Punti di forza
- Il documento informativo federale aggiornato descrive le nuove tattiche e tecniche di Medusa, oltre a riportare più di 500 vittime in diversi settori delle infrastrutture critiche.
- Gli autori degli attacchi non prendono di mira solo i dati di produzione, ma compromettono anche i backup, i sistemi di gestione delle identità, quelli di virtualizzazione e altri sistemi da cui le organizzazioni dipendono per la Recovery.
- L’avviso esorta le organizzazioni a dimostrare la propria resilienza attraverso test e verifiche rispetto ai comportamenti osservati degli aggressori, senza limitarsi a darla per scontata sulla base dei soli piani o del corretto funzionamento delle operazioni di backup.
L’ultimo avviso federale sul ransomware Medusa è stato aggiornato per un motivo ben preciso:L’avversario è cambiato.
La regola di backup 3-2-1avviso federale aggiornato, pubblicato il 18 agosto 2026 dall’FBI, dalla Cybersecurity and Infrastructure Security Agency (CISA) e dal Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS), descrive un avversario che recluta nuovi broker di accesso, agisce più rapidamente una volta penetrato all’interno e è diventato più abile nell’assicurarsi che il danno causato sia irreversibile.
L’attacco non è rivolto solo ai tuoi dati
Gli autori degli attacchi Medusa agiscono rapidamente. Gli investigatori riferiscono che gli autori degli attacchi Medusa hanno sfruttato gli exploit appena resi noti entro 24 ore e, in alcuni casi, li hanno utilizzati fino a una settimana prima della divulgazione pubblica delle vulnerabilità.
Una volta entrati, si mimetizzano utilizzando strumenti legittimi di gestione remota, il furto di credenziali e tecniche “living-off-the-land”.
Ma la conclusione più significativa della relazione è cheMedusa attacca il percorso di Recovery stesso.
Il documento di orientamento attribuisce questa attività aTecnica MITRE ATT&CK T1490, Impedire la Recovery del sistema. Il documento illustra come il ransomware interrompa i servizi relativi a backup, sicurezza, database, comunicazioni, condivisione di file e siti web. Inoltre, elimina le copie shadow e spegne e crittografa da remoto le macchine virtuali.
Se un aggressore prende deliberatamente di mira i sistemi, le identità e l’infrastruttura che un’organizzazione potrebbe dover ripristinare, il problema va oltre la protezione dei dati e riguarda la resilienza informatica e il Recovery.
Il ruolo delle ResOps (Resilience Operations)
ResOps non è semplicemente un altro termine per indicare il backup. Si tratta di una disciplina operativa che riunisce sicurezza, IT, infrastrutture, applicazioni, operazioni e attività aziendali attorno a un unico obiettivo: garantire il funzionamento dei servizi critici e ripristinarli entro i tempi che l’azienda è in grado di tollerare.
Il documento di Medusa non utilizza mai il termine “ResOps”, ma il concetto è chiaro. Raccomanda alle organizzazioni di esercitarsi, testare e convalidare i propri programmi di sicurezza alla luce dei comportamenti osservati negli attacchi, di allineare le tecnologie di sicurezza alle tecniche di attacco, di testarle su larga scala, di misurarne le prestazioni e di ottimizzare il personale, i processi e le tecnologie sulla base dei dati raccolti.
Un backup non dimostra che il sistema sia integro. Un obiettivo di tempo di Recovery riportato in un foglio di calcolo non dimostra che l’azienda sarà operativa entro tale intervallo di tempo. La resilienza deve passare dall’ipotesi alla prova concreta.
Inizia dall’azienda, non dal server
L’aggiunta dell’HHS nella nota informativa rende la questione particolarmente rilevante per il settore sanitario, che secondo l’FBI è stato spesso preso di mira da Medusa. Il dibattito sul Recovery parte da tre domande:
- Cosa deve continuare a funzionare e in cosa consiste un funzionamento minimo sostenibile?
- Quali identità, applicazioni, infrastrutture e dati sono alla base di tali servizi?
