米国のCISA、FBI、保健福祉省（HHS）は、Medusaランサムウェアに関する共同勧告を更新し、重要インフラ分野を含む被害組織が500を超えたと報告しました。
今回の更新が示すのは、ランサムウェア本体だけを探す対策では遅いという現実です。
外部公開された業務製品の脆弱性、特権認証情報、正規の遠隔管理ツール、バックアップまでを一続きの攻撃経路として点検する必要があります。
更新されたMedusa警告の要点
CISAの共同サイバーセキュリティ勧告AA25-071Aは、2025年3月の初版にFBIの調査情報を追加し、2026年4月までに確認したMedusaの戦術、技術、手順と侵害指標を反映しました。
CyberScoopによる更新内容の報道では、勧告上の被害数が300超から500超へ増え、医療、製造、行政、ITなどの組織が影響を受けたと伝えています。
| 確認項目 | 更新情報 | 管理者が受け取るべき意味 |
|---|---|---|
| 調査対象期間 | FBIの調査情報は2026年4月まで | 公表日は新しくても、件数は現時点の世界全体を示す確定総数ではない |
| 被害規模 | 500組織超 | 特定業種だけの問題として扱わず、外部公開資産を持つ組織が点検する |
| 攻撃の形態 | RaaSと二重恐喝 | 暗号化への復旧だけでなく、窃取データへの対応も準備する |
RaaSは、ランサムウェアの開発者が攻撃基盤を提供し、提携する攻撃者が侵入や展開を担う犯罪モデルです。
MedusaはMedusaLockerや同名のモバイルマルウェアとは別系統であり、名称だけを頼りに検知結果をまとめると調査対象を誤ります。
公開直後の脆弱性が入口になる
更新勧告は、Medusaの攻撃者が新たに公表された脆弱性を24時間以内に悪用し、公開より前に悪用した事例も観測されたと説明しています。
その理由は、攻撃者が特定企業だけを狙うのではなく、未修正のインターネット公開製品を機会的に探し、侵入口として使うためです。
今回の勧告には、Fortra GoAnywhere MFTのCVE-2025-10035とBeyondTrust製品のCVE-2026-1731を使った侵入が追加されました。
| 脆弱性 | ベンダーが確認した影響 | 修正と確認 |
|---|---|---|
| CVE-2025-10035 | GoAnywhere MFTの管理コンソールをインターネットへ公開している環境が主なリスク対象 | Fortraの調査結果は修正を含む7.6.3と7.8.4を案内しており、管理監査ログの未知の管理者や予期しない動作も確認する |
| CVE-2026-1731 | Remote SupportとPrivileged Remote Accessの認証前リモートコード実行 | BeyondTrustのBT26-02に従い、パッチまたは修正版へ更新し、未修正のまま外部公開していた自己管理環境は侵害調査を行う |
表の版番号は各社が当該脆弱性を修正した時点の情報であり、運用では製品ポータルで現在のサポート版と追加勧告を確認してください。
自社製品だけでなく、保守会社やクラウド運用会社が管理する機器も棚卸しに含めないと、修正責任の空白が残ります。
侵入後は正規ツールが攻撃に使われる
Medusaの攻撃者は侵入後、PowerShell、RDP、遠隔監視管理（RMM）製品など、管理者も日常的に使う機能を横展開や遠隔操作に利用します。
その後に認証情報を窃取し、セキュリティ製品の停止や除外設定の追加で監視を弱め、データを外部へ持ち出してから暗号化する流れが報告されています。
既知のランサムウェアファイルが見つからないことは、「侵害されていない」ことの証明にはなりません。
正規ツールの実行でも、承認されていない端末、時間帯、管理者、接続先が組み合わさっていれば、調査すべき兆候になります。
管理者が優先する五つの対応
1．外部公開資産と担当者を同じ台帳にする
ファイル転送、VPN、遠隔支援、RMM、管理画面について、製品名、版、公開範囲、認証方式、保守担当、更新期限を一覧にします。
