Hospital-escola do Novo México para; roubo de dados segue só alegação
UNM Health (Health Sciences Center, Universidade do Novo México)
alegado em · apurado em
O incidente é real e foi confirmado pela própria UNM: desvio de ambulâncias, cirurgias ambulatoriais suspensas e clínicas fechadas em 26/10/2026. A versão do grupo BYOD, de que comprometeu toda a rede (36 mil máquinas, Entra e dados de todos os alunos e funcionários), não tem prova pública e conflita com o que a UNM disse sobre o alcance.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
A interrupção operacional é fato. A UNM confirmou o evento, o desvio de ambulâncias, o cancelamento de consultas e cirurgias ambulatoriais e o aviso às autoridades. Esses pontos aparecem na comunicação oficial e em vários veículos independentes. Só um desmentido da própria UNM os derrubaria.
O BYOD provavelmente esteve dentro do ambiente da UNM. Funcionários ouviram uma mensagem sintética tocando nas estações. Um médico do UNMH confirmou isso ao Daily Lobo, e KRQE e KOB obtiveram o áudio. A mensagem pedia contato por Session e citava dados pessoais e SSNs. O conteúdo coincide com o post do grupo no site de vazamentos, publicado no mesmo dia. A UNM não confirmou a autoria. Não vi relato público que ligue a mensagem ao nome 'BYOD' de forma direta. A inferência vem da coincidência de tempo e de conteúdo. Seria desmentida se a UNM ou a investigação apontasse outro ator.
A abrangência alegada (36 mil máquinas, as duas florestas AD, todo o tenant Entra, Oracle HR/Folha e Banner, rosters do Cerner) está provavelmente inflada ou, no mínimo, sem prova. A porta-voz da UNM disse que o evento atingiu dispositivos de usuário final e não acessou sistemas ou servidores centrais do HSC. O KRQE reportou que o campus principal não foi afetado, e o grupo diz ter a floresta AD do campus principal. Hospitais e clínicas voltaram em cerca de um dia. A declaração inicial da UNM pode ser revista. Uma notificação formal de violação listando sistemas de identidade ou bancos corporativos mudaria este juízo.
Exfiltração de dados pessoais, incluindo SSNs, não está confirmada nem refutada. Existe só a alegação do ator e a mensagem nas estações. Nenhuma amostra verificada, contagem de registros ou notificação de violação apareceu. O dado mais próximo de prova seria uma notificação formal da UNM a titulares ou a reguladores.
Não há confirmação pública de criptografia de arquivos. A UNM não disse se houve ransomware, e a imprensa especializada ressalta que reivindicar o ataque não prova que um locker foi implantado. O comportamento observado (ordem de desligar e desplugar PCs, passar a trabalhar em papel, mensagem tocando nas estações) é compatível com ataque destrutivo ou de extorsão em endpoints, mas não o demonstra.
O risco à segurança do paciente foi real, mas curto. O hospital que abriga o único centro de trauma nível I do estado desviou toda a ambulância por uma janela de cerca de duas horas, segundo o Albuquerque Journal. Não há registro público de dano a paciente. Também não há apuração independente de que pacientes foram prejudicados.
Análise
O registro interno precisa de correção. A data da alegação (27/10) é o dia da cobertura. O ataque e a reivindicação são de 26/10/2026. O 'nome da vítima' era a manchete da BleepingComputer. A organização é o UNM Health, braço clínico do UNM Health Sciences Center. Há ator reivindicante (BYOD), país (EUA) e setor (saúde, com componente acadêmico). O selo 'claimed/unverified' subestima o que está confirmado: o incidente em si é fato e confirmado pela vítima. O que continua só alegado é a autoria, a exfiltração e a escala.
O que a UNM admite: um 'evento de cibersegurança' que atingiu todo o HSC (hospital, Faculdade de Medicina, Enfermagem, Farmácia e Saúde da População), com desvio de ambulâncias, cancelamento de consultas, suspensão de cirurgias ambulatoriais e aulas canceladas. Disse também que acionou parceiros externos e as autoridades estaduais e federais, e que a investigação segue. Não declarou o tipo de ataque, nem se houve criptografia, nem se dados de pacientes ou funcionários foram acessados. O diretor de comunicação do UNMH disse estar limitado no que pode divulgar enquanto a investigação policial corre.
