UNM Health khôi phục hoạt động sau sự cố mạng; claim BYOD chưa xác minh
Sự cố tại UNM Health từng làm chuyển hướng xe cấp cứu và hủy lịch khám. UNM xác nhận ảnh hưởng vận hành nhưng chưa xác nhận ransomware hoặc các tuyên bố dữ liệu của BYOD.
Cập nhật: · Giờ Việt Nam (UTC+7)
Đã đối chiếu thông báo sơ cấp của UNM Health Sciences Center ngày 26–28/10/2026 và trang IT Alerts còn hiển thị ngày 01/11. Xác nhận sự cố an ninh mạng từng gây chuyển hướng xe cấp cứu, hủy lịch khám/lớp học và ảnh hưởng một số thiết bị đầu cuối; UNM nói hệ thống lõi và máy chủ không bị xâm nhập theo đánh giá ban đầu và hoạt động đã trở lại. Claim của nhóm BYOD về ransomware, 36.000 hệ thống và dữ liệu bị lấy chỉ được ghi nhận từ nguồn thứ cấp, chưa được UNM hoặc Ransomware.VN xác minh độc lập.
Sự kiện bắt đầu ngày 26/10; thông báo chính thức cập nhật ngày 28/10 và trang trạng thái còn hiển thị ngày 01/11. Bài được xuất bản ngày 02/11 để tổng hợp nguồn đã kiểm tra, không đổi ngày sự kiện thành ngày bài. Việc một nhóm xuất hiện trên leak site hoặc tự nhận trách nhiệm không chứng minh ransomware đã chạy, dữ liệu đã bị lấy hay toàn bộ phạm vi mà nhóm tuyên bố. Không công bố dữ liệu cá nhân, link leak site hoặc mẫu chưa được phép.
Bằng chứng: gián đoạn y tế đã được UNM xác nhận
Khoảng 11:00 ngày 26/10/2026 theo giờ địa phương, UNM HSC phát hiện một mối đe dọa an ninh mạng và bắt đầu cô lập. Trong giai đoạn đầu, xe cấp cứu được chuyển sang bệnh viện khác, lịch khám ngoại trú bị hủy và sinh viên, nhân sự không thiết yếu được yêu cầu rời cơ sở. [S1]
UNM Hospital và các cơ sở liên quan đã kích hoạt điều phối khẩn cấp. Tác động tới dịch vụ y tế là dữ kiện do chính tổ chức công bố; đây không phải suy luận từ leak site. [S1]
Bằng chứng: hoạt động đã phục hồi, phạm vi kỹ thuật còn giới hạn
Bản cập nhật ngày 28/10 cho biết hệ thống điện tử quan trọng đã hoạt động trở lại, bệnh viện mở đầy đủ, xe cấp cứu trở lại bình thường và lịch khám được nối lại. Lớp học và hoạt động nghiên cứu cũng tiếp tục. [S1]
Theo đánh giá UNM công bố, sự kiện ảnh hưởng một số thiết bị đầu cuối nhưng không xâm nhập hệ thống lõi hoặc máy chủ. Trang IT Alerts nói hệ thống main campus và branch campus không bị ảnh hưởng theo phạm vi thông báo; cảnh báo HSC vẫn còn hiển thị khi rà soát ngày 02/11. [S1][S2]
Claim BYOD phải được giữ ở trạng thái chưa xác minh độc lập
BleepingComputer ghi nhận một nhóm mới dùng tên BYOD tự nhận trách nhiệm và tuyên bố đã truy cập 36.000 hệ thống cùng nhiều loại dữ liệu. UNM không xác nhận con số, phạm vi hạ tầng hoặc các loại dữ liệu này trong thông báo sơ cấp được rà soát. [S3]
UNM cảnh báo bệnh nhân, sinh viên và nhân viên không phản hồi bất kỳ ai tự nhận chịu trách nhiệm, không mở link/tệp và không cung cấp thông tin cá nhân hoặc tài chính. Tin nhắn cần được bảo toàn và báo cho FBI IC3. [S1]
Ransomware.VN không gọi đây là một vụ ransomware đã xác nhận. Claim trên leak site phản ánh tuyên bố của threat actor, không phải bằng chứng độc lập về mã hóa, đánh cắp dữ liệu hoặc attribution.
Nhận định kỹ thuật: phục hồi dịch vụ không kết thúc điều tra
Việc bệnh viện trở lại hoạt động là cột mốc vận hành; không tự động loại trừ persistence, lộ thông tin đăng nhập hoặc rủi ro lừa đảo hậu sự cố. Điều tra cần tiếp tục dựa trên log, ảnh đĩa, danh tính số và timeline được bảo toàn.
- Tách timeline gián đoạn dịch vụ khỏi timeline xâm nhập và phục hồi kỹ thuật.
- Kiểm kê thiết bị đầu cuối bị ảnh hưởng, tài khoản đã dùng và thay đổi quyền trong cùng cửa sổ thời gian.
- Xác minh độc lập mọi claim về dữ liệu bằng log, bằng chứng pháp y và thông báo chính thức; không tải dữ liệu leak để kiểm tra.
- Theo dõi lừa đảo mạo danh bồi thường hoặc hỗ trợ; thu hồi phiên và đổi thông tin xác thực khi có căn cứ phơi nhiễm.
Điều chưa xác minh
Chưa có nguồn sơ cấp công khai xác nhận ransomware family, cơ chế truy cập ban đầu, IOC, 36.000 hệ thống bị xâm nhập, dữ liệu cụ thể bị lấy hoặc tác động tại Việt Nam. Cuộc điều tra hình sự đang tiếp diễn nên phạm vi công khai có thể thay đổi khi UNM hoặc cơ quan chức năng phát hành thông tin mới.
Nguồn tham khảo
Phạm vi và ngày của từng nguồn được ghi riêng khi có dữ liệu. Việc dẫn nguồn không đồng nghĩa xác minh độc lập toàn bộ nhận định.
Lịch sử cập nhật
· Xuất bản bản tin VI/EN từ thông báo UNM và trang trạng thái chính thức; tách sự cố được xác nhận khỏi claim BYOD chưa xác minh độc lập. Tạo sáu ảnh tối giản riêng cho sự kiện bằng chữ ký TUNGTEK gốc.
Chính sách sửa bài
