Autoridades dos Estados Unidos atualizaram um alerta sobre o ransomware Medusa depois de o grupo ultrapassar a marca de 500 organizações atingidas em setores de infraestrutura crítica. O número chama atenção, mas não é a parte mais importante da história. Quando ransomware entra em hospitais, órgãos públicos, indústrias, empresas de tecnologia, instituições financeiras ou organizações ligadas à defesa, o problema deixa de ser apenas um computador bloqueado. O ataque pode interromper atendimento, produção, acesso a sistemas, serviços públicos e operações das quais milhares de pessoas dependem sem sequer saber que existe um servidor sustentando tudo aquilo.
O alerta conjunto da Cybersecurity and Infrastructure Security Agency, a CISA, do Federal Bureau of Investigation, o FBI, e do Departamento de Saúde e Serviços Humanos dos Estados Unidos, o HHS, foi revisado em 18 de agosto de 2026. Segundo as autoridades, até abril deste ano os operadores associados ao Medusa haviam impactado mais de 500 vítimas em diferentes setores de infraestrutura crítica dos Estados Unidos, incluindo saúde, base industrial de defesa, manufatura crítica, serviços e instalações governamentais, tecnologia da informação e serviços financeiros.
Outras vítimas identificadas incluem organizações médicas, educacionais, jurídicas, seguradoras, empresas de tecnologia e fabricantes. O crescimento também é relevante porque uma versão anterior do mesmo alerta apontava mais de 300 vítimas até fevereiro de 2025. Em pouco mais de um ano, a operação continuou ativa, ampliou técnicas e permaneceu capaz de explorar ambientes corporativos que deveriam estar entre os mais protegidos.
O Medusa mostra uma mudança que já deveria estar incorporada à maneira como governos e empresas pensam segurança. Infraestrutura crítica não é composta apenas por concreto, energia, água, combustível, antenas e cabos. Hoje ela depende de autenticação, servidores, redes, bancos de dados, sistemas de gestão, fornecedores de tecnologia, acesso remoto e software. Quando essa camada digital falha, o efeito pode sair da tela rapidamente.
O que aconteceu: CISA, FBI e HHS atualizaram em 18 de agosto de 2026 o alerta oficial sobre o ransomware Medusa.
Quantidade: mais de 500 organizações de infraestrutura crítica dos Estados Unidos haviam sido impactadas até abril de 2026.
Setores atingidos: saúde, defesa, manufatura crítica, governo, tecnologia da informação, finanças e outros setores empresariais.
Como a operação funciona: os criminosos podem obter acesso por phishing, credenciais comprometidas, corretores de acesso e exploração de vulnerabilidades ainda não corrigidas.
Por que importa: o objetivo não é apenas criptografar arquivos. Dados podem ser roubados antes da paralisação para aumentar a pressão sobre a vítima.
Para o Brasil: hospitais, prefeituras, escolas, indústrias e fornecedores também dependem de sistemas digitais e precisam tratar ransomware como risco de continuidade operacional.
O que mudou no alerta sobre o Medusa
O advisory AA25-071A foi publicado originalmente em março de 2025 e recebeu nova revisão em agosto de 2026. A atualização mostra que o Medusa continuou operando e que o problema não ficou restrito a uma campanha curta de ataques.
As autoridades norte-americanas classificam o Medusa como uma operação de ransomware como serviço, modelo conhecido pela sigla RaaS. Na prática, isso significa que o ecossistema criminoso pode funcionar com divisão de funções. Um grupo mantém infraestrutura, malware e mecanismos de extorsão, enquanto afiliados ou outros atores executam parte dos ataques e dividem os ganhos.
Também podem participar corretores de acesso inicial, criminosos especializados em invadir ambientes corporativos e vender esse acesso para outros grupos. Isso cria uma espécie de cadeia de fornecimento do crime digital, com uma eficiência operacional que seria admirável se não estivesse sendo usada para sequestrar redes de hospitais e empresas.
O Medusa foi identificado pela primeira vez em 2021. Desde então, o grupo passou a combinar diferentes formas de entrada, movimentação dentro das redes, roubo de informações e criptografia dos sistemas.
Ransomware não é apenas um vírus que bloqueia computador
Ransomware é uma categoria de ataque criada para impedir ou restringir o acesso a sistemas e dados, normalmente por criptografia, enquanto os criminosos exigem pagamento da vítima. Essa definição básica continua correta, mas já não descreve completamente as operações modernas.