O que o ator alega: o BYOD publicou que comprometeu 36 mil máquinas, as duas florestas Active Directory (campus principal e setor hospitalar), GPOs, todo o tenant Entra, duas bases Oracle (RH/Folha) e o Banner (registros de alunos), e-mails internos, rosters do Cerner EHR e PII com SSNs de todos os alunos e funcionários. Não há número de registros, só 'todos'. Também não há amostra pública verificada nas fontes que li. Um agregador relata uma atualização de 27/10 com oferta de chave de decriptação para o hospital, a alegação de que o grupo não sabia que certos dispositivos atendiam pacientes e uma oferta de compensação a pacientes. Só o Dysruptionhub traz isso, e o texto é do ator. Tratei como alegação sem valor probatório. Esse tipo de gesto costuma servir para moldar a narrativa pública e pressionar a vítima, e não indica o que de fato aconteceu.
Onde as versões divergem: a UNM disse, segundo o Santa Fe New Mexican, que o evento afetou dispositivos de usuário final e não acessou sistemas ou servidores centrais do HSC. O KRQE diz que o campus principal não foi afetado. O BYOD afirma ter as duas florestas AD e o tenant Entra inteiro. Se o domínio e o Entra tivessem sido tomados como o grupo descreve, é difícil explicar como um hospital com a maior parte dos sistemas centrais preservados voltou a operar parcialmente em cerca de três horas e inteiramente em um dia. Isso não prova que o grupo mente. A UNM pode estar descrevendo apenas o que sabia nas primeiras horas, e ter acesso a AD não implica interrupção de serviço. Mas a distância entre o que a vítima descreve e o que o grupo alega é a informação mais relevante aqui. Não a trato como desmentido, e sim como razão para não repetir '36 mil máquinas' como fato.
O que a evidência sustenta: a mensagem sintética tocando em estações do hospital é o elo mais forte entre o ator e a intrusão. Médico, KRQE e KOB confirmam que ela existiu, e o Daily Lobo descreve o conteúdo: pedido de contato por Session, ameaça e afirmação de posse de dados e SSNs. Isso indica acesso suficiente para executar algo em múltiplas estações, provavelmente por distribuição central (GPO, MDM ou ferramenta de gestão). É inferência minha a partir do comportamento observado, e a UNM não a confirma. Também não demonstra roubo de dados. Dizer 'temos seus dados' em uma mensagem é parte do roteiro padrão de extorsão.
Quanto ao rótulo 'ransomware': a BleepingComputer, o Infosecurity e outros o usam, mas a única base é a reivindicação do grupo. The Register lembra que reivindicar não prova autoria nem a implantação de um locker. Adoto 'incidente de extorsão reivindicado por grupo de ransomware' até a UNM ou um regulador confirmar a criptografia. O BYOD é descrito como grupo novo ou emergente (ransomware.live, The Register), sem histórico para calibrar a confiabilidade das suas alegações.
Não encontrei manifestação de regulador (HHS/OCR, procurador-geral do Novo México) nem filing que quantifique registros afetados. Isso é esperado a poucas horas do incidente, mas significa que qualquer contagem de afetados hoje é especulação.
Cronologia
- 26 out 2026Por volta das 11h–11h30 (MDT), funcionários do HSC relatam computadores tomados por uma mensagem de comprometimento. A UNM diz que identificou o evento por volta das 11h e iniciou a contenção.
- 26 out 202612h07: a administração orienta o corpo clínico a desligar e desplugar desktops, desativar o Wi-Fi nos móveis e usar formulários em papel.
- 26 out 202612h30–14h30: a UNM limita a entrada de novos pacientes e desvia ambulâncias. Ativa o Centro de Operações de Emergência. Às 14h30 anuncia o 'problema de cibersegurança', cancela consultas e cirurgias ambulatoriais e começa a restaurar sistemas em fases.
- 26 out 202620h52 UTC: o ransomware.live registra a publicação do BYOD no site de vazamentos reivindicando a UNM. É um grupo novo.
