ランサムウェア グループ Medusa（メデューサ）被害500組織超に拡大　CISA・FBIが警告、公開24時間以内に脆弱性を悪用

米サイバーセキュリティ・インフラセキュリティ庁（CISA）とFBIなどは2026年8月18日、ランサムウェア「Medusa」に関する共同アドバイザリを更新し、2026年4月時点で500を超える組織が被害を受けていると明らかにしました。2025年2月時点では300を超える被害組織が確認されており、公表上の被害規模は200組織以上増えたことになります。今回の更新では米保健福祉省（HHS）も共同発行機関に加わり、医療・公衆衛生分野への攻撃が特に警戒されています。

より注意すべきなのは、Medusaに関係する攻撃者が脆弱性情報の公開後、最短24時間程度で攻撃へ転用している点です。Microsoft Threat Intelligenceは、Medusaランサムウェアを展開する攻撃者「Storm-1175」が、通常は既知のN-day脆弱性を狙う一方、公開の約1週間前からゼロデイ脆弱性を悪用した事例も確認しています。

ただし、CISAやFBIはMedusaの攻撃者自身がゼロデイ脆弱性を開発しているとの証拠は示していません。外部から高度なエクスプロイトへのアクセスを得ている、または新たに公開された脆弱性を極めて短時間で攻撃へ転用している可能性が指摘されています。

Medusaランサムウェアのサマリー

• CISAのMedusaアドバイザリは2026年8月18日に更新されました。
• 2026年4月時点で、Medusaによる被害は500組織を超えています。CISAは医療・公衆衛生分野を含む重要インフラへの攻撃を警告しています。
• 2025年2月時点では300を超える被害組織が確認されており、その後公表上の被害規模が200組織以上増えています。
• Medusaに関連する攻撃者は、新たに公表された脆弱性を24時間以内に悪用する場合があります。
• Microsoftは、Storm-1175が公開約1週間前のゼロデイ脆弱性を悪用した事例も確認しています。
• 一方、Storm-1175は主としてN-day脆弱性を悪用しており、独自にゼロデイを開発しているとの確認はありません。
• Microsoftは2023年以降、Storm-1175が16件を超える脆弱性を悪用したことを確認しています。
• 初期侵入からデータ窃取、Medusaランサムウェア展開まで最短1日で進んだケースがあります。多くの攻撃は5～6日程度で進行しています。
• Medusaの攻撃者はAnyDesk、Atera、ConnectWise、N-able、BeyondTrust、SimpleHelp、Splashtopなど正規のリモート管理ツールも利用しています。
• Medusaはデータ窃取と暗号化を組み合わせる二重恐喝を行い、身代金支払い後に別の攻撃者から追加の支払いを要求された「三重恐喝」の可能性がある事例もFBIが確認しています。
• FBIなどは身代金の支払いを推奨しておらず、支払ってもデータ削除や復号を保証できないとしています。

項目	内容
脅威	Medusaランサムウェア
初確認	2021年6月
形態	Ransomware-as-a-Service（RaaS）
被害規模	2026年4月時点で500組織超
前回公表	2025年2月時点で300組織超
主な標的	医療・公衆衛生、教育、金融、専門サービスなど
特徴	公開直後のN-day脆弱性を高速に悪用
ゼロデイ	公開約1週間前から悪用した事例をMicrosoftが確認
侵害速度	最短1日で初期侵入からランサムウェア展開
恐喝	データ窃取＋暗号化による二重恐喝、三重恐喝の可能性も確認
主な防御策	外部公開資産の把握、迅速なパッチ適用、MFA、ネットワーク分離、RMM監視

Medusaの被害は300組織超から500組織超へ

CISAが2025年3月に初めて公開したMedusaの共同アドバイザリでは、2025年2月時点で300を超える重要インフラ組織などが影響を受けたとされていました。

2026年8月18日の更新では、2026年4月時点で被害組織が500を超えたことが明らかになっています。CISAの公式発信では、医療・公衆衛生分野を含むさまざまな重要インフラや業界で被害が発生しているとしています。

なお、「500組織超」という数字は、2025年2月以降の1年間だけで500組織が新たに攻撃されたことを意味するものではありません。

前回確認された累計300組織超から、2026年4月時点の累計500組織超へ増えたという意味であり、本稿では「200組織以上増加」と整理します。

今回の更新ではHHSも共同発行機関として加わりました。CISAは特にHealthcare and Public Health Sectorへの攻撃を繰り返し警告しており、Medusaが医療分野への攻撃を継続していることが更新の重要な背景となっています。

公開された脆弱性を最短24時間で攻撃へ転用

今回の更新で最も重要なのが、脆弱性悪用までの速度です。

CISAは、Medusaの攻撃者が新たに発表されたエクスプロイトを24時間以内に利用する場合があると警告しています。さらに、公開前の脆弱性を約1週間早く悪用した事例も確認されています。

