Hospital do Novo México para; roubo de dados segue só alegado

Correção ao nosso registro. A entrada trazia 'alegado' e 'não verificado', data 27/10 e nenhum ator. O evento ocorreu em 26/10/2026. O incidente em si está confirmado pela vítima e não é mais só alegação. Há um ator que reivindicou publicamente (BYOD), embora a UNM não o tenha confirmado. O que segue não verificado é a exfiltração, e é isso que o selo final tem de refletir. Mantive 'real' para a natureza do incidente (interrupção confirmada), com a ressalva de que não se trata de vazamento confirmado.

O que a UNM admite, em comunicados do próprio HSC: um 'cybersecurity event' que atingiu todo o Health Sciences Center, com contenção, notificação de autoridades estaduais e federais e apoio externo. Admite também a limitação de novos pacientes entre 12h30 e 14h30, a suspensão de cirurgias e consultas ambulatoriais no dia e o fechamento acadêmico até 27/10. A Becker's registra que o sistema não disse se houve dados afetados nem ransomware. O comunicado inclui a frase de que o evento 'pode ter impactado' pacientes, funcionários e estudantes (conforme citado pelo Help Net Security). Isso é uma possibilidade, não uma confirmação.

O que o ator alega: em mensagem de voz aparentemente sintética tocada nas máquinas (áudio obtido pela KOB4 e pela KRQE, e descrito pelo Daily Lobo), os atacantes dizem ter 'dados de estudantes e funcionários, PII e SSNs, documentos privados, e-mails'. Mandam a administração contatá-los pelo Session e ameaçam destruir a universidade com ações judiciais. No site de vazamento, o BYOD afirma ter 36.000 máquinas, as duas florestas do AD (campus principal e setor hospitalar), GPOs, dois bancos Oracle, Oracle HR/Payroll, Banner Student Records, o tenant Entra inteiro, e-mails internos e rosters do Cerner EHR. O Daily Lobo ressalva que a UNM não confirmou a autenticidade do áudio nem do conteúdo, embora um médico do UNMH tenha dito que o computador dele tocou a mensagem.

Onde as versões divergem. (1) Escopo: o BYOD diz ter derrubado o campus principal e o setor hospitalar. A KRQE reportou que o ataque atingiu só o HSC, e não o campus principal da UNM. Já a UNM descreve o evento como atingindo 'todo o HSC', que inclui hospital, escolas de medicina, enfermagem e farmácia. Portanto, o comprometimento do campus principal é alegado e contradito por uma fonte local. (2) Volume: '36.000 máquinas' não é número de registros, e nenhuma fonte dá contagem de pessoas afetadas. Não há distância mensurável entre alegado e confirmado porque falta a cifra dos dois lados. (3) Horário: o Help Net Security fala em anúncio às 14h30, mas a KRQE e o Daily Lobo situam o início por volta das 11h30 e a ordem interna de desligamento às 12h07. Os comunicados do HSC marcam 12h30–14h30 para a limitação de admissões. A cronologia oficial é consistente com os relatos internos; a diferença está só em qual horário cada veículo toma como 'anúncio'.

Sobre o ator. O ransomware.live o rotula como emergente e pede cautela, e o RansomLook lista só 3 posts. O primeiro que li (Trump Mobile, 3.615 clientes alegados) é de escala bem menor. O nome do grupo não ajuda a inferir capacidade. A mensagem sonora e a página do grupo coincidem no canal Session como meio de contato, o que sustenta a ligação mas não a prova, já que não comparei os identificadores. Nada indica ainda se houve criptografia ou só intrusão com extorsão por dados. O áudio e o fechamento das máquinas sugerem que os atacantes tinham controle suficiente para exibir mensagem em estações, o que é coerente com acesso de domínio. É uma inferência técnica, não um fato apurado.

Contexto de risco. A UNM Health tem o único centro de trauma nível I do estado, a única unidade de queimados e o único hospital infantil. A AP/ABC registrou que o estado ficou sem pronto-socorro apto a casos mais graves enquanto durou o desvio. Foram cerca de duas horas, segundo o The Record, o que é curto, mas o risco clínico existiu. A KRQE lembra que a UNM já foi alvo repetido: em incidente anterior (data não localizada), a universidade diz não ter pago resgate, mas teve de custear cartas de notificação HIPAA e monitoramento de crédito. Isso importa porque, se o roubo se confirmar, o rito regulatório previsto é conhecido. Não encontrei manifestação de regulador (HHS/OCR, estado do Novo México) sobre este caso até agora.

O que me faria mudar a nota. Se a UNM confirmar acesso a PHI ou PII, o caso sobe para vazamento confirmado e o número de afetados passa a vir do aviso ao HHS. Se o BYOD publicar amostra verificável, a alegação ganha corroboração. Se a UNM disser que não houve exfiltração, a alegação passa a 'inflada' ou 'blefe'. Hoje nenhuma das três coisas aconteceu.

Confirmado: todos os atendimentos ambulatoriais do dia 26/10 foram cancelados nas mais de 30 clínicas do sistema. Cirurgias ambulatoriais foram suspensas. Houve cerca de duas horas de limitação de admissões e desvio de ambulâncias, com apoio de hospitais de Albuquerque e Santa Fe. Alunos e funcionários não essenciais do HSC foram dispensados, e as aulas foram suspensas até 27/10. Os pacientes com consultas canceladas serão reagendados, e a agenda de terça foi retomada. O impacto sobre dados de pacientes, alunos e funcionários é alegado, não apurado: a UNM não confirmou acesso a dados nem informou número de afetados.