Medusa-ransomwaregroep overschrijdt 500 slachtoffers sinds 2021

Een ransomware-operatie die bekend staat als Medusa is inmiddels in verband gebracht met meer dan 500 aanvallen sinds de groep voor het eerst opdook in juni 2021, volgens een recent rapport. De groep heeft zijn reputatie opgebouwd met een dubbel-afpersingsmodel: het versleutelen van de gegevens van een slachtoffer terwijl ook wordt gedreigd gestolen bestanden openbaar te maken als er geen losgeld wordt betaald. Die één-tweetje heeft Medusa tot een van de hardnekkigste ransomware-as-a-service-operaties gemaakt die door beveiligingsonderzoekers de afgelopen jaren zijn gevolgd.

Wat Medusa opmerkelijk maakt, is niet alleen de lange levensduur. Het is het scala aan sectoren dat de groep heeft weten te ontwrichten, van bedrijfsnetwerken tot kritieke publieke diensten, en de gevolgen in de echte wereld die volgen wanneer een aanval slaagt.

De ziekenhuisaanval die de menselijke kosten toont

Een van de meest ontwrichtende incidenten van Medusa was een aanval op het University of Mississippi Medical Center in februari 2026. De inbraak veroorzaakte een systeemstoring van negen dagen die het medisch centrum dwong poliklinieken te sluiten en terug te vallen op papiergebaseerde administratie terwijl de systemen werden hersteld. De aanvallers zouden naar verluidt een losgeld van $800.000 hebben geëist.

Dit soort incidenten illustreert waarom ransomware tegen zorgaanbieders zoveel aandacht trekt van toezichthouders en veiligheidsdiensten. Wanneer ziekenhuissystemen offline gaan, blijven de gevolgen niet beperkt tot IT-afdelingen. Patiëntplanning, toegang tot medische dossiers en dagelijkse klinische werkzaamheden kunnen allemaal tot stilstand komen, en personeel moet improviseren met papieren formulieren totdat de systemen weer online zijn. Voor patiënten kan dat betekenen: uitgestelde afspraken, langere wachttijden en onzekerheid over de vraag of hun persoonlijke gezondheidsgegevens in het proces zijn blootgesteld.

Dubbel-afpersingstactieken voegen een extra risicolaag toe naast operationele uitval. Zelfs als een organisatie haar systemen kan herstellen vanuit back-ups en kan voorkomen dat er losgeld wordt betaald, kunnen gestolen gegevens alsnog worden gepubliceerd of verkocht als niet aan de eisen van de groep wordt voldaan. Dat betekent dat patiënten, werknemers of klanten die verbonden zijn aan een getroffen organisatie lang na het verdwijnen van de krantenkoppen over de initiële storing het risico lopen op identiteitsdiefstal of fraude.

Waarom Medusa blijft groeien

Het uithoudingsvermogen van Medusa komt neer op een bekende ransomware-as-a-service-structuur. In plaats van te opereren als een enkele strak gecontroleerde groep, stelt Medusa's model affiliates in staat de ransomware in te zetten in ruil voor een deel van de losgeldbetalingen. Deze franchise-achtige aanpak stelt de operatie in staat snel op te schalen en nieuwe doelen in verschillende sectoren te treffen zonder dat de kerngroep zelf elke inbraak hoeft uit te voeren.

Zoals we eerder in onze berichtgeving over de Medusa-ransomware-update die 500+ getroffen organisaties volgt hebben beschreven, hebben federale cybersecurity-agentschappen waaronder CISA, de FBI en het Department of Health and Human Services gezamenlijk waarschuwingen uitgegeven over de tactieken van de groep. Dat soort gecoördineerde federale aandacht is doorgaans een signaal dat een ransomwaregroep is gegroeid van een nichebedreiging naar een bedreiging die sectoren kan ontwrichten die belangrijk zijn voor de openbare veiligheid, waaronder de gezondheidszorg, de maakindustrie en andere kritieke infrastructuur.

Het feit dat het aantal slachtoffers van Medusa blijft stijgen in plaats van af te nemen, suggereert dat veel organisaties nog steeds kwetsbaar zijn voor de initiële toegangsmethoden waar de groep en haar affiliates op vertrouwen, of dat nu phishing is, het misbruiken van ongepatchte software of het misbruiken van zwakke inloggegevens voor externe toegang.

Wat dit voor jou betekent

De meeste mensen zullen niet rechtstreeks worden geviseerd door een groep als Medusa, maar de rimpelingseffecten bereiken gewone gebruikers vaker dan het lijkt. Als je een patiënt, klant of werknemer bent van een organisatie die wordt getroffen, kunnen je persoonlijke gegevens (medische dossiers, financiële details, inloggegevens) worden blootgesteld, zelfs als je nooit rechtstreeks met de aanvallers in contact komt.

Het toenemende tempo van deze aanvallen is ook een herinnering dat ransomware geen incidentele kop is. Het is een doorlopend, opgeschaald crimineel bedrijfsmodel, en zorgaanbieders in het bijzonder blijven aantrekkelijke doelen omdat uitval daar urgente druk creëert om te betalen.

Praktische aanbevelingen

Hoewel je niet kunt controleren of jouw ziekenhuis, werkgever of dienstverlener wordt geviseerd, kun je wel je eigen blootstelling verminderen:

  • Let op meldingen van datalekken. Als een organisatie waar je mee te maken hebt een incident meldt, volg dan snel hun advies over kredietbewaking of het opnieuw instellen van wachtwoorden.
  • Gebruik unieke, sterke wachtwoorden voor elk account, vooral zorgportalen en financiële diensten, zodat een inbreuk bij één aanbieder niet doorslaat naar andere.
  • Schakel multi-factorauthenticatie in waar het wordt aangeboden, want het blijft een van de meest effectieve verdedigingen tegen de op inloggegevens gebaseerde aanvallen die ransomwaregroepen vaak hun eerste toegang geven.
  • Houd persoonlijke apparaten gepatcht en up-to-date, omdat ransomware-affiliates vaak misbruik maken van bekende softwarekwetsbaarheden om toegang te krijgen.

Medusa's klim voorbij 500 slachtoffers is een ontnuchterend gegeven, maar het is ook een oproep om proactief te blijven in plaats van gealarmeerd. Ransomwaregroepen gedijen op ongepatchte systemen en hergebruikte inloggegevens, beide zaken waar individuen en organisaties vandaag al iets aan kunnen doen.