UNM Health bringt Systeme nach Cyberangriff wieder online, Ambulanzen zwei Stunden umgeleitet

Das UNM Hospital und das Sandoval Regional Medical Center blieben während des Vorfalls geöffnet, erklärte der Klinikverbund. Am Montag, 26. Oktober, nahm er von 12:30 bis 14:30 Uhr keine neuen Patienten auf und leitete den Ambulanzverkehr an Gesundheitseinrichtungen in Albuquerque und Santa Fe weiter. Ambulante Operationen und Termine setzte er für den Rest des Tages aus.

Um 14:30 Uhr begann UNM, die Systeme schrittweise wieder hochzufahren. Bis Dienstag lief der Ambulanzverkehr wieder normal, und die Kliniken hatten planmäßige Termine und Eingriffe aufgenommen, so UNM. Die eigene Prüfung ergab, dass der Vorfall einige Endgeräte betraf, aber nicht in die Kernsysteme oder Server eindrang.

Wie sich der Vorfall entwickelte

UNM Health bemerkte den Angriff auf das Netzwerk gegen 11:30 Uhr am Montag, berichtete Help Net Security unter Berufung auf die Nachricht, die die Administratoren an die Beschäftigten schickten. Rund 40 Minuten später wurden die Mitarbeiter angewiesen, Computersysteme herunterzufahren und vom Strom zu trennen sowie das WLAN auf mobilen Geräten abzuschalten.

Das Health Sciences Center richtete ein Notfallzentrum ein und informierte die Strafverfolgungsbehörden von Bund und Staat, hieß es. An der School of Medicine, am College of Nursing, am College of Pharmacy und am College of Population Health fiel der Unterricht am Dienstag aus, akademische und Forschungseinheiten blieben geschlossen. Beschäftigte ohne zwingende Aufgaben sollten zu Hause bleiben.

Die Behauptungen der Erpressergruppe

Eine Gruppe namens Byod bekannte sich zu der Tat und erklärte, sie habe 36.000 Systeme auf dem Hauptcampus von UNM und in den Klinikbereichen kompromittiert, berichtete BleepingComputer. UNM hat diese Zahl nicht bestätigt. Der Beitrag auf der Leak-Seite führte Sozialversicherungsnummern, Personal- und Gehaltsunterlagen, Banner-Studierendendaten, interne E-Mails, Forschungsdaten, Termindaten der Kliniken, Patientendaten und Cerner-EHR-Listen auf. Help Net Security wies darauf hin, dass die Angaben weiterhin unbestätigt seien.

In einem Beitrag vom Dienstag bot Byod kostenlose Entschlüsselungsschlüssel für gesperrte Rechner im Kliniksektor an, versprach bis zu 2.500 Dollar pro betroffenem Patienten und erklärte, die gestohlenen Daten zu behalten. "Wir haben Moral und wir haben ein Herz, wir sind keine Schurken", schrieb die Gruppe. UNM erklärte, man habe "keine Zugeständnisse an irgendeine Gruppe hinter der Bedrohung gemacht", berichtete Dexerto.

Byod ist neu. Die Gruppe trat im September auf und führt sechs Opfer auf ihrer Leak-Seite, für drei davon wurden Daten veröffentlicht. Erpressergruppen übertreiben häufig, was sie erbeutet haben, um Opfer zur Zahlung zu drängen, berichtete Medical Daily.

KOB 4 erhielt eine Teilaufnahme einer automatischen Sprachnachricht, die auf den Rechnern der Klinikbeschäftigten lief. Die Nachricht forderte die Administratoren auf, die Angreifer über Session zu kontaktieren, und behauptete, die Gruppe besitze Studierendendaten, personenbezogene Daten und Sozialversicherungsnummern. Die Behörden haben diese Angaben nicht bestätigt.

Warum eine zweistündige Umleitung den ganzen Staat trifft

Das UNM Hospital in Albuquerque beherbergt das einzige Level-I-Traumazentrum des Staates, die höchste Stufe für die Behandlung der schwersten Verletzungen, und das einzige im Umkreis von rund 400 Meilen, berichtete Source NM. Fällt es aus, müssen Rettungskräfte Patienten in andere Notaufnahmen bringen, die die Schwerstkranken möglicherweise erst stabilisieren und dann eine Verlegung organisieren müssen.

Der Verbund zählt mehr als 1.000.000 Patientenkontakte pro Jahr, berichtete BleepingComputer. UNM kündigte an, mit Patienten neue Termine für versäumte Untersuchungen zu vereinbaren.

Was offen bleibt

UNM könne nur begrenzt Angaben machen, weil der Vorfall Gegenstand laufender Ermittlungen der Strafverfolgungsbehörden sei. Die Universität hat nicht mitgeteilt, ob Daten kopiert wurden, wie viele Menschen betroffen sein könnten oder ob eine Lösegeldforderung eingegangen ist.