O anúncio recente da CISA (Agência de Segurança de Cibersegurança e Infraestrutura dos EUA) de que o ransomware Medusa comprometeu mais de 500 organizações de infraestrutura crítica desde junho de 2021 expõe uma verdade desconfortável para o setor corporativo: as defesas tradicionais não estão acompanhando a sofisticação e a escala dos ataques. O crescimento de 66% no número de vítimas em apenas um ano, comparando os relatórios de março de 2025 e abril de 2026, segundo a CISA e o FBI, desmonta a crença de que medidas básicas de segurança e monitoramento são suficientes para conter ameaças avançadas.

O caso Medusa não é apenas mais um episódio isolado de ransomware. Ele revela um padrão de vulnerabilidade em setores estratégicos, com implicações diretas para a continuidade operacional, a reputação e a viabilidade financeira de empresas que dependem de sistemas digitais críticos. A análise cruzada dos alertas publicados pela CISA, em conjunto com o Departamento de Saúde e Serviços Humanos dos EUA e o FBI, e repercutidos por veículos como Bleeping Computer e TugaTech, mostra um cenário em que a ameaça evolui mais rápido do que a resposta das organizações.

Escalada dos ataques e setores mais afetados

De acordo com a atualização mais recente da CISA, reportada tanto pelo Bleeping Computer quanto pelo TugaTech, o grupo Medusa já impactou mais de 500 entidades de infraestrutura crítica nos EUA até abril de 2026. Em março de 2025, esse número era de aproximadamente 300, o que indica uma aceleração significativa nas operações do grupo.

Os setores mais atingidos, conforme consenso das duas fontes, incluem:

• Saúde e Saúde Pública
• Base Industrial de Defesa
• Manufatura Crítica
• Serviços Governamentais e Instalações
• Tecnologia da Informação
• Serviços Financeiros

Além desses, foram citadas vítimas nos ramos de educação, jurídico, seguros e tecnologia. O caso de maior repercussão foi o ataque ao distrito das Escolas Públicas de Minneapolis, em março de 2023, quando dados exfiltrados foram divulgados publicamente, segundo o TugaTech.

Como o Medusa opera: evolução e modelo de negócios

O Medusa surgiu em janeiro de 2021, mantendo-se discreto até 2023, quando lançou o chamado “Medusa Blog” para expor dados roubados e pressionar vítimas a pagar resgates. O grupo evoluiu de uma variante fechada para um modelo de Ransomware como Serviço (RaaS), no qual recruta afiliados, conhecidos como corretores de acesso inicial, em fóruns e marketplaces do submundo digital.

Segundo a CISA, citada pelo Bleeping Computer, os pagamentos oferecidos a esses afiliados variam de 100 a 1 milhão de dólares, com incentivos para exclusividade. O TugaTech complementa que essa estratégia de recrutamento permitiu ao grupo ampliar rapidamente sua capacidade de ataque e diversificar alvos.

Um ponto de confusão recorrente, destacado por ambas as fontes, é a existência de outras ameaças com o nome Medusa, incluindo um malware para Android (TangleBot) e uma botnet baseada em Mirai. No entanto, a operação de ransomware Medusa é distinta do MedusaLocker, sendo fundamental diferenciar corretamente cada ameaça para evitar respostas inadequadas.

Falhas de prevenção: o que acontece após a invasão inicial

O relatório da CISA expõe um dado alarmante: uma vez que os atacantes obtêm credenciais válidas, apenas 37% das ações maliciosas subsequentes são bloqueadas. Isso significa que o grosso das defesas corporativas, projetadas para barrar acessos externos, se mostra ineficaz quando o invasor já está dentro da rede.

Esse cenário é agravado pela tendência de os ataques explorarem vulnerabilidades conhecidas em sistemas operacionais, softwares e firmwares, muitas vezes já documentadas e com correções disponíveis. A incapacidade de manter a infraestrutura atualizada e segmentada cria brechas que facilitam o movimento lateral dos criminosos e a escalada de privilégios.

