新墨西哥大学医院遭勒索攻击，黑客团伙道歉并承诺赔偿患者

勒索软件团伙BYOD于10月26日宣称攻击美国新墨西哥大学健康科学中心（UNM HSC），随后发布道歉声明，表示免费提供医院设备的解密密钥，并承诺向每位能拿出受损证明的患者支付最高2500美元。该团伙同时称仍扣留着数据，大学方面没有证实数据被盗。

UNM HSC位于阿尔伯克基，下辖多家医院、医学院和生物医学研究中心，全州唯一的一级创伤中心、唯一的重度烧伤中心和唯一的儿童医院都设在这里。攻击发生后，救护车一度被分流，门诊手术和问诊暂停，教学活动中断，至10月28日临床、教学和科研活动全部恢复。

事件经过

据安全媒体梳理，HSC安全团队在周一上午11点前后发现威胁，随即启动遏制措施。12点30分至14点30分之间，救护车被分流至阿尔伯克基和圣菲的其他医院，门诊手术和问诊当天余下时间全部暂停，数十个预约被取消。

周二，医学院以及护理、药学和公共卫生课程停课，非必要人员被要求居家。当天下午校方宣布关键电子系统恢复上线，医院全面开放，救护车流量回归正常。

校方对事件性质的措辞保持克制，只称之为“网络安全事件”，没有提到勒索软件，并表示评估发现受影响的是部分终端用户设备，核心系统和服务器未受波及。州警方和联邦执法部门已接到通报，调查按刑事案件进行，HSC方面表示没有支付任何赎金。

团伙的道歉与承诺

BYOD的道歉声明于10月27日周二出现在该团伙列出受害者的网站上，标题为“UPDATE: UNM”，并已存档于RansomLook。团伙写道，自己事先不知道那些系统上运行着用于实时救治患者的设备，并强调如果只涉及预约、患者信息和研究数据，它会让一切继续锁着。

声明承诺免费交出医院部门仍被锁定设备的解密密钥，并向每位证明自己受害的患者支付最高2500美元，但密钥仅限医院部门，数据仍握在它手里。联系渠道是即时通讯应用Session，结尾附上一句“我们有道德，也有一颗心”，并称今后仍会追究企业安全薄弱、导致客户数据泄露的责任。

对患者的这项许诺只有一个门槛，即受损证明，再无其他细节。声明没有说明如何举证、由谁评估、以哪种货币、通过什么方式付款。2500美元是上限，并非保证金额。

BYOD大约一个月前才冒头，此前上过新闻是因为泄露了3615条特朗普移动客户记录。这个缩写与企业“自带设备”政策同名，但据目前所知两者并无关系。

校方回应与待核实信息

BYOD在10月26日宣布得手时发布的帖子比道歉声明严重得多。据BleepingComputer报道，该团伙声称攻陷了校园和医院共3.6万台设备、两个Active Directory林、两个Oracle数据库和整个Microsoft Entra租户，涉及学生和员工的个人数据（包括社会保障号）、内部邮件、科研数据，以及来自Cerner电子病历的患者名单。校方对此一概没有证实，也未回应关于数据失窃的置评请求。

10月28日，HSC提醒公众警惕肇事者的诈骗，包括“虚假的付款或赔偿提议”，并请患者、学生、员工和市民不要回复自称与事件有关的人，不要点击链接，不要提供个人或财务信息。被联系的人应保留信息，并向FBI互联网犯罪投诉中心举报。通告里没有出现2500美元这个数字。

免费密钥这一块同样悬而未决。有媒体写道，目前不清楚BYOD是否真的提供了对系统恢复起作用的解密协助，医院大约一天就恢复运转，校方称是与外部合作伙伴共同努力的结果。

这些局限值得注意：3.6万台设备被攻陷的说法只来自该团伙自己的帖子；2500美元的承诺出自犯罪组织，没有人见过任何一笔付款；道歉并没有消除数据威胁，BYOD声称保留数据，在UNM说清究竟复制了什么之前，患者、学生和员工面对的数据滥用或公开风险依然存在。

医院为何频成目标

向医院道歉并附送解密工具并非首例。2023年1月，业内最活跃的团伙之一LockBit为攻击多伦多儿童医院SickKids道歉，并发布免费解密工具，把责任推给一名违反团伙规则的下线成员。2021年，Conti曾把密钥交给爱尔兰医疗服务机构HSE。

医院在全球都是靶子。据The Record报道，就在UNM事件前一周，克利夫兰的University Hospitals在没有关键系统的情况下撑过了一个周末；在意大利，Space Bears宣称拿下了Alma Center医疗中心。

医疗系统一旦停摆，后果是实打实的。Synnovis遇袭事件就是例子，一名患者死亡，一名涉嫌Qilin成员被引渡到德国。停摆的医院等不起，救护车改道、手术推迟，给决定是否谈判的人带来压力，病历在黑市上也很值钱。

要点

• BYOD于10月26日宣称攻击UNM健康科学中心
• 团伙承诺向能证明受损的患者支付最高2500美元
• 救护车一度分流，门诊手术暂停
• 10月28日临床、教学和科研活动全部恢复
• 校方称未支付赎金，未证实数据被盗