Une cyberattaque détourne les ambulances du seul centre de traumatologie de niveau I du Nouveau-Mexique

Systèmes rétablis, les cliniques reprennent

UNM Health a annoncé le mardi 27 octobre que tous les systèmes électroniques critiques étaient de nouveau en ligne, que la circulation des ambulances avait repris normalement et que les cliniques avaient repris les rendez-vous et les interventions programmés. Dans une mise à jour publiée à 14 h 02, l'université a indiqué que tous les hôpitaux d'UNM Health étaient entièrement ouverts. L'hôpital UNM d'Albuquerque et le Sandoval Regional Medical Center sont restés ouverts pendant toute la perturbation, selon le système de santé.

Les équipes soignantes reprogramment les rendez-vous et les interventions manqués. Les cours des quatre écoles des sciences de la santé ont été annulés mardi, et les programmes académiques et de recherche devaient reprendre mercredi. UNM a demandé aux personnes confrontées à une urgence d'appeler le 911.

Deux heures de détournement

La perturbation a commencé le lundi 26 octobre. Les équipes de sécurité informatique ont entamé le confinement vers 11 h après avoir identifié une menace, selon les mises à jour d'UNM. De 12 h 30 à 14 h 30, UNM Health a détourné les ambulances vers d'autres systèmes de santé de la région et limité les nouvelles admissions. Les opérations ambulatoires et les rendez-vous ont été annulés pour le reste de la journée.

Le détournement a concerné l'hôpital UNM, qui abrite le seul centre de traumatologie de niveau I du Nouveau-Mexique. UNM a activé son centre d'opérations d'urgence et prévenu les forces de l'ordre de l'État et fédérales. Les employés non essentiels du Health Sciences Center ont été invités à rester chez eux. À 14 h 30, UNM a commencé à remettre les systèmes en ligne par étapes.

Un centre de traumatologie de niveau I maintient des chirurgiens et des spécialistes disponibles jour et nuit pour les accidents graves, les blessures par balle et les chutes sérieuses. Quand il est en détournement, les secouristes doivent conduire les patients vers d'autres services d'urgence, qui peuvent devoir stabiliser les plus malades puis organiser un transfert. UNM Health traite plus de 1 000 000 de visites de patients par an. Son hôpital principal reçoit environ 80 000 patients aux urgences chaque année, rapporte BankInfoSecurity. Le UNM Health Sciences Center est le seul centre médical universitaire de l'État. Les petits hôpitaux du Nouveau-Mexique comptent sur lui pour accueillir les blessés graves et les malades critiques. Aucun dommage à un patient pendant le détournement n'a été signalé.

Ce qu'UNM a confirmé

UNM a indiqué que l'incident avait touché certains appareils des utilisateurs finaux, sans atteindre les systèmes centraux ni les serveurs. L'université attribue le rétablissement rapide aux équipes de sécurité informatique, qui ont travaillé avec des partenaires externes. Elle a aussi remercié les systèmes de santé d'Albuquerque et de Santa Fe d'avoir accueilli des patients pendant le détournement.

Les revendications de rançongiciel restent non vérifiées

Un groupe qui se fait appeler Byod a affirmé sur son site de fuite du dark web avoir compromis 36 000 systèmes sur le campus principal d'UNM et dans les environnements hospitaliers. Le groupe énumère des forêts Active Directory, l'infrastructure de stratégie de groupe, l'ensemble du tenant Microsoft Entra et deux bases de données Oracle. Il revendique l'accès à des données personnelles d'étudiants et d'employés, dont des numéros de sécurité sociale, des dossiers RH, de paie et étudiants Banner, des courriels internes, des données de recherche, des données de rendez-vous hospitaliers, des informations sur les patients et des listes du DSE Cerner.

Aucune de ces affirmations n'a été confirmée de façon indépendante. UNM n'a pas précisé le type de cyberattaque. BleepingComputer rapporte avoir trouvé la revendication de Byod. Les groupes de rançongiciel exagèrent souvent ce qu'ils ont dérobé pour pousser les victimes à payer. La conclusion d'UNM selon laquelle les serveurs centraux n'ont pas été atteints n'exclut pas en soi des données copiées depuis des appareils individuels.

KOB 4 a rapporté qu'un message audio automatique diffusé sur les ordinateurs des employés de l'hôpital demandait aux administrateurs de contacter les attaquants et affirmait qu'ils détenaient des numéros de sécurité sociale. Le site de fuite de Byod recense six victimes, et le groupe a publié des données qu'il dit provenir de trois d'entre elles.

Byod a déclaré qu'il fournirait gratuitement des clés de déchiffrement pour les systèmes verrouillés des établissements de santé et paierait jusqu'à 2 500 dollars pour chaque patient touché. Le groupe a aussi dit qu'il conserverait toutes les données volées.

« Nous avons une morale et un cœur, nous ne sommes pas des méchants, mais nous continuerons à tenir les entreprises responsables d'une sécurité défaillante menant à la compromission des données de leurs clients », a déclaré le groupe.

Sur sa page FAQ, Byod qualifie son travail de « pentesting » et affirme que le but est d'exposer des vulnérabilités et de tenir les responsables de traitement comptables des violations.

Byod a indiqué qu'il retirerait sa publication sur la violation dès que l'université aurait commencé à communiquer avec le groupe, ce que BleepingComputer considère comme probablement des négociations de rançon. BleepingComputer a sollicité un commentaire du UNM Health Sciences sur les accusations de vol de données et n'a reçu aucune réponse.

Une violation antérieure

UNM Health a déjà connu une violation majeure. En 2021, il a signalé un incident de piratage ayant touché 637 300 personnes et potentiellement exposé des noms, adresses, dates de naissance, informations d'assurance et numéros de sécurité sociale, selon BankInfoSecurity.

La suite

UNM a communiqué peu de détails en raison de l'enquête pénale. Les patients et le personnel ont été invités à rester vigilants face aux communications non sollicitées et aux attaques d'hameçonnage.