Hospital-escola do Novo México parou; roubo de dados segue só alegado

O que a vítima admite: a UNM publicou atualizações no hscnews.unm.edu em 26/10 (18h08 e 22h27 MDT) e uma posterior em 27/10. Admite um 'evento de cibersegurança' no HSC, contenção pela TI, acionamento de autoridades estaduais e federais, apoio de parceiros externos, ativação de Centro de Operações de Emergência, limitação de admissões entre 12h30 e 14h30, suspensão de procedimentos ambulatoriais e cancelamento de aulas. Não nomeia ator, não fala em ransomware, não diz se houve exfiltração. Cita investigação criminal ativa como razão para não dar mais detalhes. Não encontrei manifestação de regulador (HHS-OCR, procurador-geral do estado) nem registro formal de violação de dados até onde a busca alcançou.

O que o ator alega: o BYOD, grupo novo que, segundo o BleepingComputer, lista seis vítimas, publicou que comprometeu 36 mil máquinas, duas florestas de AD (campus principal e setor hospitalar) com GPOs, dois bancos Oracle, o tenant Entra, Oracle HR/folha, registros Banner, emails internos e rosters do Cerner EHR, incluindo SSNs de alunos e funcionários. O post original oferecia retirar a listagem após contato. Em 27/10 o grupo mudou o discurso: ofereceu a chave gratuita para o setor hospitalar, dizendo que não sabia que as máquinas atendiam pacientes em tempo real, e disse que ficaria com os dados. O BleepingComputer também relata uma promessa de pagar até US$ 2.500 por paciente afetado e um discurso de 'pentest ético'. Isso é posicionamento de relações públicas do criminoso, sem qualquer verificação, e não deve ser tratado como evidência.

Onde as versões divergem: a alegação fala em controle total da infraestrutura. A imprensa local (ABQ RAW), atribuindo a avaliação a funcionários da UNM, registra que o evento afetou dispositivos de usuário final e não penetrou núcleo nem servidores. Também há distância entre a escala alegada e a recuperação: sistemas críticos voltaram em cerca de um dia, e as ambulâncias foram desviadas por cerca de duas horas. Isso é compatível com um impacto menor que o alegado, mas também com contenção rápida seguida de comprometimento de dados que a UNM ainda não avaliou. Não dá para escolher entre as hipóteses com o que é público. Observação: '36 mil máquinas' não é número de registros, e nenhuma fonte o sustenta. Por isso claimed_records e verified_records ficam nulos.

O que sustenta a atribuição: a gravação com voz de síntese, divulgada pela KOB4, KRQE e Daily Lobo, pede contato pelo Session, e o próprio BYOD usa o Session como canal. O ransomware.live registrou a listagem em 26/10 às 20h52 UTC (cerca de 14h52 MDT), isto é, durante o dia do ataque. A convergência é de comportamento e cronologia, não de prova técnica: a UNM não confirmou o ator, e nenhum pesquisador publicou análise de amostra, IOC ou artefato de criptografia. Há uma inconsistência menor: o perfil do DysruptionHub rotula uma recuperação de dados do ransomware.live como 'Oct 25', enquanto o próprio ransomware.live indica 26/10. Trato isso como erro de rótulo, mas não consegui verificar.

Correção do nosso registro: (1) a data correta do incidente é 26/10/2026, e 27/10 é a data da cobertura. (2) O campo de organização trazia a manchete da notícia, não o nome da vítima. (3) O ator não é 'nenhum identificado': há uma reivindicação do BYOD, mas ela deve constar como alegação não confirmada. (4) O selo 'claimed/unverified' subestimava o que se sabe: o evento em si foi confirmado pela vítima, então o fato é 'confirmed' e a natureza do incidente é 'real'. O que continua apenas alegado é a exfiltração, a escala e a criptografia. O título e os campos deixam essa separação explícita. (5) País (EUA) e setor (saúde e educação) estavam em branco.

Contexto: a UNM Health já teve um vazamento em

2021. O acesso não autorizado começou em 2 de maio de 2021, foi descoberto em 4 de junho e atingiu 637.252 pacientes, com nomes, datas de nascimento, dados de seguro e, para alguns, SSNs, segundo HIPAA Journal e SC World. Naquele caso, a UNM disse que o EHR não foi afetado. Não há evidência pública de ligação técnica entre os dois episódios, e não afirmo nenhuma. O ponto é de governança: uma instituição que já passou por violação com exfiltração está de novo no centro de um incidente com alegação de roubo de SSNs. O KRQE menciona uma investigação jornalística sobre a UNM neste ano. Não consegui ler o conteúdo, e por isso não o uso.

Assimetria de risco: é o único centro de trauma Nível I do estado, com o único hospital infantil e a única unidade de queimados, e atende grande parcela da população sem seguro, segundo The Record e Source NM. O dano certo foi o assistencial, ainda que curto. O dano de dados é hipótese que só a investigação, ou uma notificação formal à população afetada, pode resolver. Se a alegação sobre SSNs se confirmar, a população exposta incluiria alunos e funcionários, não só pacientes, o que cria obrigações de notificação distintas.

Confirmado pela UNM: em 26/10/2026 houve cerca de duas horas de limitação de admissões e desvio de ambulâncias no único centro de trauma Nível I do Novo México. Também houve suspensão de cirurgias ambulatoriais e consultas em dezenas de clínicas, incluindo o Sandoval Regional Medical Center, e cancelamento de aulas e pesquisa no HSC em 26 e 27/10. Funcionários foram orientados a desligar computadores e desconectar aparelhos do Wi-Fi hospitalar. Clínicas e hospitais retomaram em 27/10, e a retomada acadêmica estava prevista para 28/10. Impacto sobre dados não confirmado: a UNM não informou se dados de pacientes, funcionários ou alunos foram acessados ou copiados. As alegações do ator incluem SSNs, dados de pacientes e registros acadêmicos, sem número de titulares afetados.