Byod diz ter 36 mil máquinas da UNM; hospital contesta

Correção do nosso registro. O campo de vítima trazia a manchete da DataBreaches.net, e o nome correto é UNM Health / UNM Health Sciences Center. A data 2026-10-29 é a da publicação da DataBreaches.net, não do ataque, que ocorreu em 26/10. O ator não estava vazio: o grupo Byod reivindicou publicamente. País (EUA) e setor (saúde e educação) também faltavam. O selo 'claimed' e o veredito 'unverified' se mantêm, mas só para o furto de dados. A interrupção do serviço está confirmada pela vítima.

O que a UNM admite. Houve um 'evento de segurança cibernética' no Health Sciences Center, que inclui o UNM Health, único centro de trauma nível I do estado. A TI identificou a ameaça por volta das 11h. Houve desvio de ambulâncias por duas horas e cancelamento de consultas e cirurgias ambulatoriais. Em 27/10, a UNM disse que a avaliação indicou impacto em dispositivos de usuário final, sem penetração de sistemas centrais ou servidores. Notificou autoridades estaduais e federais e acionou parceiros externos. Em 29/10, o porta-voz Chris Ramirez disse que a instituição aguarda para saber se as alegações são verdadeiras, e que o FBI lidera a investigação criminal. A UNM não confirmou ransomware nem furto de dados, e não nomeou o atacante. Não encontrei manifestação de regulador (HHS/OCR, procuradorias estaduais) nem documento primário da UNM aberto por mim. As declarações chegam por imprensa. Um site de captação de clientes para advogados afirmou existir notificação ao procurador-geral de Delaware. Não consegui verificar e não usei esse dado.

O que o ator alega. O Byod, grupo novo que surgiu em outubro de 2026, diz ter comprometido 36 mil máquinas no campus principal e no ambiente hospitalar, além de florestas Active Directory, infraestrutura de Group Policy, todo o tenant Microsoft Entra e dois bancos Oracle. Diz ter dados de alunos e funcionários (SSNs, folha de pagamento, e-mails internos), e também dados de pacientes e agendamentos. Depois do ataque, o grupo ofereceu chaves de descriptografia gratuitas para o setor hospitalar e pagamento de até US$ 2.500 a cada paciente afetado que apresentasse prova, e disse que manteria os dados roubados. Segundo o BleepingComputer, disse que removeria o post se a UNM abrisse comunicação. A UNM diz não ter feito concessões. Não há como verificar nenhuma dessas alegações com o que é público.

Onde as versões divergem. A UNM diz 'dispositivos de usuário final, sem penetração de sistemas centrais'. O Byod diz 'rede inteira, universidade completamente'. A distância não é só de intensidade, é de natureza: uma versão descreve um incidente de endpoints, a outra um comprometimento de identidade e infraestrutura. Há um detalhe a favor de alcance maior que o de poucas máquinas: a mensagem de voz sintética tocou nos computadores de médicos, segundo um médico ouvido pelo Daily Lobo, e chegou a alta administração com instrução de contato por mensageiro criptografado. Distribuir isso em escala costuma exigir algum plano de gerenciamento, mas não sabemos como foi feito. Também é relevante que a negativa da UNM é estreita. Ela fala de sistemas centrais e servidores e não afirma que nenhum dado saiu. Alguns veículos resumiram a posição como 'dados de pacientes não foram comprometidos', mas isso vai além do que o porta-voz disse e não deve ser tomado como confirmação. Em 29/10 a própria UNM disse que ainda aguarda para saber.

O número. '36.000' é de máquinas, não de registros, e vem do ator. Não há contagem de pessoas ou registros alegada, e nenhuma confirmada. Por isso claimed_records e verified_records ficam nulos. Para referência de escala, a UNM Health informa cerca de 1 milhão de visitas de pacientes por ano. Isso não é número de afetados e não deve ser lido como tal.

Sobre o ator. Fontes do setor descrevem o Byod como grupo recente, com 6 a 8 vítimas listadas conforme a fonte e a data, incluindo Trump Mobile (com publicação de cerca de 3.600 registros, segundo um veículo de histórico irregular), T-Mobile US (sem amostra de dados) e Royal Selangor. A contagem varia entre rastreadores e não está reconciliada. Há divergência sobre o modus operandi: o BleepingComputer registra oferta de chaves de descriptografia, o que sugere criptografia, enquanto um fornecedor de resposta a incidentes relata que não há encriptador nem nota de resgate documentados na atividade anterior do grupo (fonte comercial, credibilidade baixa). Se houve criptografia na UNM ou foi só extorsão por dados, não está estabelecido. O Gizmodo registra que não está claro se o Byod ajudou na restauração, e a UNM não respondeu. A restauração em cerca de um dia combina com um incidente de alcance limitado ou com boa resiliência, mas não prova nenhum dos dois.

Contexto de governança. A tática de 'tenho moral, pago o paciente' parece voltada a reduzir a pressão de aplicação da lei e a criar canal direto com vítimas, o que abre espaço para fraude contra pacientes. A UNM alertou para isso. É o segundo grande ataque a hospital universitário estatal nos EUA em 2026, após o da University of Mississippi Medical Center em março, segundo o The Record.

Confirmado: dia de operação degradada em um hospital universitário. Ambulâncias desviadas por duas horas do único centro de trauma nível I do Novo México, consultas e cirurgias ambulatoriais do dia cancelados, funcionários em papel, aulas suspensas em medicina, enfermagem, farmácia e saúde populacional entre 26 e 27/10. Alguns funcionários ainda esperavam liberação para ligar dispositivos em 29/10. Não há número confirmado de pessoas com dados expostos, e nem a existência de exposição está confirmada. Risco concreto imediato para pacientes, alunos e funcionários: golpes que exploram a oferta de US$ 2.500 e o contato direto do grupo.