Segundo as recomendações conjuntas da CISA, FBI e Departamento de Saúde dos EUA, é fundamental:

• Corrigir rigorosamente vulnerabilidades em sistemas e aplicações
• Implementar segmentação de rede para limitar o movimento pós-invasão
• Bloquear acessos de origens não confiáveis a serviços remotos internos

Essas medidas, embora básicas, continuam sendo negligenciadas em grande parte das organizações atingidas, segundo os relatórios oficiais.

Contra-argumentos e limitações das informações disponíveis

Apesar da contundência dos dados apresentados pelas autoridades americanas, há limitações e pontos de incerteza. O próprio relatório da CISA reconhece que o nome Medusa é utilizado por diferentes operações criminosas, o que pode gerar ambiguidade na contabilização dos incidentes. Além disso, não há detalhamento público sobre o perfil das organizações atingidas, nem sobre o valor total dos resgates pagos ou o impacto financeiro agregado.

Outro ponto de debate é a eficácia das recomendações técnicas. Especialistas do setor, embora não citados diretamente nas fontes, frequentemente argumentam que apenas reforçar controles básicos não é suficiente diante de adversários que já operam com acesso privilegiado. O relatório do Bleeping Computer destaca que “prevenção cai drasticamente após o acesso inicial”, sugerindo que a resposta deve ir além da simples atualização de sistemas.

Por fim, não há consenso sobre a real extensão dos danos fora dos EUA. As fontes analisadas limitam-se ao contexto americano, sem dados sobre a propagação do Medusa em outros países ou setores industriais.

Implicações para empresas: o que muda na gestão de risco e continuidade

Para organizações que operam em setores críticos ou que dependem de sistemas digitais para suas atividades-fim, o caso Medusa reforça a necessidade de revisar urgentemente as estratégias de segurança, especialmente no que diz respeito à segmentação de redes, gestão de credenciais e monitoramento de acessos internos.

No contexto brasileiro, e particularmente em polos industriais como Manaus, onde cadeias produtivas inteiras dependem de disponibilidade contínua de sistemas e comunicação entre unidades, a lição é clara: a exposição a ataques de ransomware não é uma questão de “se”, mas de “quando”. A aceleração do Medusa nos EUA serve de alerta para empresas locais, que muitas vezes subestimam a sofisticação dos grupos internacionais e a velocidade com que modelos como o RaaS podem ser replicados em qualquer lugar do mundo.

Além disso, a dependência de fornecedores de tecnologia e a integração com parceiros globais aumentam o risco de contaminação cruzada, tornando insuficiente qualquer abordagem de segurança que não seja pensada de ponta a ponta, com redundância, resposta rápida e capacidade de isolamento de incidentes.

O que ainda não se sabe e próximos passos para a infraestrutura corporativa

Apesar do detalhamento dos ataques, permanece uma zona cinzenta sobre o impacto real em operações de médio e grande porte, o tempo médio de recuperação e as lições aprendidas pelas vítimas. Não há informações públicas sobre o percentual de empresas que conseguiram restaurar operações sem pagar resgates, nem sobre a eficácia de planos de contingência já existentes.

Para quem decide em empresas ou órgãos públicos, o recado é inequívoco: depender apenas de controles perimetrais e de atualizações periódicas não basta diante de adversários que exploram credenciais internas e se movem lateralmente com agilidade. O desafio agora é estruturar redes segmentadas, com monitoramento contínuo e capacidade de resposta local, especialmente em regiões industriais estratégicas como Manaus, onde a interrupção de serviços críticos pode gerar perdas em escala nacional.

O avanço do Medusa mostra que o elo mais fraco não está apenas na porta de entrada, mas em toda a cadeia de conectividade interna. A próxima onda de ataques vai testar não só a robustez dos firewalls, mas a capacidade de cada empresa de isolar falhas, manter operações críticas ativas e recuperar-se rapidamente de incidentes. Quem não estiver preparado para segmentar, monitorar e reagir localmente pode descobrir tarde demais que a infraestrutura digital já foi comprometida.