Hospital do Novo México para; roubo de dados segue só alegado
University of New Mexico Health Sciences Center (UNM Health)
alegado em · apurado em
A UNM confirmou um evento de cibersegurança que derrubou sistemas do Health Sciences Center em 26/10/2026, desviou ambulâncias e cancelou todas as consultas do dia. O roubo de dados (SSNs, folha, registros de alunos, rosters do Cerner) é só alegação do grupo BYOD: a UNM não o confirmou, não atribuiu o ataque e nenhum número de registros foi apurado.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O incidente e a interrupção operacional são fatos confirmados pela própria UNM: desvio de ambulâncias, suspensão de cirurgias ambulatoriais e consultas, e fechamento acadêmico até 27/10. O que a evidência não sustenta ainda é qualquer afirmação sobre exfiltração.
O roubo de dados não está demonstrado. A UNM não confirmou acesso a dados de pacientes nem criptografia, e a única fonte da exfiltração é o ator (voz sintética nas máquinas e post no site de vazamento). Seria desmentido, ou confirmado, por notificação formal da UNM, amostra verificável de dados ou aviso ao regulador.
O número '36.000 máquinas' é contagem de ativos, não de registros, e não deve ser lido como volume de dados. Não existe cifra de registros alegada nem confirmada. A alegação de comprometimento total do 'campus principal' está em tensão com a reportagem da KRQE de que o ataque atingiu só o Health Sciences Center. Isso aponta para exagero do ator, mas repousa numa só fonte de imprensa.
A atribuição ao BYOD é plausível, mas não provada. A reivindicação saiu no mesmo dia, e a mensagem sonora mandava contatar os atacantes por Session, canal que a página do grupo no RansomLook também lista. Não cotejei os identificadores, e a UNM não atribuiu o ataque.
O BYOD é um ator recém-surgido com histórico mínimo. O RansomLook lista 3 posts, e o único que li é de 05/10/2026 contra a Trump Mobile (3.615 clientes alegados). Passar disso a um sistema de saúde estadual em três semanas é salto de escala. Ou o grupo é mais capaz do que o histórico sugere, ou a alegação é inflada. Com um grupo sem histórico, a lista de sistemas do post não pode ser tomada como prova de acesso.
A restauração rápida (retomada em fases a partir das 14h30 e clínicas abertas na terça) mostra que a contenção e o desligamento de máquinas funcionaram. Não diz nada sobre se houve cópia de dados antes disso.
Análise
Correção ao nosso registro. A entrada trazia 'alegado' e 'não verificado', data 27/10 e nenhum ator. O evento ocorreu em 26/10/2026. O incidente em si está confirmado pela vítima e não é mais só alegação. Há um ator que reivindicou publicamente (BYOD), embora a UNM não o tenha confirmado. O que segue não verificado é a exfiltração, e é isso que o selo final tem de refletir. Mantive 'real' para a natureza do incidente (interrupção confirmada), com a ressalva de que não se trata de vazamento confirmado.
O que a UNM admite, em comunicados do próprio HSC: um 'cybersecurity event' que atingiu todo o Health Sciences Center, com contenção, notificação de autoridades estaduais e federais e apoio externo. Admite também a limitação de novos pacientes entre 12h30 e 14h30, a suspensão de cirurgias e consultas ambulatoriais no dia e o fechamento acadêmico até 27/10. A Becker's registra que o sistema não disse se houve dados afetados nem ransomware. O comunicado inclui a frase de que o evento 'pode ter impactado' pacientes, funcionários e estudantes (conforme citado pelo Help Net Security). Isso é uma possibilidade, não uma confirmação.
