UNM Health: ciberataque desvía ambulancias y cierra clínicas

El lunes 26 de octubre de 2026 el University of New Mexico Health Sciences Center (HSC), que incluye el sistema hospitalario UNM Health de Albuquerque, sufrió un ciberataque que lo obligó a desviar las ambulancias a otros hospitales y a suspender citas e intervenciones ambulatorias en más de 30 clínicas. UNM Hospital alberga el único centro de trauma de nivel 1 de Nuevo México y, según The Record, también la única unidad de quemados y el único hospital pediátrico del estado. Los hechos los recogen SecurityWeek (Associated Press), Help Net Security, Infosecurity Magazine, The Record, The Register, BleepingComputer y DataBreaches.net.

Cronología

• Hacia las 11:30 (hora local): según un mensaje interno citado por Help Net Security, se detecta la intrusión en la red. Unos 40 minutos después el personal recibe la orden de apagar y desconectar los ordenadores y desactivar el wifi de los dispositivos móviles; según medios locales citados por The Record, el aviso llega a los teléfonos de los empleados.
• Final de la mañana: varios empleados cuentan que oyeron en sus ordenadores un mensaje de voz (sintético, según el periódico estudiantil Daily Lobo) que afirmaba haber robado datos de estudiantes, empleados y pacientes y pedía contacto a través de un servicio de mensajería cifrada.
• 14:30: el HSC anuncia el incidente. Las ambulancias se desvían durante unas dos horas a centros de Albuquerque y Santa Fe; Presbyterian Healthcare Services y Lovelace Health System reciben pacientes adicionales.
• Tarde y noche: se activa un centro de operaciones de emergencia y participan socios externos y las fuerzas de seguridad estatales y federales (el FBI confirma que está «asistiendo»). Los hospitales reabren y los sistemas vuelven a estar en línea por fases.
• 27 de octubre: las clínicas retoman la actividad, pero las clases de medicina, enfermería, farmacia y salud de la población siguen suspendidas (también las online) y el personal no esencial se queda en casa. Ese mismo día, según BleepingComputer, el HSC afirma que todos los sistemas electrónicos críticos funcionan de nuevo y que el tráfico de ambulancias es normal.

La reivindicación de BYOD y lo que no cuadra

Ese mismo lunes el grupo de extorsión BYOD, aparecido el mes pasado y con seis víctimas en su sitio de filtraciones (de tres ya ha publicado los datos, según BleepingComputer), reivindicó el ataque. El grupo afirma haber comprometido 36.000 máquinas entre campus y hospitales, los dos bosques de Active Directory, la infraestructura de Group Policy, el tenant completo de Microsoft Entra, dos bases de datos Oracle con RR. HH., nóminas y expedientes de estudiantes (Banner), correos internos, datos de investigación, información de pacientes y listados del sistema clínico Cerner.

Estas afirmaciones no están confirmadas. El HSC, citado por BleepingComputer, sostiene en cambio que el evento afectó a «algunos dispositivos de usuarios finales» sin penetrar en los sistemas y servidores centrales. Tampoco está claro si se usó un ransomware que cifrara los datos: Help Net Security y The Register lo consideran una cuestión abierta, mientras que BYOD anunció claves de descifrado gratuitas para los centros sanitarios y un pago de hasta 2.500 dólares por paciente afectado, aunque declaró que se quedará con todos los datos. La universidad no ha comentado la naturaleza del ataque, alegando la investigación en curso.

Detalles técnicos

Las fuentes no indican el vector de acceso inicial, CVE explotadas ni indicadores de compromiso públicos. Si la reivindicación fuera cierta, el cuadro sería el típico de las intrusiones que llegan a controlar el dominio:

• control de la identidad local y en la nube (Active Directory y Entra ID), que permite crear cuentas, cambiar roles y moverse entre los dos entornos;
• abuso de las Group Policy (MITRE ATT&CK T1484.001), a menudo usadas para distribuir scripts o ejecutables de forma masiva;
• exfiltración desde bases de datos y correo (T1041, T1114) con fines de extorsión;
• posible cifrado con fines de impacto (T1486), no confirmado.

El mensaje de voz reproducido en los puestos llama la atención: la profesora Josephine Wolff (Tufts University), citada por la AP, lo califica de «bastante inusual». Que varios empleados lo oyeran en sus propios equipos hace pensar en una ejecución en muchos endpoints, pero las fuentes no explican cómo se hizo.

También destaca la respuesta: puestos apagados y desconectados unos 40 minutos después de la detección y sistemas críticos restablecidos en un día aproximadamente. En marzo, recuerda The Record, el ransomware contra el University of Mississippi Medical Center limitó la actividad durante semanas.

Impacto para las empresas europeas e italianas

La sanidad es un sector de alta criticidad para la NIS2 (en Italia, el Decreto Legislativo 138/2024; en España, la normativa nacional de transposición): un incidente así exige una alerta temprana al CSIRT competente en 24 horas y la notificación en 72. Si hay datos de salud implicados, se suman las obligaciones del RGPD (artículos 33 y 34). El caso UNM muestra además un riesgo menos visible: cuando hospital y universidad comparten identidad y red, una intrusión en la parte académica puede detener la parte clínica.

Qué hacer ya

• Protege los niveles más altos de la identidad: cuentas de administración del dominio separadas (tiering), MFA resistente al phishing, acceso privilegiado en Entra ID solo bajo demanda y cuentas de emergencia vigiladas.
• Vigila las Group Policy: alertas sobre cambios en los objetos GPO (evento 5136 con la auditoría de servicios de directorio activada) y sobre nuevos scripts de inicio o tareas programadas distribuidos desde el dominio.
• Separa la red clínica de la administrativa y la académica, con identidades y dominios distintos cuando sea posible.
• Prepara el apagado de emergencia: quién lo ordena, cómo se avisa al personal sin la red corporativa (SMS, teléfonos) y procedimientos en papel para urgencias, farmacia y admisión.
• Copias de seguridad offline e inmutables de Active Directory, de la configuración de Entra y de las bases de datos de RR. HH. y clínicas, con pruebas de restauración.
• Avisa a las personas afectadas del phishing dirigido que suele seguir a una reivindicación con robo de datos.

Cómo ayuda ARXDOME

ARX Sentry recoge registros y eventos de seguridad de ordenadores, servidores y firewalls y los muestra en las páginas SOC dedicadas a la identidad: ráfagas de intentos, accesos privilegiados, cambios en las cuentas y accesos nocturnos. ARX Shield te permite aislar de la red una máquina sospechosa con un clic y destaca las vulnerabilidades ya explotadas por los atacantes, mientras que ARX Retain conserva los registros en Europa para las investigaciones y las notificaciones a las autoridades.

Última actualización: 27 de octubre de 2026