Muitos grupos perceberam que simplesmente criptografar arquivos tinha uma limitação. Se a empresa possuísse backups íntegros e conseguisse restaurar os sistemas, a pressão para pagar diminuía. A resposta criminosa foi acrescentar uma segunda ameaça. Antes de bloquear o ambiente, os invasores começaram a copiar dados.
Esse modelo ficou conhecido como extorsão dupla. A organização não enfrenta apenas sistemas indisponíveis. Também passa a lidar com a possibilidade de documentos internos, dados pessoais, contratos, informações financeiras ou arquivos sensíveis serem publicados ou vendidos.
Mesmo quando existe backup, portanto, o incidente continua grave. Recuperar um servidor não faz desaparecer automaticamente uma cópia de dados que já saiu da rede.
O CERT.br também alerta que ransomware pode procurar outros dispositivos conectados, compartilhamentos e recursos de rede. É justamente por isso que a diferença entre uma estação comprometida e uma organização paralisada pode estar na capacidade de segmentar o ambiente e impedir que o atacante se movimente livremente.
Camada técnica: invasão, comprometimento de credenciais, movimentação pela rede, roubo de dados e criptografia.
Camada operacional: sistemas indisponíveis, equipes sem acesso, atendimento interrompido e produção parada.
Camada financeira: recuperação, consultorias, perda de receita, substituição de equipamentos, horas paradas e eventual impacto regulatório.
Camada social: hospital sem prontuário, prefeitura com serviço indisponível, escola sem sistemas ou atendimento público atrasado.
Camada reputacional: perda de confiança, exposição pública e dados de clientes ou cidadãos circulando fora do controle.
Como grupos como o Medusa conseguem entrar
O alerta das autoridades norte-americanas aponta diferentes caminhos de acesso inicial. Entre eles estão campanhas de phishing, credenciais comprometidas, acessos obtidos por terceiros e exploração de vulnerabilidades recém-divulgadas que ainda não foram corrigidas nos sistemas expostos à internet.
Esse último ponto é especialmente importante. Quando uma falha relevante recebe atualização de segurança, começa uma corrida pouco elegante entre quem administra o sistema e quem procura explorá-lo. Empresas que adiam correções críticas continuam oferecendo uma porta conhecida para grupos que automatizam a procura por ambientes vulneráveis.
Depois da entrada, os criminosos procuram ampliar privilégios e alcançar outros sistemas. Em vez de depender apenas de programas claramente maliciosos, operações de ransomware também utilizam ferramentas legítimas de administração e recursos que já existem no próprio sistema operacional. Essa técnica costuma ser descrita como living off the land.
O motivo é simples. Um programa desconhecido pode chamar atenção de uma ferramenta de segurança. Um utilitário administrativo que já existe na empresa pode parecer uma atividade normal por mais tempo.
Ferramentas de gerenciamento remoto, serviços de acesso à distância e protocolos como RDP também aparecem nesse contexto. Isso não significa que acesso remoto seja algo errado. Significa que uma ferramenta criada para permitir que um administrador controle uma máquina também é extremamente útil para alguém que conseguiu credenciais que não deveria ter.
Por que hospitais e governos são alvos especialmente sensíveis
Infraestrutura crítica oferece aos criminosos uma característica valiosa para extorsão, baixa tolerância à interrupção.
Uma empresa pode conseguir manter determinada atividade suspensa por algumas horas. Um hospital tem pacientes, exames, medicamentos, prontuários e equipes trabalhando continuamente. Um governo municipal pode depender de sistemas digitais para atendimento, documentos, arrecadação e serviços administrativos. Uma indústria pode perder produção a cada hora parada.
Essa urgência aumenta a pressão para restaurar o ambiente rapidamente.
Setores de saúde também armazenam informações extremamente sensíveis. Governos mantêm dados pessoais, fiscais e administrativos. Empresas industriais guardam projetos, contratos, propriedade intelectual e informações sobre fornecedores. Quanto maior o valor operacional e informacional do ambiente, maior o potencial de chantagem.
Outro problema é a existência de sistemas legados. Algumas organizações ainda dependem de softwares e equipamentos antigos porque substituí-los exige investimento, homologação, integração e períodos de parada. Em ambientes críticos, uma atualização aparentemente simples também pode precisar de testes para garantir que não quebre sistemas essenciais.
