UNM confirma ataque; roubo de dados segue só alegação

O registro tinha o título da reportagem do The Record no campo da organização, sem ator, país, setor ou tipos de dado, com selo 'claimed' e veredito 'unverified'. A vítima é o University of New Mexico Health Sciences Center, que inclui o UNM Hospital, o Sandoval Regional Medical Center, a faculdade de medicina e as unidades de pesquisa. O país é EUA. A data 2026-10-29 é a da matéria; o ataque começou em 26/out. O selo 'claimed' estava errado para o incidente em si: a UNM, fonte primária, confirmou o 'evento de cibersegurança', e o FBI confirmou que apoia a investigação. 'Claimed' continua valendo só para o que o grupo diz ter roubado.

O que a UNM admite: um evento de cibersegurança em 26/out, contenção a partir das 11h, aviso a autoridades estaduais e federais, ativação de centro de operações de emergência, desvio de ambulâncias, cancelamento de consultas, e retorno gradual. A avaliação divulgada é que o evento 'afetou alguns dispositivos de usuário final, mas não penetrou sistemas centrais ou servidores', e que não houve concessões a nenhum grupo. A UNM não usou publicamente a palavra ransomware, mas a imprensa especializada trata o caso assim, com base na reivindicação do grupo e na oferta de chave de descriptografia.

O que o ator alega: o Byod diz ter comprometido 36 mil máquinas no campus principal e no hospital, ambas as florestas de Active Directory, a infraestrutura de GPO, o tenant Entra inteiro, dois bancos Oracle, folha de pagamento e RH, registros de alunos, e-mails internos e listas do Cerner EHR, com SSNs de alunos e funcionários e informações de pacientes e pesquisa (descrição do perfil do ator no Dysruption Hub, a partir do ransomware.live). Nada disso foi verificado por fonte independente. Não há número de registros: 36.000 é contagem de máquinas, não de pessoas, e por isso 'claimed_records' fica nulo.

A divergência central está no escopo. 'Alguns dispositivos de usuário final' e 'Entra inteiro + dois forests de AD' descrevem incidentes de ordens de grandeza diferentes. Há indícios que pesam para os dois lados. A mensagem de extorsão apareceu em máquinas por todo o HSC, funcionários foram mandados desconectar, e a UNM avisou que o pessoal do HSC poderia perder acesso a alguns serviços do campus todo. Por outro lado, a recuperação dos sistemas críticos em cerca de 27 horas é compatível com um evento de impacto amplo em endpoints, mas não prova que identidade e bancos de dados ficaram intactos. Também não sabemos se a UNM restaurou com recursos próprios ou com a chave oferecida pelo grupo.

Há uma contradição na cobertura que precisa ser apontada. O ABQ Journal escreveu que o sistema hospitalar disse que hackers não haviam comprometido dados de pacientes. No mesmo período, o porta-voz Chris Ramirez disse à KRQE que a resposta sobre acesso a informações era 'estamos esperando para descobrir', e a UNM respondeu que ainda não pode afirmar com certeza. As duas coisas não cabem juntas. O comunicado escrito da UNM fala só em sistemas centrais e servidores, não em dados. Tratamos a versão do porta-voz como a posição da UNM. Também o The Record resumiu a posição da UNM como 'não pagou resgate'; o texto oficial diz 'não fez concessões'. Pode ser equivalente, mas não é o que está escrito, e o ABQ Raw já titulou que não está claro se houve pagamento.

A alegação de que o grupo removeria a postagem se a UNM entrasse em contato é padrão em extorsão e não indica que houve negociação. A 'desculpa' do dia 27 combina pressão e posicionamento: o grupo devolve a chave só ao setor hospitalar, mantém os dados e promete dinheiro a pacientes que provarem dano. A UNM respondeu alertando que 'ofertas de pagamento' podem ser golpe. Não afirmamos intenção; afirmamos que a oferta não tem validação e que o risco prático para pacientes é de contato malicioso.

Sobre o ator: o Byod é descrito como grupo com cerca de um mês de atividade. Antes da UNM, o caso público mais conhecido é o da Trump Mobile (3.615 registros publicados), com alegação de entrada via infostealer em funcionário de uma MVNO parceira, sem MFA. Isso não nos diz nada sobre o vetor na UNM. Não encontramos IOCs, análise técnica independente, nem nota de resgate completa; só o áudio parcial e a imagem da tela.

Operacional e confirmado: todas as consultas e cirurgias ambulatoriais de 26/out foram canceladas em mais de 30 clínicas; as ambulâncias foram desviadas por duas horas do único trauma center nível 1, único hospital infantil e única unidade de queimados do estado, com Presbyterian e Lovelace absorvendo pacientes. Aulas e pesquisa do HSC ficaram suspensas até 28/out. Funcionários passaram a processos em papel e, em 29/out, parte ainda aguardava liberação para religar dispositivos. Impacto sobre dados: desconhecido. Se a alegação sobre SSNs e dados de pacientes for verdadeira, alunos, funcionários e pacientes ficam expostos a fraude e a golpes de falsa compensação, risco que a própria UNM já sinalizou.