CISA: Ransomware Medusa Menyerang Lebih dari 500 Organisasi Infrastruktur Kritis
Cybersecurity and Infrastructure Security Agency (CISA) mengungkap bahwa kelompok ransomware Medusa telah membobol lebih dari 500 organisasi infrastruktur kritis di Amerika Serikat sejak operasi tersebut mulai aktif pada 2021.
Informasi tersebut disampaikan CISA bersama Department of Health and Human Services (HHS) dan Federal Bureau of Investigation (FBI) melalui advisory keamanan bersama yang memperbarui laporan sebelumnya mengenai aktivitas Medusa.
Menurut data hingga April 2026, lebih dari 500 korban dari berbagai sektor infrastruktur kritis telah terdampak operasi ransomware tersebut. Jumlah ini meningkat signifikan dibandingkan laporan Maret 2025 yang memperkirakan Medusa telah menyerang lebih dari 300 organisasi.
Menargetkan Berbagai Sektor Infrastruktur Kritis
Serangan Medusa tidak terbatas pada satu jenis industri. CISA, HHS, dan FBI menyebut korban tersebar di berbagai sektor yang dianggap penting bagi operasional dan keamanan nasional Amerika Serikat.
Sektor yang terdampak mencakup Healthcare and Public Health, Defense Industrial Base, Critical Manufacturing, Government Services and Facilities, Information Technology, serta Financial Services.
Selain sektor tersebut, organisasi dari bidang medis, pendidikan, hukum, asuransi, teknologi, dan manufaktur juga menjadi korban.
Besarnya cakupan sektor yang diserang menunjukkan bahwa Medusa tidak menjalankan operasi yang hanya berfokus pada target tertentu. Kelompok tersebut dapat mengejar organisasi dengan karakteristik dan infrastruktur yang berbeda selama memiliki peluang untuk mendapatkan akses dan keuntungan finansial.
Medusa Aktif Sejak 2021
Operasi ransomware Medusa pertama kali muncul pada Januari 2021. Namun, aktivitas kelompok tersebut baru meningkat secara signifikan pada 2023.
Pada periode tersebut, Medusa mulai mengoperasikan situs kebocoran data atau leak site dan menggunakan data hasil pencurian sebagai tekanan tambahan terhadap korban.
Model tersebut dikenal sebagai double extortion, ketika attacker tidak hanya mengenkripsi data korban, tetapi juga mengancam akan mempublikasikan data yang telah dicuri apabila tuntutan tebusan tidak dipenuhi.
Medusa awalnya beroperasi sebagai ransomware yang relatif tertutup. Seiring perkembangan operasinya, kelompok tersebut berubah menjadi model Ransomware-as-a-Service (RaaS) dengan sistem berbasis affiliate.
Menggunakan Initial Access Brokers
Dalam model RaaS, pengembang ransomware tidak harus melakukan seluruh tahapan serangan sendiri.
Menurut advisory tersebut, pengembang Medusa biasanya merekrut Initial Access Brokers (IABs) melalui forum dan marketplace cybercrime untuk mendapatkan akses awal ke target potensial.
Affiliate yang bekerja sama dengan Medusa bahkan dapat memperoleh pembayaran mulai dari sekitar 100 dolar AS hingga 1 juta dolar AS, tergantung pada peluang dan nilai akses yang ditawarkan.
Model ini memungkinkan Medusa memperluas operasi tanpa harus membangun seluruh jalur serangan dari awal. Pihak yang menyediakan akses awal dapat bekerja sama dengan operator ransomware, sementara proses selanjutnya seperti pencurian data, deployment ransomware, dan pemerasan dapat dilakukan oleh pihak lain dalam ekosistem tersebut.
CISA Minta Organisasi Memperkuat Pertahanan
Melihat jumlah korban yang terus meningkat, CISA, HHS, dan FBI meminta network defenders mengambil sejumlah langkah untuk mengurangi risiko serangan Medusa.
Salah satu prioritas utama adalah memastikan sistem operasi, software, dan firmware selalu mendapatkan security update yang tersedia. Vulnerability yang tidak ditambal dapat memberikan peluang bagi attacker untuk memperoleh initial access atau memperluas kendali setelah berhasil masuk ke jaringan.
Organisasi juga disarankan menerapkan network segmentation untuk membatasi kemampuan attacker melakukan lateral movement.
Dengan segmentasi yang tepat, kompromi terhadap satu sistem tidak otomatis memberikan akses luas ke sistem lain yang berada dalam jaringan yang sama.
Selain itu, akses dari sumber yang tidak dipercaya menuju remote services pada sistem internal juga perlu dibatasi. Langkah ini dapat membantu mengurangi jalur yang dapat digunakan attacker untuk mempertahankan akses maupun memperluas serangan.
Nama Medusa Sering Menimbulkan Kebingungan
Medusa ransomware juga perlu dibedakan dari beberapa malware dan operasi cybercrime lain yang menggunakan nama serupa.
Nama Medusa digunakan oleh berbagai malware family dan kelompok cybercrime, termasuk botnet berbasis Mirai yang memiliki kemampuan ransomware serta operasi Android malware-as-a-service yang dikenal sebagai TangleBot.
Karena penggunaan nama yang sama, laporan mengenai Medusa ransomware terkadang membingungkannya dengan MedusaLocker, padahal keduanya merupakan operasi yang berbeda.
Medusa ransomware yang dibahas dalam advisory CISA merupakan operasi cybercrime tersendiri yang menggunakan model RaaS dan telah menargetkan organisasi di berbagai sektor.
Menjadi Sorotan Setelah Serangan ke Sekolah Minneapolis
Operasi Medusa mulai mendapatkan perhatian luas pada Maret 2023 setelah kelompok tersebut mengklaim telah menyerang Minneapolis Public Schools (MPS).
Medusa kemudian mempublikasikan video yang diklaim memperlihatkan data hasil pencurian dari sistem sekolah tersebut.
Sejak saat itu, aktivitas kelompok ransomware tersebut semakin mendapat perhatian dari komunitas keamanan siber, terutama karena jumlah target dan cakupan industrinya terus berkembang.
Dengan lebih dari 500 organisasi infrastruktur kritis yang telah terdampak hingga April 2026, CISA menilai aktivitas Medusa sebagai ancaman yang perlu ditangani secara serius.
Bagi organisasi yang mengoperasikan sistem penting, penerapan patch keamanan, pembatasan remote access, network segmentation, dan penguatan kontrol akses menjadi langkah penting untuk mengurangi peluang Medusa maupun kelompok ransomware lainnya mendapatkan dan memperluas akses ke jaringan.
Sumber: [CISA]