- Di quali punti di Recovery possiamo fidarci e quali dati vengono ripristinati per primi?
In un ospedale, lasciare una qualsiasi di queste domande senza risposta può comportare un ritardo nell’intervento chirurgico, l’impossibilità per un farmacista di verificare un dosaggio o un sistema diagnostico di cui un medico non può fidarsi. Nessun team è in grado di rispondere da solo a tutte queste domande, ed è proprio questa lacuna che ResOps è stato progettato per colmare.
Usa Medusa per verificare le tue ipotesi
Utilizzate Medusa come caso di prova per le ipotesi relative al Recovery. Un malintenzionato può accedere ai sistemi che supportano il Recovery? Cosa succede se Active Directory viene compromessa? Siete in grado di identificare un punto di Recovery integro, ripristinare i servizi critici nell’ordine corretto e dimostrare quanto tempo ci vorrà?
Gli autori delle minacce si adattano quando i difensori si adattano. I programmi di resilienza devono funzionare allo stesso modo: continuamente testati, continuamente convalidati e continuamente migliorati.
Perché nel bel mezzo di un incidente è davvero il momento peggiore per scoprire che il piano di Recovery sembrava migliore sulla carta di quanto non funzioni nella realtà.
Domande frequenti
D: Che cos’è il ransomware Medusa?
R:Medusa è un’operazione di tipo “ransomware-as-a-service” individuata per la prima volta nel 2021. I suoi sviluppatori e affiliati utilizzano un modello di doppia estorsione, crittografando i sistemi e minacciando di rendere pubblici i dati rubati qualora non venga pagato il riscatto.
D: Perché è stato aggiornato l’avviso federale su Medusa?
R:L’aggiornamento di agosto 2026 include i risultati delle indagini dell’FBI condotte fino ad aprile 2026. Amplia la documentazione relativa a tattiche, tecniche, procedure, vulnerabilità sfruttate, attività degli affiliati e indicatori di compromissione, aggiungendo al contempo le analisi dell’HHS sugli attacchi contro il settore sanitario.
D: In che modo Medusa mette a rischio le capacità di Recovery di un’organizzazione?
R:Medusa è in grado di interrompere i servizi relativi a backup, sicurezza, database, comunicazioni e altre funzioni critiche. Può inoltre eliminare le copie shadow, modificare le politiche relative all’identità e spegnere o crittografare le macchine virtuali, mettendo a rischio il percorso di ripristino stesso.
D: Cosa dovrebbero fare le organizzazioni per contribuire a ridurre il rischio Medusa?
R:Le organizzazioni dovrebbero correggere tempestivamente le vulnerabilità note, segmentare le reti, limitare l’accesso ai servizi remoti, rafforzare l’autenticazione, monitorare i movimenti laterali e applicare il principio del privilegio minimo. Dovrebbero inoltre conservare copie di Recovery separate, offline, crittografate e immutabili e testare regolarmente i flussi di lavoro di Recovery.
D: Che cos’è ResOps e in cosa si differenzia dal backup?
R:ResOps, ovvero le operazioni di resilienza, è una disciplina operativa interfunzionale — non un prodotto di backup. Coordina sicurezza, IT, infrastrutture, applicazioni, operazioni, continuità operativa e responsabili di business con l’obiettivo di ripristinare i servizi critici entro i limiti di interruzione che l’azienda è in grado di tollerare.
D: In che modo un’organizzazione può dimostrare di essere pronta a riprendersi?
R:Iniziate dai servizi aziendali critici, mappate le identità, le applicazioni, l’infrastruttura, i dati, le persone e le terze parti da cui dipendono, e definite cosa si intende per “Recovery riuscito”. Successivamente, conducete esercitazioni realistiche che identifichino punti di Recovery validi, ripristinino i servizi nell’ordine corretto, misurino il tempo di Recovery effettivo e trasformino eventuali lacune in un elenco di miglioramenti da attuare.
Chris Bevilè responsabile principale del marketing di portafoglio presso Commvault.