UNM Health demande à ses patients d'ignorer quiconque revendique la cyberattaque

La mise en garde de UNM Health

Dans un message publié sur les réseaux sociaux le 31 octobre 2026, UNM Health indique que les patients ne doivent ni répondre ni donner suite à quiconque revendique la cyberattaque. L'avis, relayé par Yahoo, prévient que les responsables pourraient tenter d'autres arnaques, notamment de fausses promesses de paiement ou d'indemnisation. Il demande aux patients de ne pas cliquer sur des liens, de ne pas ouvrir de pièces jointes, de ne pas télécharger de fichiers et de ne communiquer aucune information personnelle ou bancaire. UNM n'a pas confirmé si des dossiers de patients ont été dérobés.

Byod, que BleepingComputer présente comme un nouveau groupe de rançongiciel, a écrit le 27 octobre 2026 qu'il fournirait gratuitement des clés de déchiffrement aux établissements de santé dont les systèmes sont bloqués. Cette offre ne correspond pas au récit de UNM. L'université n'a pas qualifié l'incident de rançongiciel et affirme qu'il a touché certains appareils d'utilisateurs finaux sans atteindre les systèmes centraux ni les serveurs. Son communiqué ne mentionne aucun chiffrement des systèmes.

« À tout patient qui a été touché, merci de nous apporter la preuve, et nous vous verserons jusqu'à 2 500 dollars chacun pour le dérangement », a écrit le groupe. « Nous sommes encore désolés. Nous avons des principes et un cœur, nous ne sommes pas des méchants, mais nous continuerons à tenir les entreprises responsables d'une sécurité défaillante ayant conduit à la compromission de données clients. »

Le groupe a aussi annoncé qu'il conserverait les données volées. BleepingComputer rapporte que Byod recense six victimes sur son site de fuite de données et affirme avoir publié les données de trois d'entre elles.

Ce qui est arrivé aux systèmes de UNM

La perturbation est devenue publique le lundi 26 octobre 2026, lorsque UNM Health a révélé la cyberattaque et commencé à limiter les nouvelles admissions, à détourner les ambulances vers des hôpitaux voisins et à suspendre les chirurgies et rendez-vous ambulatoires, selon BleepingComputer. Les cours de ses quatre écoles de sciences de la santé ont été annulés et les employés non essentiels du Health Sciences Center ont reçu l'ordre de rester chez eux. L'hôpital UNM et le Sandoval Regional Medical Center sont restés ouverts, et l'organisation a invité les personnes en urgence à appeler le 911.

Dans une mise à jour du 27 octobre 2026, un jour après la révélation, UNM a indiqué que tous les systèmes électroniques critiques étaient de nouveau en ligne et que tous les hôpitaux étaient pleinement ouverts. Le trafic des ambulances était normal et les cliniques avaient repris les rendez-vous et procédures prévus. UNM explique cette reprise rapide par le travail des équipes de sécurité informatique avec des partenaires externes pour sécuriser le réseau. L'université précise qu'une évaluation a conclu que l'incident avait touché certains appareils d'utilisateurs finaux sans atteindre les systèmes centraux ni les serveurs.

Yahoo rapporte que la compromission a frappé l'ensemble du UNM Health Sciences Center, et pas seulement l'hôpital, affectant les activités de recherche et les opérations cliniques autant que les cours. BleepingComputer indique que UNM Health enregistre plus de 1 000 000 de visites de patients par an et que son hôpital d'Albuquerque abrite le seul centre de traumatologie de niveau I du Nouveau-Mexique.

Les affirmations de Byod et la réponse de UNM

BleepingComputer rapporte que Byod a revendiqué l'attaque et affirmé avoir compromis 36 000 systèmes sur le campus principal et dans les environnements hospitaliers de UNM, dont des forêts Active Directory, l'infrastructure de stratégie de groupe, l'ensemble du tenant Microsoft Entra et deux bases de données Oracle. Le groupe dit avoir accédé à des données d'étudiants et d'employés, notamment des numéros de sécurité sociale, des dossiers RH, de paie et étudiants Banner, des courriels internes, des données de recherche, des données de rendez-vous hospitaliers, des informations sur les patients et les listes du dossier médical électronique Cerner.

« C'est tout votre réseau et toute votre infrastructure qui sont compromis, l'université entière, COMPLÈTEMENT », a déclaré l'attaquant.

BleepingComputer indique avoir contacté les UNM Health Sciences pour un commentaire sans obtenir de réponse. Le chiffre de 36 000 est une affirmation de Byod, non vérifiée par l'université. Byod a annoncé qu'il retirerait sa publication sur la violation dès que l'université aurait commencé à dialoguer avec lui ; selon BleepingComputer, il s'agissait probablement d'une partie des négociations de rançon.

Sur sa page FAQ, Byod décrit son activité comme du « pentesting » destiné à exposer des vulnérabilités et à tenir les responsables de traitement de données pour comptables.