UNM Health: atac cibernetic, ambulanțe deviate și clinici închise

Luni, 26 octombrie 2026, University of New Mexico Health Sciences Center (HSC), din care face parte sistemul spitalicesc UNM Health din Albuquerque, a suferit un atac cibernetic care l-a obligat să devieze ambulanțele spre alte spitale și să suspende programările și intervențiile ambulatorii în peste 30 de clinici. UNM Hospital găzduiește singurul centru de traumă de nivel 1 din New Mexico și, potrivit The Record, și singura secție de arși și singurul spital de copii din stat. Faptele sunt relatate de SecurityWeek (Associated Press), Help Net Security, Infosecurity Magazine, The Record, The Register, BleepingComputer și DataBreaches.net.

Cronologia

• În jurul orei 11:30 (ora locală): potrivit unui mesaj intern citat de Help Net Security, intruziunea în rețea este detectată. După aproximativ 40 de minute, personalul primește ordinul să oprească și să deconecteze calculatoarele și să dezactiveze Wi-Fi-ul pe dispozitivele mobile; potrivit presei locale citate de The Record, alerta ajunge pe telefoanele angajaților.
• Spre sfârșitul dimineții: mai mulți angajați spun că au auzit pe calculatoare un mesaj vocal (sintetic, potrivit ziarului studențesc Daily Lobo) care susținea furtul datelor studenților, angajaților și pacienților și cerea contactarea printr-un serviciu de mesagerie criptată.
• 14:30: HSC anunță incidentul. Ambulanțele sunt deviate timp de aproximativ două ore spre unitățile din Albuquerque și Santa Fe; Presbyterian Healthcare Services și Lovelace Health System preiau pacienți în plus.
• Seara: este activat un centru operativ de urgență, sunt implicați parteneri externi și autoritățile de aplicare a legii, statale și federale (FBI confirmă că „acordă asistență”). Spitalele se redeschid, iar sistemele revin online în etape.
• 27 octombrie: clinicile își reiau activitatea, dar cursurile de medicină, asistență medicală, farmacie și sănătatea populației rămân anulate (inclusiv cele online), iar personalul neesențial rămâne acasă. În aceeași zi, potrivit BleepingComputer, HSC declară că toate sistemele electronice critice funcționează din nou și că traficul ambulanțelor a revenit la normal.

Revendicarea BYOD și ce nu se potrivește

În aceeași zi de luni, grupul de extorcare BYOD, apărut luna trecută și cu șase victime pe site-ul său de scurgeri (pentru trei a publicat deja datele, potrivit BleepingComputer), a revendicat atacul. Grupul susține că a compromis 36.000 de mașini în campus și în spitale, ambele păduri Active Directory, infrastructura Group Policy, întregul tenant Microsoft Entra, două baze de date Oracle cu HR, salarizare și dosare ale studenților (Banner), e-mailuri interne, date de cercetare, informații despre pacienți și liste din sistemul clinic Cerner.

Aceste afirmații nu sunt confirmate. HSC, citat de BleepingComputer, susține dimpotrivă că evenimentul a afectat „unele dispozitive ale utilizatorilor finali” fără să pătrundă în sistemele și serverele centrale. Nu este clar nici dacă a fost folosit un ransomware care să cripteze datele: Help Net Security și The Register consideră întrebarea încă deschisă, în timp ce BYOD a anunțat chei de decriptare gratuite pentru unitățile medicale și o plată de până la 2.500 de dolari pentru fiecare pacient afectat, declarând însă că va păstra toate datele. Universitatea nu a comentat natura atacului, invocând ancheta în curs.

Detalii tehnice

Sursele nu indică vectorul de acces inițial, CVE exploatate sau indicatori de compromitere publici. Dacă revendicarea ar fi adevărată, tabloul ar fi cel tipic al intruziunilor care ajung să controleze domeniul:

• controlul identității on-premise și în cloud (Active Directory și Entra ID), care permite crearea de conturi, schimbarea rolurilor și deplasarea între cele două medii;
• abuzul de Group Policy (MITRE ATT&CK T1484.001), folosit des pentru a distribui în masă scripturi sau executabile;
• exfiltrare din baze de date și e-mail (T1041, T1114) în scop de extorcare;
• eventuala criptare pentru impact (T1486), neconfirmată.

Mesajul vocal redat pe stațiile de lucru iese în evidență: profesoara Josephine Wolff (Tufts University), citată de AP, îl numește „destul de neobișnuit”. Faptul că mai mulți angajați l-au auzit pe propriile calculatoare sugerează o execuție pe multe endpointuri, dar sursele nu explică cum s-a făcut.

Merită observată și reacția: stații oprite și deconectate în circa 40 de minute de la detectare și sisteme critice restabilite în aproximativ o zi. În martie, amintește The Record, atacul ransomware asupra University of Mississippi Medical Center a limitat activitatea timp de săptămâni.

Impactul pentru companiile europene și italiene

Sănătatea este un sector de înaltă criticitate pentru NIS2 (în Italia, Decretul legislativ 138/2024; în România, legislația națională de transpunere): un astfel de incident cere o avertizare timpurie către CSIRT-ul competent în 24 de ore și notificarea în 72. Când sunt implicate date de sănătate, se adaugă obligațiile din GDPR (articolele 33 și 34). Cazul UNM arată și un risc mai puțin vizibil: când spitalul și universitatea împart identitatea și rețeaua, o intruziune în partea academică poate opri partea clinică.

Ce să faci acum

• Protejează nivelurile cele mai înalte ale identității: conturi separate de administrare a domeniului (tiering), MFA rezistent la phishing, acces privilegiat în Entra ID doar la cerere și conturi de urgență supravegheate.
• Supraveghează Group Policy: alerte la modificările obiectelor GPO (evenimentul 5136, cu auditarea serviciilor de director activată) și la noi scripturi de pornire sau sarcini programate distribuite din domeniu.
• Separă rețeaua clinică de cea administrativă și academică, cu identități și domenii distincte acolo unde se poate.
• Pregătește oprirea de urgență: cine o decide, cum este anunțat personalul fără rețeaua companiei (SMS, telefoane) și proceduri pe hârtie pentru urgențe, farmacie și internări.
• Backupuri offline și imuabile pentru Active Directory, configurația Entra și bazele de date HR și clinice, cu teste de restaurare.
• Avertizează persoanele implicate despre phishingul țintit care urmează de obicei unei revendicări cu furt de date.

Cum ajută ARXDOME

ARX Sentry colectează loguri și evenimente de securitate de pe calculatoare, servere și firewalluri și le arată în paginile SOC dedicate identității: rafale de încercări, accese privilegiate, modificări ale conturilor și autentificări pe timp de noapte. ARX Shield îți permite să izolezi din rețea o mașină suspectă cu un clic și evidențiază vulnerabilitățile deja exploatate de atacatori, iar ARX Retain păstrează logurile în Europa pentru investigații și notificările către autorități.

Ultima actualizare: 27 octombrie 2026