Le rançongiciel Medusa dépasse 500 victimes : ce que signifie l’avis actualisé de la CISA, du FBI et du HHS

Un cap qu’aucun défenseur ne voulait voir

Medusa n’est plus une menace émergente — c’est une entreprise d’extorsion mûre et industrialisée. Dans une mise à jour d’avis conjoint publiée mi-août 2026, la Cybersecurity and Infrastructure Security Agency américaine, le Federal Bureau of Investigation et le Department of Health and Human Services ont confirmé que les acteurs de Medusa ont désormais compromis plus de 500 organisations dans des secteurs d’infrastructures critiques. Le résumé de la mise à jour par l’American Hospital Association a acté cette actualisation le 19 août 2026, ajoutant de nouveaux détails sur les tactiques du groupe contre les hôpitaux.

Le chiffre de 500 victimes compte pour ce qu’il représente : non pas une seule brèche spectaculaire, mais un pipeline régulier et reproductible de compromissions. Medusa est apparu pour la première fois en juin 2021 comme une opération fermée et, selon les informations sur l’avis rapportées par Cyber Security News, est passé à un modèle de ransomware-as-a-service (RaaS) vers 2023 — les développeurs principaux louent désormais la charge utile à des affiliés en échange d’une part des gains. Cette structure est précisément ce qui permet aux comptes de victimes de grimper dans les centaines : les développeurs mettent l’outillage à l’échelle tandis qu’une distribution tournante d’affiliés fait l’intrusion.

Comment Medusa entre réellement

Le contenu le plus actionnable de l’avis n’est pas le nombre de victimes — c’est le schéma d’attaque. Les affiliés de Medusa s’appuient sur deux voies d’entrée bien connues : des campagnes d’hameçonnage pour voler des identifiants, et l’exploitation de vulnérabilités logicielles connues et non corrigées. Le groupe a exploité à répétition des CVE publiques : le reportage de Cyber Security News sur l’avis cite CVE-2024-1709, une faille de contournement d’authentification dans ConnectWise ScreenConnect, et CVE-2023-48788, une vulnérabilité d’injection SQL dans FortiClient EMS de Fortinet, parmi les vulnérabilités exploitées. Les deux sont corrigeables, les deux sont documentées, et les deux continuent d’être exploitées parce que des organisations n’ont pas appliqué les correctifs.

La vitesse est le facteur distinctif. Les agences notent que les affiliés de Medusa se mettent à exploiter les vulnérabilités nouvellement divulguées en quelques heures — parfois avant que les défenseurs aient fini de lire le bulletin de l’éditeur. Une fois à l’intérieur, les opérateurs utilisent des techniques de « vie sur le terrain » (living-off-the-land) et détournent des outils légitimes de gestion à distance comme AnyDesk et Atera pour se fondre dans le trafic normal, et déploient dans certains cas des pilotes noyau vulnérables ou volés pour désactiver les logiciels de détection et réponse sur les terminaux (EDR) avant que le chiffrement commence.

Le mode opératoire de la double extorsion

Medusa applique un schéma de double extorsion : les affiliés exfiltrent des données sensibles avant de chiffrer les systèmes, puis menacent de publier les données volées sur un site de fuite si la victime ne paie pas. Cela donne à l’attaquant deux leviers — le levier « restaurez vos fichiers » et le levier « ne laissez pas fuiter vos données » — et neutralise la meilleure défense contre le rançongiciel classique, à savoir une sauvegarde propre. Une sauvegarde restaure vos opérations ; elle ne fait rien pour empêcher la publication des dossiers de vos patients, clients ou employés.

La mécanique financière est punitive. Le reportage de Cyber Security News sur l’avis décrit des courtiers en accès initial payés de 100 à 1 million de dollars pour des identifiants d’entreprise valides, des demandes de rançon atteignant jusqu’à 15 millions de dollars, et des paiements moyens proches de 260 000 dollars — les victimes disposant généralement d’une fenêtre de négociation de 48 heures via des canaux Tor ou Tox. Ce sont des estimations tirées de l’avis et de sa couverture plutôt que des totaux audités, mais la fourchette signale une opération professionnalisée dotée d’un modèle tarifaire, non du vandalisme opportuniste. Le résumé par Paubox de la directive fédérale actualisée cadre l’actualisation spécifiquement autour de la hausse du ciblage de la santé.

Pourquoi la santé continue d’être frappée

Les hôpitaux sont surreprésentés parmi les victimes de Medusa, et la raison est structurelle. Les organisations de santé exploitent de grandes flottes de dispositifs médicaux hérités et spécialisés difficiles à corriger, fonctionnent 24 heures sur 24 si bien que l’interruption est intolérable, et détiennent exactement le type de données sensibles qui rend la double extorsion efficace. Lorsqu’un affilié de Medusa chiffre les systèmes d’un hôpital, la pression à payer se mesure non en dollars mais en interventions retardées et en ambulances déroutées.

