Cyberatak odciągnął karetki od jedynego w Nowym Meksyku centrum urazowego I stopnia

Systemy przywrócone, poradnie wznawiają pracę

UNM Health poinformował we wtorek 27 października, że wszystkie krytyczne systemy elektroniczne działają ponownie, ruch karetek wrócił do normy, a poradnie wznowiły zaplanowane wizyty i zabiegi. W komunikacie z godz. 14:02 uczelnia podała, że wszystkie szpitale UNM Health są w pełni otwarte. Szpital UNM w Albuquerque i Sandoval Regional Medical Center pozostawały otwarte przez cały czas zakłócenia, przekazał system opieki zdrowotnej.

Zespoły opieki przekładają na inny termin odwołane wizyty i zabiegi. We wtorek odwołano zajęcia w czterech szkołach nauk o zdrowiu, a programy akademickie i badawcze mają wrócić w środę. UNM apelował, by osoby w sytuacjach nagłych dzwoniły pod 911.

Dwie godziny przekierowania karetek

Zakłócenie zaczęło się w poniedziałek 26 października. Zespoły bezpieczeństwa IT zaczęły powstrzymywać incydent około 11:00, po zidentyfikowaniu zagrożenia, wynika z komunikatów UNM. Od 12:30 do 14:30 UNM Health kierował karetki do innych systemów opieki w regionie i ograniczył przyjmowanie nowych pacjentów. Operacje ambulatoryjne i wizyty odwołano do końca dnia.

Przekierowanie objęło szpital UNM, w którym działa jedyne w Nowym Meksyku centrum urazowe I stopnia. UNM uruchomił Centrum Operacji Kryzysowych i powiadomił stanowe oraz federalne służby ścigania. Pracownikom niewykonującym zadań krytycznych w Health Sciences Center kazano zostać w domu. O 14:30 uczelnia zaczęła etapami przywracać systemy.

Centrum urazowe I stopnia ma chirurgów i specjalistów dostępnych przez całą dobę w przypadku poważnych wypadków, ran postrzałowych i groźnych upadków. Gdy centrum przekierowuje karetki, ratownicy muszą wieźć pacjentów na inne oddziały ratunkowe, w których może być najpierw konieczne ustabilizowanie najciężej chorych, a potem zorganizowanie transportu. UNM Health obsługuje ponad 1 mln wizyt pacjentów rocznie. Jego główny szpital przyjmuje około 80 000 pacjentów oddziału ratunkowego rocznie, podał BankInfoSecurity. UNM Health Sciences Center to jedyne akademickie centrum medyczne w stanie. Mniejsze szpitale w Nowym Meksyku polegają na nim, gdy muszą przyjąć ciężko rannych i chorych. Nie zgłoszono, by w czasie przekierowania ucierpiał jakikolwiek pacjent.

Co potwierdził UNM

UNM podał, że incydent dotknął niektórych urządzeń końcowych, ale nie przeniknął do systemów rdzeniowych ani serwerów. Za szybkie przywrócenie działania uczelnia podziękowała zespołom bezpieczeństwa IT pracującym z partnerami zewnętrznymi. Podziękowała też systemom opieki w Albuquerque i Santa Fe za przejęcie pacjentów w czasie przekierowania.

Twierdzenia o ransomware pozostają niepotwierdzone

Grupa nazywająca się Byod twierdziła na swojej witrynie wyciekowej w dark webie, że przejęła 36 000 systemów na głównym kampusie UNM i w środowiskach szpitalnych. Wymieniła lasy Active Directory, infrastrukturę Group Policy, całego tenanta Microsoft Entra i dwie bazy Oracle. Twierdziła, że ma dostęp do danych osobowych studentów i pracowników, w tym numerów Social Security, danych HR i płacowych, akt studenckich Banner, wewnętrznej poczty, danych badawczych, danych o wizytach szpitalnych, informacji o pacjentach i list Cerner EHR.

Żadnego z tych twierdzeń nie potwierdzono niezależnie. UNM nie ujawnił rodzaju cyberataku. BleepingComputer podał, że natrafił na twierdzenie Byod. Grupy ransomware często zawyżają skalę kradzieży, żeby zmusić ofiary do zapłaty. Ustalenie UNM, że atak nie dotarł do serwerów rdzeniowych, samo w sobie nie wyklucza skopiowania danych z pojedynczych urządzeń.

KOB 4 podał, że na komputerach pracowników szpitala odtworzyła się automatyczna wiadomość audio, która kazała administratorom skontaktować się z napastnikami i twierdziła, że mają numery Social Security. Witryna wyciekowa Byod wymienia sześć ofiar, a grupa opublikowała dane, które według niej pochodzą od trzech z nich.

Byod zapowiedziała darmowe klucze deszyfrujące dla zablokowanych systemów w placówkach ochrony zdrowia i wypłatę do 2 500 dol. za każdego dotkniętego pacjenta. Zapowiedziała też, że zatrzyma wszystkie skradzione dane.

„Mamy zasady i mamy serce, nie jesteśmy złoczyńcami, ale nadal będziemy rozliczać firmy z kiepskiego bezpieczeństwa, które prowadzi do przejęcia danych klientów”, podała grupa.

Na stronie FAQ Byod nazywa swoją działalność „pentestingiem” i twierdzi, że chodzi o ujawnianie podatności i pociąganie administratorów danych do odpowiedzialności za naruszenia.

Byod zapowiedziała, że usunie wpis o naruszeniu, gdy uczelnia zacznie z nią rozmawiać, co według BleepingComputer oznaczało najpewniej negocjacje okupu. BleepingComputer poprosił UNM Health Sciences o komentarz w sprawie zarzutów o kradzież danych i nie dostał odpowiedzi.

Wcześniejsze naruszenie

UNM Health mierzył się już z poważnym wyciekiem. W 2021 roku zgłosił incydent hakerski, który dotknął 637 300 osób i mógł ujawnić nazwiska, adresy, daty urodzenia, informacje o ubezpieczeniu i numery Social Security, podał BankInfoSecurity.

Co dalej

UNM ujawnił niewiele szczegółów z powodu śledztwa karnego. Pacjentów i personel poproszono o czujność wobec nieoczekiwanych wiadomości i ataków phishingowych.