- 26 out 202622h27 (MDT): a UNM informa que os hospitais seguem abertos e que as clínicas retomam os agendamentos em 27/10. As aulas das escolas do HSC ficam suspensas na terça. O FBI de Albuquerque confirma que acompanha o caso.
- 27 out 2026Clínicas reabrem. O Albuquerque Journal informa que todos os sistemas do UNM Health estão de volta. Um agregador (Dysruptionhub) registra uma atualização atribuída ao BYOD, com oferta de chave de descriptografia só para o setor hospitalar e compensação a pacientes. Não há confirmação independente.
Dados envolvidos
Impacto
Confirmado: os pacientes do UNM Health (mais de 1 milhão de visitas ao ano, segundo a BleepingComputer) tiveram consultas e cirurgias ambulatoriais canceladas em 26/10. O hospital abriga o único centro de trauma nível I do estado e desviou toda a ambulância por uma janela de cerca de duas horas. Alunos e funcionários não essenciais do HSC foram dispensados, e as aulas foram suspensas até 27/10. A equipe passou a trabalhar em papel. O hospital voltou a aceitar todos os níveis de trauma no mesmo dia. Não confirmado: exposição de SSNs, folha de pagamento, registros de alunos ou dados clínicos. Se a alegação do BYOD se confirmar, os afetados seriam alunos e funcionários, e possivelmente pacientes. Hoje não há número verificável de pessoas afetadas.
Recomendações
- Em ambientes AD/Entra de saúde ou ensino: revise alterações recentes em GPOs, tarefas agendadas criadas por GPO e implantações em massa por MDM/Intune/SCCM. A mensagem simultânea em muitas estações sugere distribuição central e vale buscar esse padrão.
- Audite o Entra ID: novos registros de aplicativos e service principals, concessão de consentimento, mudanças em papéis privilegiados, métodos de MFA adicionados e logins de IPs incomuns. Revogue tokens de sessão e rotacione segredos se encontrar sinais.
- Se houver suspeita de comprometimento de controlador de domínio, planeje a redefinição dupla da conta krbtgt e a revisão de contas privilegiadas e de delegações Kerberos antes de restaurar acessos.
- Revise os logs de acesso e consultas em massa nos bancos Oracle de RH/Folha e do sistema acadêmico (Banner), e verifique o volume de saída por rede e a conexão de contas de serviço a partir de endpoints.
- Segmente a rede clínica da acadêmica e da corporativa, de modo que um ataque a endpoints de uma não derrube a outra. Teste os procedimentos de contingência em papel e o desvio de ambulâncias antes de precisar deles.
- Monitore tráfego e processos associados ao mensageiro Session em estações corporativas. Trate qualquer contato com a infraestrutura citada na mensagem do atacante como indicador a investigar, sem tomá-lo como prova de autoria.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Se houve criptografia de dados ou apenas indisponibilidade de endpoints: resolveria uma declaração da UNM sobre o tipo de ataque ou o relatório pós-incidente.
Se houve exfiltração e de quais bases (RH/Folha, Banner, Cerner, e-mails): resolveria uma notificação de violação a titulares, ao HHS/OCR ou à autoridade estadual, ou uma amostra verificada por terceiro independente.
O alcance real em Active Directory e Entra: resolveria a revisão dos logs de autenticação e alterações de GPO pela UNM, ou uma divulgação técnica da resposta ao incidente.
Se a mensagem sintética nas estações foi mesmo assinada pelo BYOD: resolveria a UNM ou o FBI atribuírem o ataque, ou a comparação do contato em Session com os canais do grupo.
O vetor de entrada: não há informação pública. Só um relatório técnico da UNM, da empresa de resposta contratada ou do FBI esclareceria.
A veracidade da atualização do BYOD de 27/10 (chave de descriptografia, compensação a pacientes): ela vem só de um agregador. Precisaria de confirmação pela UNM ou do texto original publicado.
Número de pessoas afetadas: nenhuma fonte oficial ou do ator traz contagem. Precisaria de notificação regulatória.
Se houve dano a pacientes durante a diversão de ambulâncias e a operação em papel: faltam relatos apurados de forma independente.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.