Nada disso elimina a necessidade de segurança. Apenas mostra por que ela precisa fazer parte do planejamento operacional e não ser tratada como atualização automática feita numa sexta-feira à noite por alguém torcendo para tudo voltar na segunda.
O fornecedor também pode ser parte do problema
Empresas e órgãos públicos raramente administram toda a infraestrutura digital sozinhos. Sistemas de folha de pagamento, prontuário, armazenamento em nuvem, atendimento, faturamento, suporte e gestão podem depender de fornecedores externos.
Isso cria uma cadeia de dependência. Uma organização pode investir em segurança internamente e continuar exposta por meio de um prestador com credenciais privilegiadas ou acesso remoto mal protegido.
Pequenas e médias empresas entram nessa discussão porque muitas prestam serviços para operações maiores. Um pequeno fornecedor de tecnologia pode não se enxergar como infraestrutura crítica, embora detenha acesso aos sistemas de várias organizações que são.
O tamanho da empresa não determina sozinho o tamanho do risco que um acesso comprometido pode criar.
O que empresas e governos precisam revisar
Não existe uma ferramenta única capaz de impedir ransomware. As recomendações da CISA e do CERT.br apontam para uma combinação de controles, manutenção e capacidade de resposta.
Atualizações: corrigir vulnerabilidades conhecidas, principalmente em sistemas expostos à internet.
MFA: usar autenticação multifator, especialmente em contas administrativas e acessos remotos.
Acesso remoto: revisar quem realmente precisa de VPN, RDP e ferramentas de administração externa.
Menor privilégio: usuários devem ter apenas os acessos necessários para suas atividades.
Segmentação: separar redes e sistemas críticos para dificultar movimentação lateral.
Backups: manter cópias protegidas, preferencialmente isoladas ou offline.
Restauração: testar periodicamente se o backup realmente pode ser recuperado.
Monitoramento: acompanhar logs, acessos incomuns e comportamento anormal.
Phishing: treinar funcionários e estabelecer mecanismos claros para relatar mensagens suspeitas.
Resposta a incidentes: saber antecipadamente quem decide, quem comunica, quem isola sistemas e como a operação será recuperada.
O backup merece atenção especial porque costuma ser tratado como solução mágica. Não é.
Se a cópia estiver permanentemente conectada à mesma rede, ela pode ser criptografada junto com o restante. Se ninguém testar a restauração, a empresa pode descobrir no pior momento possível que os arquivos estavam incompletos, corrompidos ou que levariam dias para voltar.
Backup útil é backup íntegro, protegido e testado.
A segmentação possui função semelhante. O CERT.br recomenda dividir a rede e separar serviços críticos, equipamentos de usuários e sistemas legados. A ideia é reduzir a capacidade de um invasor transformar um primeiro acesso em controle generalizado do ambiente.
Quando o ataque acontece, improvisar custa caro
O CERT.br é bastante direto ao afirmar que deixar para pensar na resposta somente depois que o ransomware aparece atrasa decisões, aumenta o esforço de recuperação e prolonga o tempo de inatividade.
Um plano de resposta precisa definir previamente quem participa das decisões técnicas, quem comunica a diretoria, quando o jurídico deve ser envolvido, quais fornecedores precisam ser acionados e quais autoridades ou órgãos reguladores devem ser notificados.
A contenção costuma incluir o isolamento dos sistemas comprometidos para interromper propagação e exfiltração. Ao mesmo tempo, é importante preservar evidências que possam ajudar a determinar como o atacante entrou, o que acessou e quais sistemas foram atingidos.
Isso também explica por que a decisão de simplesmente desligar tudo sem coordenação pode ser problemática. Dependendo do caso, dados importantes para investigação podem ser perdidos. A resposta precisa equilibrar contenção, preservação de evidências e continuidade da operação.
Depois da contenção, é necessário eliminar a presença do invasor, corrigir a causa inicial, revisar credenciais, recuperar sistemas a partir de fontes confiáveis e monitorar o ambiente para verificar se o problema realmente foi removido.
Restaurar o servidor sem fechar a porta pela qual o atacante entrou é uma maneira bastante eficiente de transformar um incidente em assinatura recorrente.
O que isso significa para organizações brasileiras
O alerta norte-americano não significa que exista uma onda específica do Medusa atingindo todas as organizações brasileiras. A conclusão importante é mais ampla. Os mesmos tipos de dependência digital encontrados nos Estados Unidos existem aqui.
