UNM Health rétablit ses systèmes après une cyberattaque qui a détourné les ambulances pendant deux heures

L'hôpital UNM et le Sandoval Regional Medical Center sont restés ouverts pendant toute la durée de l'incident, indique le groupe de santé. Lundi 26 octobre, de 12h30 à 14h30, il a limité les nouvelles admissions de patients et redirigé les ambulances vers des groupes de santé d'Albuquerque et de Santa Fe. Il a aussi suspendu les opérations et les rendez-vous ambulatoires pour le reste de la journée.

À 14h30, il a commencé à remettre ses systèmes en ligne par étapes. Mardi, le trafic des ambulances était revenu à la normale et les cliniques avaient repris les rendez-vous et procédures prévus, selon UNM. Son évaluation conclut que l'événement a touché certains appareils des utilisateurs finaux, sans atteindre les systèmes centraux ni les serveurs.

Comment l'incident s'est déroulé

UNM Health a détecté l'intrusion dans le réseau vers 11h30 lundi, rapporte Help Net Security, citant le message envoyé par les administrateurs aux soignants. Environ 40 minutes plus tard, le personnel a reçu l'ordre d'éteindre et de débrancher les ordinateurs et de couper le Wi-Fi des appareils mobiles.

Le Health Sciences Center a activé un centre d'opérations d'urgence et prévenu les forces de l'ordre de l'État et fédérales, indique-t-il. Les cours de la School of Medicine, du College of Nursing, du College of Pharmacy et du College of Population Health ont été annulés mardi, et les unités académiques et de recherche sont restées fermées. Les employés non essentiels ont été invités à rester chez eux.

Les affirmations du groupe de rançongiciel

Un groupe qui se fait appeler Byod a revendiqué l'attaque et déclaré avoir compromis 36 000 systèmes sur le campus principal d'UNM et dans les environnements hospitaliers, rapporte BleepingComputer. UNM n'a pas vérifié ce chiffre. Le message publié sur son site de fuite énumérait des numéros de sécurité sociale, des dossiers RH et de paie, des dossiers étudiants Banner, des courriels internes, des données de recherche, des données de rendez-vous hospitaliers, des informations sur les patients et des listes du DSE Cerner. Help Net Security note que ces affirmations restaient non confirmées.

Dans un message publié mardi, Byod a proposé des clés de déchiffrement gratuites pour les machines verrouillées du secteur hospitalier, promis jusqu'à 2 500 dollars par patient touché et annoncé qu'il conserverait les données volées. « Nous avons une morale et un cœur, nous ne sommes pas des méchants », a écrit le groupe. UNM a déclaré n'avoir « fait aucune concession à aucun groupe derrière la menace », rapporte Dexerto.

Byod est nouveau. Le groupe est apparu en septembre et recense six victimes sur son site de fuite, avec des données publiées pour trois d'entre elles. Les groupes de rançongiciels exagèrent souvent ce qu'ils ont dérobé pour pousser les victimes à payer, rapporte Medical Daily.

KOB 4 a obtenu un enregistrement partiel d'un message vocal automatisé diffusé sur les ordinateurs du personnel hospitalier. Le message invitait les administrateurs à contacter les attaquants sur Session et affirmait que le groupe détenait des données étudiantes, des informations personnelles identifiables et des numéros de sécurité sociale. Les autorités n'ont pas confirmé ces affirmations.

Pourquoi un détournement de deux heures compte à l'échelle de l'État

L'hôpital UNM d'Albuquerque abrite le seul centre de traumatologie de niveau I du Nouveau-Mexique, le niveau le plus élevé pour soigner les blessés les plus graves, et le seul dans un rayon d'environ 400 miles, rapporte Source NM. Quand il est en détournement, les secouristes doivent conduire les patients vers d'autres services d'urgence, qui peuvent devoir stabiliser les plus malades avant d'organiser un transfert.

Le groupe de santé traite plus de 1 000 000 de visites de patients par an, rapporte BleepingComputer. UNM a indiqué qu'il travaillerait avec les patients pour reprogrammer les rendez-vous manqués.

Ce qui reste sans réponse

UNM dit être limité dans ce qu'il peut communiquer, l'incident faisant toujours l'objet d'une enquête active des forces de l'ordre. L'université n'a pas précisé si des données avaient été copiées, combien de personnes pouvaient être concernées, ni si elle avait reçu une demande de rançon.