L’Université du Nouveau-Mexique paralysée par une cyberattaque, le groupe Byod revendique l’opération

L’Université du Nouveau-Mexique fait face depuis le 26 octobre à une cyberattaque d’ampleur qui a contraint son centre des sciences de la santé à suspendre l’ensemble de ses activités cliniques et académiques. L’établissement, qui gère plus d’un million de consultations annuelles et abrite le seul centre de traumatologie de niveau I de l’État, a dû dérouter les ambulances vers les hôpitaux d’Albuquerque et de Santa Fe, annuler les chirurgies programmées et fermer ses cliniques externes. Les cours des facultés de médecine, d’infirmerie et de pharmacie restent suspendus pour une deuxième journée consécutive, tandis que le personnel non essentiel a reçu l’instruction de demeurer à domicile.

L’attaque a ciblé les systèmes d’information du Health Sciences Center dès le lundi matin, forçant les équipes techniques à couper l’accès au réseau pour contenir l’intrusion. Dans un communiqué publié en fin de journée, l’université a confirmé avoir alerté les autorités fédérales et étatiques, tout en mobilisant des prestataires externes pour conduire l’investigation. Un centre d’opérations d’urgence a été activé pour coordonner la réponse et guider les employés, étudiants et soignants de première ligne.

Si l’institution n’a pas qualifié publiquement la nature de l’incident, l’apparition d’un groupe de rançongiciel baptisé Byod sur la scène cybercriminelle laisse peu de place au doute. Ce collectif, qui ne compte que six victimes affichées sur son site de fuite de données, a revendiqué l’opération dès le lundi après-midi. Ses opérateurs affirment avoir compromis 36 000 machines à travers le campus principal et les environnements hospitaliers, incluant les deux forêts Active Directory, l’infrastructure de stratégies de groupe, l’intégralité du locataire Microsoft Entra et deux bases de données Oracle. Ils prétendent détenir les numéros de sécurité sociale, les dossiers de paie et d’étudiants, les courriels internes, les données de recherche, les informations de rendez-vous hospitaliers, les données patients et les listes du dossier médical électronique Cerner.

Les revendicateurs ont adopté une posture inhabituelle, proposant de fournir gratuitement les clés de déchiffrement pour les systèmes des établissements de santé et promettant jusqu’à 2 500 dollars par patient affecté. Ils justifient leur action par la négligence sécuritaire de leurs cibles, tout en précisant qu’ils conserveront l’ensemble des données exfiltrées. Cette rhétorique, qui mêle pression financière et affichage moral, n’en demeure pas moins celle d’un groupe criminel dont la crédibilité technique reste à établir. Les experts notent qu’un groupe rival, EndZone, avait revendiqué une brèche similaire une semaine plus tôt, certains analystes suggérant qu’il pourrait s’agir d’une même entité opérant sous deux identités.

L’incidente rappelle la vulnérabilité critique des établissements de santé face aux rançongiciels, secteur où l’urgence vitale des services crée une pression maximale pour payer. Le Health Sciences Center de l’UNM, par sa taille et son rôle de filet de sécurité régional, représente une cible à haut impact. La reprise progressive des activités cliniques ce mardi ne marque pas la fin de la crise : l’investigation forensic, la notification aux personnes dont les données auraient été compromises et le renforcement de l’architecture de sécurité mobiliseront l’institution pour les mois à venir.

Sources : BleepingComputer, The Register