L’avis conjoint #StopRansomware : Medusa (AA25-071A) publié par la CISA fait référence à un incident de 2026 dans lequel Medusa a revendiqué une attaque contre un centre de traumatologie de niveau 1, perturbant la prise en charge des soins — un rappel que le rançongiciel contre la santé est une question de sécurité des patients, pas simplement un problème informatique. L’éducation, le juridique, l’assurance, l’industrie et la technologie complètent la liste des cibles, mais c’est la focalisation sur la santé qui a conduit le HHS à co-signer la mise à jour.

Ce que cela signifie pour les équipes de sécurité

L’avis se lit comme une liste de contrôle parce que les défenses contre Medusa sont connues — elles sont simplement inégalement appliquées. Les organisations qui traitent les points suivants comme des disciplines opérationnelles, et non comme des projets ponctuels, réduisent matériellement leur exposition.

1. Corriger les systèmes exposés à Internet à l’échelle de l’heure, pas de la semaine

L’avantage de Medusa est d’exploiter des CVE connues avant que les défenseurs corrigent. Inventoriez chaque service exposé à Internet — passerelles d’accès à distance, appliances de transfert de fichiers, concentrateurs VPN, instances ScreenConnect et FortiClient EMS — et engagez-vous sur des délais de correctif d’urgence mesurés en heures pour les failles activement exploitées. Si vous ne pouvez pas corriger immédiatement, mettez le service hors ligne ou placez-le derrière des contrôles d’accès supplémentaires jusqu’à ce que vous le puissiez.

2. Rendre les sauvegardes hors ligne, immuables et testées — en supposant l’exfiltration malgré tout

Conservez au moins une copie de sauvegarde hors ligne ou immuable pour qu’un affilié ne puisse pas la chiffrer ou la supprimer, et testez la restauration selon un calendrier. Mais parce que Medusa vole les données avant de chiffrer, les sauvegardes seules sont insuffisantes : réduisez le rayon d’impact en minimisant les données sensibles que vous conservez et en segmentant les réseaux pour qu’un seul identifiant compromis ne puisse pas tout atteindre.

3. Imposer une MFA résistante à l’hameçonnage et surveiller les outils de gestion à distance

Exigez une authentification multifacteur — idéalement résistante à l’hameçonnage et adossée au matériel — sur chaque compte d’accès à distance et à privilèges, puisque les identifiants volés sont un vecteur d’entrée majeur. Traitez ensuite AnyDesk, Atera et outils similaires comme des signaux forts : alertez sur tout logiciel de gestion à distance installé hors de votre référentiel approuvé, car Medusa détourne les outils légitimes précisément pour éviter de déclencher la détection.

4. Décider à l’avance de votre position sur la rançon et répéter la réponse

Ne prenez pas la décision de payer ou non sous un compte à rebours de 48 heures. Convenez à l’avance — avec le juridique, la direction et, le cas échéant, les régulateurs — de votre position, de vos obligations de notification et de qui a l’autorité d’agir. Répétez le plan de réponse aux incidents afin que, lorsque l’EDR s’éteint et que les fichiers commencent à se chiffrer, l’équipe exécute un plan au lieu d’improviser.

La leçon structurelle

Le nombre qui devrait inquiéter les défenseurs n’est pas 500 — c’est « en quelques heures ». Le succès de Medusa repose presque entièrement sur un arbitrage temporel : l’écart entre le moment où une vulnérabilité devient publique et celui où l’organisation moyenne la corrige. Toutes les autres tactiques de l’avis, de la mise à l’échelle RaaS aux pilotes noyau qui tuent l’EDR, ne sont que de l’amplification. Comblez l’écart temporel et vous retirez au groupe sa principale porte d’entrée.

Pour un pays comme l’Algérie, où hôpitaux, ministères et institutions financières se numérisent rapidement, l’avis est un avant-goût plutôt qu’un bulletin étranger. Les opérations RaaS sont indifférentes à la géographie ; un affilié exploitant une CVE publique ne vérifie pas d’abord le drapeau de la cible. Les organisations qui s’en sortent le mieux face aux menaces de la classe Medusa ne sont pas celles aux plus gros budgets de sécurité — ce sont celles qui corrigent vite, sauvegardent hors ligne, et ont déjà décidé ce qu’elles feront le pire jour. Cette discipline est accessible à toute institution, quel que soit le budget, dès aujourd’hui.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Agencies Issue Update on Medusa Ransomware Activity — American Hospital Association
• CISA, FBI Warn Medusa Ransomware Hackers Steal Data and Encrypt Networks — Cyber Security News
• #StopRansomware: Medusa Ransomware (AA25-071A) — CISA
• Feds Update Guidance on Medusa Ransomware After Healthcare Attacks — Paubox