O que o ator alega: em mensagem de voz aparentemente sintética tocada nas máquinas (áudio obtido pela KOB4 e pela KRQE, e descrito pelo Daily Lobo), os atacantes dizem ter 'dados de estudantes e funcionários, PII e SSNs, documentos privados, e-mails'. Mandam a administração contatá-los pelo Session e ameaçam destruir a universidade com ações judiciais. No site de vazamento, o BYOD afirma ter 36.000 máquinas, as duas florestas do AD (campus principal e setor hospitalar), GPOs, dois bancos Oracle, Oracle HR/Payroll, Banner Student Records, o tenant Entra inteiro, e-mails internos e rosters do Cerner EHR. O Daily Lobo ressalva que a UNM não confirmou a autenticidade do áudio nem do conteúdo, embora um médico do UNMH tenha dito que o computador dele tocou a mensagem.
Onde as versões divergem. (1) Escopo: o BYOD diz ter derrubado o campus principal e o setor hospitalar. A KRQE reportou que o ataque atingiu só o HSC, e não o campus principal da UNM. Já a UNM descreve o evento como atingindo 'todo o HSC', que inclui hospital, escolas de medicina, enfermagem e farmácia. Portanto, o comprometimento do campus principal é alegado e contradito por uma fonte local. (2) Volume: '36.000 máquinas' não é número de registros, e nenhuma fonte dá contagem de pessoas afetadas. Não há distância mensurável entre alegado e confirmado porque falta a cifra dos dois lados. (3) Horário: o Help Net Security fala em anúncio às 14h30, mas a KRQE e o Daily Lobo situam o início por volta das 11h30 e a ordem interna de desligamento às 12h07. Os comunicados do HSC marcam 12h30–14h30 para a limitação de admissões. A cronologia oficial é consistente com os relatos internos; a diferença está só em qual horário cada veículo toma como 'anúncio'.
Sobre o ator. O ransomware.live o rotula como emergente e pede cautela, e o RansomLook lista só 3 posts. O primeiro que li (Trump Mobile, 3.615 clientes alegados) é de escala bem menor. O nome do grupo não ajuda a inferir capacidade. A mensagem sonora e a página do grupo coincidem no canal Session como meio de contato, o que sustenta a ligação mas não a prova, já que não comparei os identificadores. Nada indica ainda se houve criptografia ou só intrusão com extorsão por dados. O áudio e o fechamento das máquinas sugerem que os atacantes tinham controle suficiente para exibir mensagem em estações, o que é coerente com acesso de domínio. É uma inferência técnica, não um fato apurado.
Contexto de risco. A UNM Health tem o único centro de trauma nível I do estado, a única unidade de queimados e o único hospital infantil. A AP/ABC registrou que o estado ficou sem pronto-socorro apto a casos mais graves enquanto durou o desvio. Foram cerca de duas horas, segundo o The Record, o que é curto, mas o risco clínico existiu. A KRQE lembra que a UNM já foi alvo repetido: em incidente anterior (data não localizada), a universidade diz não ter pago resgate, mas teve de custear cartas de notificação HIPAA e monitoramento de crédito. Isso importa porque, se o roubo se confirmar, o rito regulatório previsto é conhecido. Não encontrei manifestação de regulador (HHS/OCR, estado do Novo México) sobre este caso até agora.
O que me faria mudar a nota. Se a UNM confirmar acesso a PHI ou PII, o caso sobe para vazamento confirmado e o número de afetados passa a vir do aviso ao HHS. Se o BYOD publicar amostra verificável, a alegação ganha corroboração. Se a UNM disser que não houve exfiltração, a alegação passa a 'inflada' ou 'blefe'. Hoje nenhuma das três coisas aconteceu.
Cronologia
- 05 out 2026Primeiro post do BYOD que li no RansomLook: alegação contra a Trump Mobile (3.615 clientes). O grupo tem 3 posts listados.
- 26 out 2026Por volta das 11h30 (horário local), funcionários do HSC começam a relatar máquinas tomadas por uma mensagem de comprometimento. Às 12h07, a administração manda desligar e desconectar desktops e passar a formulários em papel.