棚卸しの土台がない場合は、既存記事のWebシステムの脆弱性を見つける方法も点検項目の整理に使えます。
2．更新と同時に侵害の有無を調べる
修正前に侵入されていれば、パッチを適用しても作成済みのアカウント、盗まれた認証情報、設置された遠隔操作手段は残り得ます。
管理者の追加、認証履歴、RMMの導入履歴、Defenderなどの除外設定、ログ消去、外向きの大容量通信を、勧告の侵害指標と照合します。
3．特権認証と横展開を止める
遠隔管理と特権アカウントには多要素認証を適用し、共有アカウントを減らし、管理経路を許可済み端末と接続元に限定します。
ネットワーク分割は、最初に侵害された機器から認証基盤、バックアップ、仮想化基盤へ一気に到達される範囲を狭めます。
4．バックアップを本番の認証から切り離す
IPAの「情報セキュリティ10大脅威2026」組織編は、ネットワークから隔離した保管と、実際に復元できるかを含む定期検証を勧めています。
既存記事のクラウド時代のバックアップ設計と復旧運用を参考に、復旧時間と復旧時点を業務単位で試験してください。
5．初動の連絡先を平時に決める
侵害の疑いがある場合は、影響範囲を不用意に広げないよう対象を切り分け、ログやディスクなどの証拠を保全し、契約先の対応窓口と社内責任者へ連絡します。
国内では、JPCERT/CCのインシデント相談・情報提供窓口が、被害組織や運用保守会社から初動対応の相談を受け付けています。
個人情報や重要サービスへの影響がある場合は、所管官庁、警察、個人情報保護委員会などへの報告義務も組織の法務担当と確認してください。
編集部の見解：修正時間を経営指標にする
公開から悪用までの時間が短い攻撃では、脆弱性情報を受け取るだけの体制と、停止判断を含めて修正を完了できる体制の差が被害を分けます。
製品ごとの担当者、緊急変更の承認者、業務停止時の代替手順、復元試験の結果を経営側が定期的に確認すれば、技術部門だけに判断を抱え込ませずに済みます。
すべての侵入を防ぐという達成困難な目標より、入口を早く塞ぎ、侵害を見つけ、業務を戻せる時間を縮める運用に投資することが現実的です。
よくある質問
MedusaLockerと同じランサムウェアですか
同じではありません。
CISAとFBIの調査では、この記事で扱うMedusaはMedusaLockerおよび同名のモバイルマルウェアと別系統です。
対象製品を使っていなければ対応は不要ですか
今回追加された二つの脆弱性への個別対応は不要でも、Medusaは未修正の外部公開製品を機会的に狙うため、VPN、RMM、ファイル転送、管理画面の棚卸しは必要です。
パッチを適用すれば侵害調査は省けますか
省けません。
修正前に侵入された可能性がある環境では、永続化手段、追加アカウント、認証情報の窃取、セキュリティ設定の変更を確認する必要があります。
身代金を払えば復旧できますか
CISAとFBIは、支払いでデータ復旧が保証されず、犯罪活動を助長するおそれもあるとして、身代金の支払いを推奨していません。
判断を迫られた場合は、証拠を保全したうえで、法務、保険会社、捜査機関、インシデント対応の専門家へ早急に相談してください。
参照した一次情報と報道
- CISA、FBI、HHS：#StopRansomware Medusa Ransomware（AA25-071A）
- CyberScoop：更新勧告が示した被害規模と新たな戦術
- Fortra：CVE-2025-10035に関する調査結果
- BeyondTrust：BT26-02、CVE-2026-1731セキュリティ勧告
- IPA：情報セキュリティ10大脅威2026 組織編
- JPCERT/CC：インシデント相談・情報提供
- 株式会社greeden公式サイト：開発と保守・運用改善の支援範囲
この記事に関連する株式会社greedenの取り組み
脆弱性対応は、更新だけでなく権限設計、監視、復旧手順まで一つの運用として整える必要があります。株式会社greedenは、Webシステム開発で要件定義から保守・運用改善まで支援し、継続的に見直せる基盤づくりに伴走します。