UNM Health ostrzega pacjentów przed kontaktem z domniemanymi sprawcami ataku

Ostrzeżenie UNM Health

UNM Health napisało w poście w mediach społecznościowych z 31 października 2026 r., że pacjenci nie powinni odpowiadać ani kontaktować się z osobami, które biorą na siebie odpowiedzialność za cyberatak. Komunikat, o którym poinformował Yahoo, ostrzegał, że sprawcy mogą próbować kolejnych oszustw, w tym fałszywych ofert wypłat lub odszkodowań. Pacjenci mają nie klikać linków, nie otwierać załączników, nie pobierać plików i nie podawać danych osobowych ani finansowych. UNM nie potwierdziło, czy skradziono dokumentację pacjentów.

Byod, które BleepingComputer opisuje jako nową grupę ransomware, zapowiedziało w poście z 27 października 2026 r., że przekaże darmowe klucze do odszyfrowania systemów w placówkach medycznych. Ta oferta nie pasuje do relacji UNM: uczelnia nie nazwała incydentu atakiem ransomware i twierdzi, że objął on część urządzeń końcowych, ale nie dotarł do systemów głównych ani serwerów. W komunikacie UNM nie ma słowa o tym, żeby systemy zaszyfrowano.

„Do każdego pacjenta, którego to dotknęło: prosimy o dowód, a wypłacimy każdemu do 2 500 dol. za niedogodności” – napisała grupa. „Jeszcze raz przepraszamy. Mamy zasady i mamy serce, nie jesteśmy złoczyńcami, ale nadal będziemy rozliczać firmy z kiepskiego bezpieczeństwa, które prowadzi do wycieku danych klientów”.

Grupa zapowiedziała też, że zatrzyma skradzione dane. BleepingComputer podał, że Byod wymienia sześć ofiar na swojej stronie z wyciekami i twierdzi, że opublikowało dane trzech.

Co stało się z systemami UNM

Zakłócenia w działaniu stały się publiczne w poniedziałek 26 października 2026 r., gdy UNM Health ujawniło cyberatak i zaczęło ograniczać przyjęcia nowych pacjentów, kierować karetki do szpitali w okolicy oraz wstrzymywać planowane operacje i wizyty, podał BleepingComputer. Odwołano zajęcia w czterech szkołach nauk o zdrowiu, a pracownikom Health Sciences Center, którzy nie pełnią funkcji krytycznych, kazano zostać w domu. UNM Hospital i Sandoval Regional Medical Center pozostały otwarte, a organizacja apelowała, by w nagłych przypadkach dzwonić pod 911.

W aktualizacji z 27 października 2026 r., dzień po tym, jak zakłócenia stały się publiczne, UNM podało, że wszystkie krytyczne systemy elektroniczne znów działają, a szpitale są w pełni otwarte. Ruch karetek był normalny, a przychodnie wznowiły zaplanowane wizyty i zabiegi. UNM podało, że szybkie przywrócenie działania było możliwe, bo zespoły bezpieczeństwa IT pracowały z partnerami zewnętrznymi nad zabezpieczeniem sieci. Uczelnia podała, że ocena wykazała, iż incydent objął część urządzeń końcowych, ale nie dotarł do systemów głównych ani serwerów.

Yahoo podało, że atak dotknął szerszego UNM Health Sciences Center, nie tylko szpitala, i wpłynął na badania oraz działalność kliniczną, a także na zajęcia. BleepingComputer podał, że UNM Health obsługuje ponad 1 mln wizyt pacjentów rocznie, a jej szpital w Albuquerque mieści jedyne w Nowym Meksyku centrum urazowe I stopnia.

Twierdzenia Byod i odpowiedź UNM

BleepingComputer podał, że Byod twierdzi, iż zaatakowało i przejęło kontrolę nad 36 000 systemów na głównym kampusie UNM i w środowiskach szpitalnych, w tym lasy Active Directory, infrastrukturę zasad grupy, całą dzierżawę Microsoft Entra i dwie bazy Oracle. Grupa utrzymuje, że miała dostęp do danych studentów i pracowników, w tym numerów ubezpieczenia społecznego, danych kadrowych, płacowych i studenckich w systemie Banner, wewnętrznej poczty, danych badawczych, danych o wizytach szpitalnych, informacji o pacjentach i list pacjentów z Cerner EHR.

„To cała wasza sieć i infrastruktura zajęta, cały uniwersytet CAŁKOWICIE” – powiedział sprawca.

BleepingComputer poinformował, że zwrócił się do UNM Health Sciences o komentarz i nie dostał odpowiedzi. Liczba 36 000 to twierdzenie Byod, którego uczelnia nie zweryfikowała. Byod zapowiedziało, że usunie wpis o ataku, gdy uniwersytet zaczął z nim rozmawiać; zdaniem BleepingComputer było to prawdopodobnie częścią negocjacji okupu.

Na swojej stronie z najczęstszymi pytaniami Byod opisuje swoją działalność jako „pentesting”, który ma ujawniać luki i rozliczać administratorów danych.