- 26 out 2026Das 12h30 às 14h30, a UNM Health limita a aceitação de novos pacientes e desvia ambulâncias para hospitais de Albuquerque e Santa Fe. A primeira nota pública é das 14h30: todas as clínicas canceladas, e o evento atinge todo o HSC.
- 26 out 2026A UNM informa que acionou polícia estadual e federal e parceiros externos, que ativou um Centro de Operações de Emergência e que retoma os sistemas em fases a partir das 14h30.
- 26 out 2026O BYOD publica a reivindicação contra a 'University of New Mexico'. O ransomware.live a indexa às 20h52 UTC e a trata como grupo emergente, com ressalvas.
- 26 out 2026Atualização das 22h27: hospitais abertos e clínicas retomam a agenda na terça. Unidades acadêmicas e de pesquisa do HSC permanecem fechadas em 27/10, com todas as aulas canceladas.
Impacto
Confirmado: todos os atendimentos ambulatoriais do dia 26/10 foram cancelados nas mais de 30 clínicas do sistema. Cirurgias ambulatoriais foram suspensas. Houve cerca de duas horas de limitação de admissões e desvio de ambulâncias, com apoio de hospitais de Albuquerque e Santa Fe. Alunos e funcionários não essenciais do HSC foram dispensados, e as aulas foram suspensas até 27/10. Os pacientes com consultas canceladas serão reagendados, e a agenda de terça foi retomada. O impacto sobre dados de pacientes, alunos e funcionários é alegado, não apurado: a UNM não confirmou acesso a dados nem informou número de afetados.
Recomendações
- Em organizações com AD híbrido e Entra: audite alterações recentes em GPOs (criação, vinculação, scripts de inicialização e tarefas agendadas), já que a exibição simultânea de mensagem em estações sugere distribuição centralizada. Isso é inferência, e a verificação não depende de confirmação do caso.
- Revise contas privilegiadas do domínio e do Entra, funções administrativas atribuídas, consentimentos de aplicativos e tokens ativos, e revogue sessões de contas administrativas se houver indício de comprometimento.
- Procure em logs de bancos Oracle, folha e registro acadêmico (Banner) consultas em massa, dumps e exportações fora do padrão, além de tráfego de saída volumoso para destinos novos.
- Mantenha e teste procedimentos de downtime clínico (formulários em papel, cadastro e acesso a prontuário offline) e a comunicação com hospitais vizinhos para desvio de ambulâncias. A UNM operou assim por horas.
- Para pessoas ligadas à UNM: espere phishing e extorsão individual citando o incidente. Não responda a contatos que dizem ter seus dados e confirme qualquer comunicação pelos canais oficiais do HSC. Considere congelar o crédito apenas se a UNM confirmar o roubo de SSNs.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Se houve exfiltração de dados e de quais sistemas (Banner, Oracle HR, Cerner, e-mail): resolve-se com notificação da UNM, comunicado de fechamento da investigação ou amostra verificável.
Quantas pessoas e quais tipos de dado estão em jogo: resolve-se com aviso ao HHS/OCR (se houver PHI) ou notificação ao procurador-geral estadual.
Se houve criptografia ou só intrusão com extorsão: resolve-se com declaração da UNM ou análise forense publicada.
Se o BYOD é de fato o autor: resolve-se com atribuição de UNM/FBI ou confronto do identificador Session da mensagem com o do grupo.
Se o campus principal da UNM foi comprometido, como diz o ator, ou só o HSC: resolve-se com declaração da UNM sobre fronteiras de rede e domínios do AD afetados.
Vetor de acesso inicial: nenhuma fonte o informa; resolve-se com relatório pós-incidente ou análise de resposta a incidentes.
Se UNM pagou ou negociou resgate: não há informação; resolve-se com declaração oficial ou registros públicos.
Data e número de afetados do incidente anterior mencionado pela KRQE: não localizei; resolve-se com os autos do pedido de registros públicos citado na reportagem.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.