Medusa: Il Ransomware che Sfrutta Zero-Day e Colpisce in 24 Ore — Dall'Ospedale agli Uffizi

Il 6 aprile 2026, Microsoft ha pubblicato un'analisi che ridefinisce il livello di minaccia del ransomware Medusa. Il gruppo — attivo dal 2021 e già responsabile dell'attacco alle Gallerie degli Uffizi di Firenze a febbraio 2026 — sta sfruttando vulnerabilità zero-day fino a una settimana prima della loro divulgazione pubblica, e completando l'intera catena di attacco in sole 24 ore. Non è più il ransomware "lento" che dà tempo ai difensori di reagire: è un'operazione ad alta velocità che sfrutta la finestra tra la scoperta di una vulnerabilità e l'applicazione della patch.

Zero-Day Prima della Disclosure: Il Vantaggio Temporale di Medusa

Microsoft ha documentato due CVE specifiche sfruttate da Medusa prima della divulgazione pubblica: CVE-2026-23760, una vulnerabilità critica in SmarterMail, e CVE-2025-10035, una falla in GoAnywhere Managed File Transfer. In entrambi i casi, Medusa ha weaponizzato le vulnerabilità circa una settimana prima che diventassero pubbliche, con CISA che ha confermato il loro utilizzo in attacchi ransomware. Questo indica che il gruppo ha accesso a intelligence sulle vulnerabilità attraverso canali underground, broker di exploit, o capacità di ricerca interna — un livello di sofisticazione fino a poco tempo fa riservato agli APT statali.

Da Accesso Iniziale a Ransomware in 24 Ore

Microsoft riporta casi in cui gli operatori Medusa completano l'intero ciclo di attacco — accesso iniziale, creazione di account persistenti, movimento laterale, esfiltrazione dati e deployment del ransomware — in sole 24 ore. La media si attesta sui 5-6 giorni, ma la capacità di comprimere l'operazione in un giorno dimostra un livello di automazione e preparazione eccezionale. Gli attaccanti creano immediatamente nuovi account utente per mantenere la persistenza, rendendo insufficiente la semplice rotazione delle credenziali compromesse.

Gli strumenti utilizzati sono deliberatamente "legittimi": ConnectWise ScreenConnect, AnyDesk e SimpleHelp — software di gestione remota che molte organizzazioni hanno già in uso o che non vengono bloccati dai filtri di sicurezza. Questa scelta tattica rende il rilevamento estremamente difficile: il traffico generato è indistinguibile da quello di un amministratore di sistema che esegue manutenzione remota.

Le Vittime: Sanità, Cultura, Istruzione

Il profilo delle vittime confermate è allarmante. L'University of Mississippi Medical Center e la Passaic County nel New Jersey sono tra le vittime più recenti. Ma il quadro si estende globalmente: Australia, Regno Unito e Stati Uniti sono le aree geografiche più colpite. I settori primari sono sanità, istruzione, servizi professionali e finanza — esattamente i settori con la superficie di attacco più ampia e spesso con i budget di sicurezza più limitati.

In Italia, Medusa è già stato responsabile dell'attacco alle Gallerie degli Uffizi di Firenze il 1° febbraio 2026, che ha paralizzato i sistemi amministrativi del museo più visitato del paese. Lo stesso giorno, La Sapienza di Roma è stata colpita. Questi attacchi confermano che le istituzioni culturali e accademiche italiane sono nel mirino di Medusa, e che il gruppo non discrimina tra un ospedale americano e un museo fiorentino — colpisce chiunque sia vulnerabile.

Il Profilo del Gruppo: Russia, Corea del Nord, o Entrambi?

L'attribuzione di Medusa è complessa. Gli analisti valutano che il gruppo operi dalla Russia sulla base di tre indicatori: l'evitamento sistematico di obiettivi nei paesi della Comunità degli Stati Indipendenti (CSI), l'attività su forum russofoni, e la presenza di script in cirillico negli strumenti operativi. Tuttavia, una ricerca recente di Symantec ha rivelato un elemento sorprendente: membri del gruppo nordcoreano Lazarus hanno deployato ransomware Medusa in almeno un caso documentato.

Il Contesto: FBI Riporta $17,6 Miliardi di Perdite Cyber nel 2025

L'escalation di Medusa si inserisce in un quadro macroscopico documentato dal rapporto annuale dell'FBI IC3: nel 2025, le perdite da frodi cyber-enabled hanno raggiunto i 17,6 miliardi di dollari — con il ransomware che ha generato 3.611 reclami per oltre 32 milioni di dollari di perdite dirette (in aumento rispetto ai 12 milioni del 2024). L'FBI ha identificato 63 nuove varianti ransomware nel 2025, con 14 dei 16 settori di infrastrutture critiche statunitensi colpiti. Il ransomware non è più un rischio IT: è un rischio sistemico per la sicurezza nazionale.

Particolarmente allarmante è la crescita delle perdite legate alle criptovalute: 11,3 miliardi di dollari nel solo 2025. Le frodi basate su AI hanno generato 893 milioni di dollari attraverso 22.000 segnalazioni. Questi numeri confermano che il cybercrime sta attraversando una fase di industrializzazione, con attori come Medusa che operano con la struttura, la disciplina e l'efficienza di un'azienda — non di un gruppo di hacker improvvisati.

Raccomandazioni Operative

1. 1.Patch management con priorità assoluta: Medusa sfrutta la finestra pre-patch. Implementare patching automatico per sistemi critici e monitorare gli advisory CISA per vulnerability note prima ancora che le CVE siano assegnate.
2. 2.Audit degli strumenti di accesso remoto: verificare tutte le installazioni di ConnectWise, AnyDesk e SimpleHelp nella rete. Rimuovere le istanze non autorizzate e monitorare quelle legittime per pattern anomali.
3. 3.Monitoraggio della creazione di account: Medusa crea account utente immediatamente dopo l'accesso iniziale. Implementare alert su qualsiasi creazione di account non autorizzata, specialmente fuori orario lavorativo.
4. 4.Segmentazione della rete e backup offline: in uno scenario di 24 ore dall'accesso al ransomware, la segmentazione è l'unica difesa che può limitare l'impatto. I backup devono essere offline e testati regolarmente.
5. 5.Protezione delle comunicazioni interne: l'esfiltrazione dei dati avviene prima del deployment del ransomware. Cifrare le comunicazioni critiche end-to-end riduce il valore dei dati esfiltrati.
6. 6.Verifica conformità NIS2: la direttiva impone obblighi specifici di gestione del rischio, notifica degli incidenti e continuità operativa. Le sanzioni raggiungono i 10 milioni di euro. Il tempo per la compliance è adesso.

Conclusione

Medusa rappresenta l'evoluzione più pericolosa del ransomware nel 2026: un gruppo che combina intelligence sulle vulnerabilità pre-disclosure con velocità operativa estrema e targeting indiscriminato di sanità, cultura e istruzione. La possibile convergenza con operatori nordcoreani aggiunge un livello di complessità che rende l'attribuzione e la risposta più difficili. Per ogni organizzazione italiana — dagli ospedali ai musei, dalle università alla PA — la domanda non è se Medusa colpirà, ma quando. E con 24 ore dall'accesso al ransomware, il "quando" può essere oggi.