Hospitais brasileiros utilizam prontuários eletrônicos e sistemas administrativos. Prefeituras dependem de plataformas para documentos, tributos e atendimento. Escolas armazenam dados de alunos. Empresas de logística vivem de rastreamento, comunicação e sistemas de gestão. Indústrias conectam produção, estoque e fornecedores. Concessionárias de água e energia também dependem cada vez mais de infraestrutura digital.
Um incidente pode começar em uma área administrativa aparentemente secundária e alcançar sistemas importantes se a rede permitir movimentação lateral sem controles suficientes.
No Brasil existe ainda a dimensão da proteção de dados pessoais. A regulamentação da Autoridade Nacional de Proteção de Dados estabelece que incidentes capazes de acarretar risco ou dano relevante aos titulares precisam ser comunicados pelo controlador à ANPD no prazo de três dias úteis, salvo existência de prazo específico em legislação setorial. A contagem começa quando o controlador toma conhecimento de que o incidente afetou dados pessoais.
Quando aplicável, os titulares afetados também precisam ser comunicados. Isso significa que uma invasão envolvendo dados pessoais não é apenas problema técnico. Pode rapidamente se tornar questão jurídica, regulatória, reputacional e de comunicação.
Pagar o resgate não apaga o incidente
A pressão criada por ransomware naturalmente leva vítimas a considerar todas as opções disponíveis. Mas pagar não significa voltar no tempo.
Não existe garantia absoluta de que a chave fornecida pelos criminosos restaurará todos os dados, nem de que arquivos roubados serão destruídos. A organização ainda precisa investigar o ambiente, substituir credenciais, recuperar sistemas e avaliar obrigações relacionadas ao vazamento.
Mesmo quando a operação volta, os dados que saíram da rede podem continuar circulando.
É por isso que prevenção e capacidade de recuperação são mais importantes do que qualquer promessa feita pelo próprio criminoso. Confiar que a mesma pessoa que invadiu, roubou e bloqueou seus sistemas cumprirá integralmente um acordo informal de confidencialidade seria uma demonstração interessante de otimismo.
O cidadão também pode sentir o efeito depois do ataque
Quando uma organização sofre vazamento, o problema para o usuário pode continuar depois que o serviço volta.
Dados roubados podem ser utilizados para criar golpes mais convincentes. Nome, telefone, endereço, informações financeiras, dados de relacionamento com determinada empresa ou detalhes de cadastro ajudam criminosos a produzir mensagens personalizadas.
Depois de um incidente público, usuários também podem receber falsas mensagens de suporte, supostas atualizações de cadastro, pedidos de troca de senha ou tentativas de cobrança usando o próprio ataque como pretexto.
O caminho mais seguro é acompanhar os canais oficiais da organização afetada, desconfiar de contatos inesperados e seguir orientações específicas caso a empresa informe comprometimento de credenciais ou dados pessoais.
Trocar senha faz sentido quando existe indicação de que aquela credencial pode ter sido comprometida. E, se a mesma senha ainda estiver sendo usada em vários serviços, o incidente pode ser uma boa oportunidade para encerrar um hábito que já deveria ter desaparecido junto com o modem discado.
Ransomware não é apenas um vírus que bloqueia computador. Quando atinge infraestrutura crítica, ele vira risco de continuidade. Hospital sem sistema, prefeitura parada, indústria sem operação, serviço financeiro indisponível e dados pessoais nas mãos de criminosos são consequências possíveis de uma invasão que começou em uma credencial, um acesso remoto ou uma atualização que ficou para depois. O Medusa importa porque mostra que o ataque moderno não quer apenas criptografar arquivos. Ele quer pressionar a operação inteira. Segurança digital, nesse cenário, deixou de ser assunto isolado do departamento de TI. Virou parte da segurança operacional, econômica e, em serviços essenciais, da própria capacidade de a sociedade continuar funcionando.
Leia também no Infoalfa SA
Dados expostos, golpes em alta: por que a vida digital virou área de risco para o brasileiro comum
Kit de sobrevivência digital: o pen drive para quando a internet cair faz sentido?
Fontes consultadas
CISA, FBI, Departamento de Saúde e Serviços Humanos dos EUA, CERT.br, CERT.br – Resposta a ransomware e Autoridade Nacional de Proteção de Dados.
