Medusaランサムウェア、500超の組織に影響：入口対策だけでは不十分

脆弱性の修正に加え、侵入後の横展開を止める備えが必要

米CISAの更新情報によると、Medusaランサムウェアの影響は医療、製造、政府など500超の組織に拡大しています。Janusが、横展開を抑えるマイクロセグメンテーションと最小権限の考え方を解説します。2026年8月18日、米CISA、FBI、HHSは共同勧告を更新しました。2026年4月時点で、Medusaに関連する攻撃者の影響を受けた組織は500を超え、医療、政府、国防産業、重要製造、IT、金融など幅広い分野に及んでいます。

ニュースの要点：影響を受けた組織は500超

2026年8月18日、米国サイバーセキュリティ・社会基盤安全保障庁（CISA）、連邦捜査局（FBI）、保健福祉省（HHS）は、Medusaランサムウェアに関する共同勧告を更新しました。勧告によると、2026年4月時点でMedusaに関連する攻撃者の影響を受けた組織は500を超えています。2025年3月の勧告では300超とされており、その後も攻撃が継続し、影響が広がっていることが分かります。

対象分野は、医療・公衆衛生、政府機関、国防産業、重要製造、IT、金融、化学、通信、エネルギー、食品・農業、運輸、水道など多岐にわたります。すべての事案で生産停止が起きたという意味ではありませんが、可用性、レガシー機器、事業継続が重視される環境にもリスクが及んでいることは確かです。

各機関は、既知の脆弱性へのパッチ適用、ネットワーク分割、リモートサービスへのアクセス制限を推奨しています。いずれも重要ですが、ランサムウェア対策を入口防御だけで終わらせることはできません。侵入された後に何が起きるかまで想定しておく必要があります。

攻撃は速い。侵入後すぐに内部経路を探し始める

Microsoftは、Medusaランサムウェアを展開する攻撃者の一つとして「Storm-1175」を追跡しています。観測された事例では、すでに修正プログラムが公開されている既知の脆弱性、いわゆるN-day脆弱性が侵入口として悪用されていました。Microsoftによると、侵入から数日以内、場合によっては24時間以内に横展開が始まることがあります。

侵入後には、ローカルまたはドメインアカウント、リモート監視・管理ツール、窃取した認証情報、RDP、PsExec、PowerShell、PDQ Deploy、グループポリシー、Rcloneなどが利用され、資産の探索、権限拡大、データ持ち出し、ランサムウェア展開が進められます。暗号化と情報窃取を組み合わせることで、業務停止と情報公開の脅迫を同時に突きつける二重恐喝につながります。

ただし、これはStorm-1175に関する観測であり、Medusaの全事例や500超の組織すべてに当てはまる説明ではありません。各被害組織の侵入経路、停止時間、データ損失は十分に公開されていないため、未確認の部分を推測するべきではありません。

最も怖いのは1台の侵害ではなく、環境全体への波及

1台の端末が侵害されたからといって、必ず大規模な業務停止に至るわけではありません。被害の大きさを左右するのは、攻撃者が認証基盤、ファイルサーバー、バックアップ、エンジニアリング端末、管理サービス、さらにITとOTをつなぐ経路へ、どれだけ容易に到達できるかです。

内部接続が広く許可されていると、侵害された1台が次の攻撃の足場になります。しかも攻撃者は、正規のアカウントや管理ツールを使うことがあります。そのため、異常な動きが日常の運用通信に紛れ込み、被害が進むまで気づきにくいという問題があります。

パッチ適用は欠かせません。しかし、それだけでは十分ではありません。ネットワーク内部の不要な信頼関係と到達可能性も減らす必要があります。製造、医療、重要インフラの現場では、セキュリティ強化そのものが業務を止めないよう、慎重に導入することも重要です。

Janusの視点：入口の侵害を前提に、内部の影響範囲を小さくする

現実的な対策は、次の3つから始められます。

1. 実際の内部通信を把握する。

どの資産が、どのサービスを使って、どこへ通信しているのかを確認します。その通信が業務上本当に必要かを見極めることで、通常運用と不要な露出を区別しやすくなります。

2. 東西トラフィックを最小権限で制御する。

各システムが役割上必要とする接続だけを許可します。端末が侵害されても、サーバー、他の端末、管理ゾーンへの不要な経路が開いたままにならない状態を目指します。

3. ポリシー変更は段階的に進める。

実際の通信状況をもとに、適用前にポリシーを確認します。レガシー機器や変更に弱いアプリケーションがある環境では、段階的な導入が運用リスクの低減につながります。

netKeeperの活用：通信の可視化から最小権限へ

Janus CyberのnetKeeperは、資産と通信関係の把握、ネットワーク経路の可視化、最小権限に基づくマイクロセグメンテーションポリシーの設計を支援します。これにより、横展開を抑え、1台の侵害が環境全体へ波及する範囲を小さくするための、より管理しやすい進め方を支援できます。

IT、OT、レガシー機器、専用機器が混在する環境では、単にルールを増やすことが目的ではありません。依存関係を理解するための手作業を減らし、十分な状況把握に基づいてポリシーを変更できることに価値があります。netKeeperは多層防御の一要素であり、パッチ適用、ID管理、エンドポイント保護、バックアップ、監視、インシデント対応に代わるものではありません。

まとめ：侵入を防げるかだけでなく、侵入後にどこまで進めるかを問う

今回のMedusaに関する更新は、ランサムウェアのリスクが特定の業界や一つの脆弱性だけの問題ではないことを改めて示しています。侵入後の速さと内部への到達範囲によって、被害が一部で収まるか、事業全体の危機になるかが変わります。問うべきなのは「侵入を防げるか」だけではなく、「侵入された場合、攻撃者はどこまで進めるのか」です。

現在のネットワークで、ランサムウェアの横展開を許す可能性がある通信経路を把握したい場合は、Janus Cyberにご相談ください。資産間通信の把握と最小権限評価から始められます。

---

CISA / FBI / HHS｜#StopRansomware: Medusa Ransomware（2026年8月18日更新)

Microsoft Threat Intelligence｜Storm-1175 focuses gaze on vulnerable web-facing assets in high-tempo Medusa ransomware operations（2026/04/06）

BleepingComputer｜CISA: Medusa ransomware hit over 500 critical infrastructure orgs（2026/08/19）

編集注：本稿は、公的機関の勧告とMicrosoftによる特定の攻撃者に関する公開観測を確認したうえで作成しています。各被害組織の侵入経路、停止時間、データ損失は十分に公開されていないため、推測は行っていません。製品に関する記述はJanus Cyberの防御上の提案であり、本件の被害環境にnetKeeperが導入されていたことを示すものではありません。