MicrosoftはMedusaを展開する金銭目的の攻撃者を「Storm-1175」として追跡しています。

Microsoft Threat Intelligenceによると、Storm-1175は2023年以降、少なくとも16件を超える脆弱性を初期侵入などに利用しました。標的はMicrosoft Exchange、PaperCut、Ivanti Connect Secure、ConnectWise ScreenConnect、JetBrains TeamCity、SimpleHelp、CrushFTP、GoAnywhere MFT、SmarterMail、BeyondTrustなど、外部公開されることの多い製品に集中しています。

2025年にSAP NetWeaverの脆弱性CVE-2025-31324が公開された際には、翌日にStorm-1175による悪用が確認されました。

攻撃者側の「パッチが広く適用されるまでの時間」を狙う動きが、極端に高速化していることが分かります。

ゼロデイも悪用、ただし「Medusaが開発」とは確認されず

Storm-1175はN-dayだけでなく、少なくとも3件のゼロデイ脆弱性を悪用したこともMicrosoftによって確認されています。

具体例の一つがFortra GoAnywhere MFTのCVE-2025-10035です。

Microsoftは2025年9月11日から同脆弱性への悪用活動を確認しており、一般への脆弱性公開より前にStorm-1175が利用していました。

また、SmarterMailのCVE-2026-23760でも、Microsoftは一般公開の約1週間前から悪用を確認しています。

ただし、ここは「Medusaがゼロデイを開発できる」と断定しないことが重要です。

Microsoftは、Storm-1175の能力が向上した可能性や、エクスプロイトブローカーなど外部リソースへ新たにアクセスできるようになった可能性を示していますが、依然として攻撃の中心はN-day脆弱性です。

CISA/FBI側も、Medusaの攻撃者が独自にゼロデイやN-day脆弱性を開発していることを示す証拠はないとしています。

つまり、防御側が警戒すべきなのは「高度な脆弱性研究能力を持つランサムウェア集団」だけではありません。

脆弱性が発見・流通した後、攻撃者がそれを入手し、実環境の攻撃へ投入するまでの時間が非常に短くなっていることです。

関連記事：
GoAnywhereの脆弱性をランサムウェアグループMedusaが悪用、Microsoftが報告

初期侵入から暗号化まで「最短1日」

脆弱性悪用後の侵害速度も速くなっています。

Microsoftは、Storm-1175が初期侵入からMedusaランサムウェアを展開するまで最短1日で進んだケースを確認しています。多くの場合でも、一連の攻撃は5～6日程度で進行しています。

初期侵入後、攻撃者は新しいユーザーアカウントを作成して管理者グループへ追加し、PowerShellやPsExecなど正規のWindows機能やツールを利用して偵察・横展開を進めます。

RDPが利用できない場合には、管理者権限を取得した後にWindows Firewallの設定を変更してRDPを有効化した事例もMicrosoftが確認しています。

その後、認証情報の窃取、セキュリティ製品の無効化、データ窃取を経てMedusaが展開されます。

従来の「侵入を検知してから数日かけて調査・封じ込める」というインシデント対応速度では間に合わない可能性があります。

正規のリモート管理ツールを横展開や永続化に悪用

Medusaの特徴の一つが、企業でも通常利用されるリモート監視・管理（RMM）製品を攻撃へ転用する点です。

FBIは、Medusaの攻撃でAnyDesk、Atera、ConnectWise、eHorus、N-able、BeyondTrust、SimpleHelp、Splashtopなどが利用されたとしています。

MicrosoftもStorm-1175によるAtera、N-able、DWAgent、MeshAgent、ConnectWise ScreenConnect、AnyDesk、SimpleHelpなどの利用を確認しています。

正規のソフトウェアであるため、「RMMツールのプロセスが存在する」というだけでマルウェアと判定することは困難です。

企業側では、利用を許可しているRMM製品を明確に管理し、それ以外のリモート管理ソフトウェアがインストールされた場合に検知できるようにする必要があります。

Microsoftは、承認済みRMMではMFAなどのセキュリティ設定を有効化し、未承認のRMMが見つかった場合は導入に利用されたアカウントのパスワードをリセットし、特にSYSTEMレベルでインストールされた場合には追加調査を行うよう推奨しています。

認証情報を窃取し、バックアップやドメインまで侵害

侵入後には認証情報の窃取も行われます。

Microsoftは、Storm-1175がMimikatzやImpacketのほか、Windows Task Managerなど正規機能を利用してLSASSから認証情報を取得する活動を確認しています。CISAの更新版アドバイザリもMimikatzやWindows Task Manager、comsvcs.dllを利用したLSASSダンプを記載しています。

さらに管理者認証情報を取得した後、Veeamバックアップソフトウェアに保存された接続情報の取得や、Domain Controller上のNTDS.ditへのアクセスも確認されています。

この段階まで侵害が進むと、単一端末の隔離だけでは十分ではありません。

ドメイン管理権限、バックアップ環境、リモート管理基盤など、復旧に必要なシステムそのものが攻撃対象になります。

二重恐喝に加え「身代金をもう一度払え」と要求した事例も

Medusaはファイル暗号化だけでなく、事前にデータを窃取し、支払いがなければ公開すると脅す二重恐喝を利用します。Microsoftは、データの収集にBandizip、外部への転送にRcloneなどが使われることを確認しています。

