctimas en los ámbitos médico, educativo, jurídico, asegurador, tecnológico y manufacturero. La cifra supone un incremento respecto al informe conjunto publicado en marzo de 2025, que estimaba en más de 300 las organizaciones de infraestructura crítica afectadas por la operación.

CISA, HHS y el FBI recomiendan a los responsables de defensa de redes adoptar medidas para reducir la exposición a los ataques de Medusa. Entre sus indicaciones figura la corrección de vulnerabilidades de seguridad que puedan permitir la explotación de sistemas operativos, software y firmware.

Las agencias también aconsejan segmentar las redes para limitar los movimientos laterales después de una intrusión y bloquear el acceso desde orígenes no confiables a los servicios remotos disponibles en sistemas internos. Estas recomendaciones forman parte de las medidas de protección incluidas en la actualización de la alerta conjunta.

La operación de ransomware Medusa apareció en enero de 2021, aunque su actividad aumentó en 2023 tras el lanzamiento de un sitio de filtraciones denominado Medusa Blog. Desde entonces, el grupo comenzó a utilizar los datos robados como elemento de presión para exigir el pago de rescates.

Medusa comenzó como una variante de ransomware de carácter cerrado y posteriormente evolucionó hacia un modelo Ransomware-as-a-service (RaaS) basado en afiliados. De acuerdo con el aviso, sus desarrolladores suelen recurrir a initial access brokers (IABs) en foros y mercados de ciberdelincuencia para obtener acceso inicial a posibles víctimas.

La documentación de las agencias indica que estos afiliados pueden recibir ofertas de pago de entre 100 dólares y un millón de dólares, además de la posibilidad de trabajar en exclusiva para Medusa. El modelo amplía la capacidad operativa de la banda al distribuir entre distintos participantes las tareas de acceso inicial y ejecución de los ataques.

La operación obtuvo notoriedad en marzo de 2023, cuando afirmó haber atacado al distrito Minneapolis Public Schools (MPS) y publicó un vídeo con una muestra de los datos supuestamente robados. La alerta actualiza la evaluación de su impacto y sitúa el número de organizaciones afectadas por encima del umbral de 500.

La información procede de la noticia publicada por BleepingComputer: CISA: Medusa ransomware hit over 500 critical infrastructure orgs.

Fuente: BleepingComputer