UNM Health: cyberattacco, ambulanze deviate e cliniche chiuse

Lunedì 26 ottobre 2026 lo University of New Mexico Health Sciences Center (HSC), che comprende il sistema ospedaliero UNM Health di Albuquerque, ha subito un attacco informatico che ha costretto a deviare le ambulanze verso altri ospedali e a sospendere appuntamenti e interventi ambulatoriali in oltre 30 cliniche. UNM Hospital ospita l’unico trauma center di livello 1 del New Mexico e, secondo The Record, anche l’unico centro grandi ustionati e l’unico ospedale pediatrico dello stato. I fatti sono riportati da SecurityWeek (Associated Press), Help Net Security, Infosecurity Magazine, The Record, The Register, BleepingComputer e DataBreaches.net.

La cronologia

• Circa le 11:30 (ora locale): secondo un messaggio interno citato da Help Net Security, viene rilevata l’intrusione nella rete. Circa 40 minuti dopo il personale riceve l’ordine di spegnere e scollegare i computer e di disattivare il Wi-Fi dei dispositivi mobili; secondo le testate locali riprese da The Record, l’avviso arriva sui telefoni dei dipendenti.
• Tarda mattinata: diversi dipendenti raccontano di aver sentito sui computer un messaggio vocale (sintetico, secondo il giornale studentesco Daily Lobo) che dichiarava il furto di dati di studenti, dipendenti e pazienti e chiedeva di essere contattati su un servizio di messaggistica cifrata.
• 14:30: l’HSC annuncia l’incidente. Le ambulanze vengono dirottate per circa due ore verso le strutture di Albuquerque e Santa Fe; Presbyterian Healthcare Services e Lovelace Health System accolgono pazienti in più.
• Sera: viene attivato un centro operativo di emergenza, sono coinvolti partner esterni e le forze dell’ordine statali e federali (l’FBI conferma di «assistere»). Gli ospedali riaprono e i sistemi tornano online per fasi.
• 27 ottobre: le cliniche riprendono l’attività, ma le lezioni di medicina, infermieristica, farmacia e salute della popolazione restano sospese (anche online) e il personale non essenziale resta a casa. In giornata, secondo BleepingComputer, l’HSC dichiara che tutti i sistemi elettronici critici sono di nuovo attivi e che il traffico delle ambulanze è tornato normale.

La rivendicazione di BYOD e cosa non torna

Lo stesso lunedì il gruppo di estorsione BYOD, comparso il mese scorso e con sei vittime sul proprio sito di leak (per tre ha già pubblicato i dati, secondo BleepingComputer), ha rivendicato l’attacco. Il gruppo dichiara di aver compromesso 36.000 macchine tra campus e ospedali, entrambe le foreste Active Directory, l’infrastruttura di Group Policy, l’intero tenant Microsoft Entra, due database Oracle con HR, paghe e archivi studenti (Banner), email interne, dati di ricerca, informazioni sui pazienti ed elenchi del sistema clinico Cerner.

Queste affermazioni non sono confermate. L’HSC, citato da BleepingComputer, sostiene invece che l’evento abbia colpito «alcuni dispositivi degli utenti finali» senza penetrare i sistemi e i server centrali. Non è chiaro nemmeno se sia stato usato un ransomware che cifra i dati: Help Net Security e The Register lo considerano ancora aperto, mentre BYOD ha annunciato chiavi di decifratura gratuite per le strutture sanitarie e un pagamento fino a 2.500 dollari per paziente coinvolto, dichiarando però di voler tenere tutti i dati. L’università non ha commentato la natura dell’attacco, citando l’indagine in corso.

Dettagli tecnici

Le fonti non indicano il vettore d’accesso iniziale, CVE sfruttate o indicatori di compromissione pubblici. Se la rivendicazione fosse vera, il quadro sarebbe quello tipico delle intrusioni che arrivano al controllo del dominio:

• controllo dell’identità on-premise e cloud (Active Directory ed Entra ID), che consente di creare account, modificare ruoli e muoversi tra i due ambienti;
• abuso delle Group Policy (MITRE ATT&CK T1484.001), spesso usate per distribuire in massa script o eseguibili;
• esfiltrazione da database e posta (T1041, T1114) a scopo di estorsione;
• eventuale cifratura per impatto (T1486), non confermata.

Il messaggio vocale diffuso sulle postazioni è insolito: la professoressa Josephine Wolff (Tufts University), citata dall’AP, lo definisce «piuttosto insolito». Il fatto che più dipendenti lo abbiano sentito sulle proprie postazioni fa pensare a un’esecuzione su molti endpoint, ma le fonti non spiegano come sia avvenuta.

Da notare anche la risposta: spegnimento e scollegamento delle postazioni entro circa 40 minuti dal rilevamento e ripresa dei sistemi critici in circa un giorno. A marzo, ricorda The Record, il ransomware contro lo University of Mississippi Medical Center aveva limitato le attività per settimane.

Impatto per le aziende europee e italiane

La sanità è un settore ad alta criticità per la NIS2 (in Italia d.lgs. 138/2024): un incidente come questo richiede la pre-notifica al CSIRT Italia entro 24 ore e la notifica entro 72. Con dati sanitari coinvolti si aggiungono gli obblighi del GDPR (artt. 33 e 34). Il caso UNM mostra anche un rischio meno visibile: quando ospedale e università condividono identità e rete, un’intrusione nella parte accademica può fermare la parte clinica.

Cosa fare subito

• Proteggi i livelli più alti dell’identità: account amministrativi del dominio separati (tiering), MFA resistente al phishing, accessi privilegiati di Entra ID solo su richiesta e account di emergenza sorvegliati.
• Sorveglia le Group Policy: allarmi sulle modifiche agli oggetti GPO (evento 5136 con il controllo dei servizi di directory attivo) e sui nuovi script di avvio o attività pianificate distribuite dal dominio.
• Separa la rete clinica da quella amministrativa e accademica, con identità e domini distinti dove possibile.
• Prepara lo spegnimento d’emergenza: chi lo ordina, come si avvisa il personale senza la rete aziendale (SMS, telefoni) e procedure cartacee per pronto soccorso, farmacia e accettazione.
• Backup offline e immutabili di Active Directory, configurazioni di Entra e database HR e clinici, con prove di ripristino.
• Allerta le persone coinvolte contro il phishing mirato che di solito segue una rivendicazione con furto di dati.

Come aiuta ARXDOME

ARX Sentry raccoglie log ed eventi di sicurezza da computer, server e firewall e li mostra nelle pagine SOC dedicate alle identità: raffiche di tentativi, accessi privilegiati, modifiche agli account e accessi notturni. ARX Shield permette di isolare dalla rete una macchina sospetta con un clic e mostra le vulnerabilità già sfruttate dagli attaccanti, mentre ARX Retain conserva i log in Europa per le indagini e le notifiche alle autorità.

Ultimo aggiornamento: 27 ottobre 2026