FBIの調査では、さらに複雑な事例も確認されました。

ある被害組織が身代金を支払った後、別のMedusa関係者を名乗る人物から連絡があり、「最初の交渉担当者が身代金を持ち逃げした」と説明され、正規の復号ツールを提供するためとして、すでに支払った金額の半分をもう一度支払うよう要求された事例です。

CISA/FBIは、これについて三重恐喝の可能性、あるいはMedusa内部の統制不足や運用上の混乱を示す可能性があるとしています。

ランサムウェアの身代金を支払っても、攻撃者が窃取データを実際に削除したか確認する方法はありません。

FBIも身代金の支払いを推奨しておらず、支払ったとしてもデータの復旧を保証できないとしています。

Medusaはアフィリエイト型へ移行、初期アクセスを外部調達

Medusaは2021年に確認された当初、比較的閉じたランサムウェア運営でしたが、その後アフィリエイトを利用するRaaS型の運用へ移行しています。

CISA/FBIによると、経験の浅いアフィリエイトの場合、身代金交渉など重要な業務をMedusaの開発・運営側が集中管理することがあります。

また、Medusaはサイバー犯罪フォーラムなどを通じてInitial Access Broker（IAB）を募集し、初期アクセスの提供に対して100ドルから最大100万ドルを提示しているとCISAは説明しています。

これは、ランサムウェア攻撃を「一つの犯罪グループだけが最初から最後まで実行する」と考えることが難しくなっていることを示しています。

脆弱性を発見・入手する者、企業ネットワークへのアクセスを販売する者、横展開を行うアフィリエイト、ランサムウェアを開発する運営者、交渉担当者などが分業することで、個々の犯罪者が高度な能力を持たなくても大規模な攻撃を実行できる環境が形成されています。

情報システム・セキュリティ部門への示唆

今回のCISA/FBIの更新で最も重要なのは、「Criticalの脆弱性だから30日以内に対応する」といった従来のパッチ管理だけでは間に合わないケースが現実に確認されていることです。

Storm-1175は、新たに公開された脆弱性を24時間程度で悪用する場合があります。

企業では、まずインターネットから到達可能なVPN、ファイル転送製品、RMM、Webアプリケーション、メールサーバー、管理コンソールなどを継続的に把握する必要があります。

Microsoftも、インターネット公開システムの攻撃面を継続的に把握し、外部公開が不要なシステムはVPNなどのセキュアな境界内へ移すことを推奨しています。公開が必要な場合にはWAFやリバースプロキシ、DMZなどを利用して直接露出を減らすことを挙げています。

パッチ管理では、すべての脆弱性を同じSLAで処理するのではなく、

• インターネットへ公開されている
• 認証前に悪用可能
• RCEや認証バイパスにつながる
• 公開PoCやエクスプロイトが存在する
• CISA KEVへ掲載されている
• ランサムウェアグループによる悪用が確認されている

といった条件を満たすものについて、緊急適用できる例外プロセスを用意する必要があります。

CISAはMFA、とりわけフィッシング耐性のあるMFAの導入も推奨しています。ネットワークを分割し、侵入された端末から他のシステムへ容易に横展開できない構成にすることも重要です。

また、AnyDeskやAteraなど正規RMMを攻撃者も利用することから、EDRで「マルウェアだけ」を検知する運用では不十分です。

自社が許可している管理ツールをホワイトリスト化し、それ以外のRMM製品のインストール、突然のRDP有効化、新規管理者アカウント、LSASSへのアクセス、Rcloneなど大量データ転送ツールの実行を攻撃チェーンとして検知する必要があります。

Medusaの攻撃で示されているのは、パッチ公開から攻撃までの猶予が日単位から時間単位へ縮まりつつあることです。

「パッチが出たら次回メンテナンス日に適用する」という運用だけではなく、外部公開資産を常時把握し、悪用情報が出た時点で即座に遮断・緩和・更新できる体制が、ランサムウェア対策として必要になっています。

関連記事：
GoAnywhereの脆弱性をランサムウェアグループMedusaが悪用、Microsoftが報告

ランサムウェアグループINC Ransomとは―米保健福祉省とMITRE ATT&CKから分析

出典

• #StopRansomware: Medusa Ransomware – CISA
• Storm-1175 focuses gaze on vulnerable web-facing assets in high-tempo Medusa ransomware operations – Microsoft Threat Intelligence
• Investigating active exploitation of CVE-2025-10035 GoAnywhere Managed File Transfer vulnerability – Microsoft Threat Intelligence
• Ransomware – FBI
• More than 200 victims of Medusa ransomware identified over the last year, CISA says – The Record（起点記事）
• GoAnywhereの脆弱性をランサムウェアグループMedusaが悪用、Microsoftが報告 – セキュリティ対策Lab
• ランサムウェアグループINC Ransomとは―米保健福祉省とMITRE ATT&CKから分析 – セキュリティ対策Lab