Кибератака на университет Нью-Мексико второй день подряд срывает занятия на факультетах медицины, сестринского дела и фармации. Инцидент затронул не учебный портал, а Health Sciences Center с клинической сетью UNM Health: больницы на первом этапе перенаправляли машины скорой помощи, отменяли приёмы и закрывали клиники. Для IT-команд это неприятно знакомый сценарий: атака на один контур быстро превращается в операционный кризис для всей организации.
О происшествии сообщает The Register. Университет заявил, что событие произошло в понедельник, 26 октября 2026 года. В тот же день специалисты по ИБ начали изоляцию инцидента и защиту сети, а руководство развернуло Emergency Operations Center для координации действий сотрудников, студентов и медицинского персонала. Были уведомлены правоохранительные органы штата и федеральные ведомства, к расследованию подключили внешних партнёров.
Сообщение об атаке университет опубликовал примерно в 14:30 по местному времени. После этого были отменены все оставшиеся на день занятия и приёмы в клиниках, а сотрудников, не занятых в критически важных и клинических функциях, отправили домой. Пациентам рекомендовали не приезжать в учреждения Health Sciences Center. Уже на следующий день работа приёмов и клиник начала возвращаться к обычному режиму, а больницы снова стали принимать пациентов. Однако неосновному персоналу медицинского центра предложили остаться дома: восстановление систем идёт поэтапно.
Тип атаки университет пока не раскрыл. На этом фоне группировка, называющая себя BYOD, объявила о причастности к инциденту. Она утверждает, что получила доступ к 36 тысячам устройств, двум лесам Active Directory, двум базам данных Oracle, персональным данным всех студентов и сотрудников, внутренней почте и данным других систем. Эти заявления не подтверждены университетом или следствием, поэтому считать их установленным фактом нельзя. Сам факт публичного «взятия ответственности» также не доказывает ни участие группы в атаке, ни использование шифровальщика.
Для команды реагирования такая неопределённость — не мелкая оговорка для пресс-релиза. В первые часы после инцидента организация должна исходить из наиболее опасного разумного сценария: проверить доменные контроллеры, привилегированные учётные записи, сегменты с медицинскими системами, резервные копии, каналы удалённого доступа и журналы событий. Заявления злоумышленников могут быть блефом, смесью старых данных и реального доступа или частью давления на жертву. Но игнорировать их тоже рискованно, особенно когда речь идёт о возможной компрометации Active Directory и баз данных.
Кибератака на университет в данном случае болезненна именно из-за смешения ролей инфраструктуры. Университетский кампус можно частично перевести в ручной режим или отменить занятия. Клиническая сеть, лаборатории, запись пациентов, диспетчеризация и взаимодействие со скорой помощью такого запаса прочности часто не имеют. Перенаправление скорых в соседние Альбукерке и Санта-Фе показывает, что последствия вышли за границы корпоративной сети и коснулись доступности медицинской помощи. Для российских вузов с клиниками и крупных холдингов это аргумент проектировать непрерывность бизнеса не вокруг формального списка «критичных серверов», а вокруг конкретных услуг, которые нельзя остановить.
Особенно показателен порядок действий UNM: сначала изоляция и остановка части процессов, затем координационный центр, затем поэтапное возвращение сервисов. Попытка сохранить видимость штатной работы при неясном масштабе компрометации обычно обходится дороже: атакующие получают время закрепиться, а ИТ-служба лишается достоверной картины. Для разработчиков и администраторов здесь есть практический вывод: планы восстановления должны проверяться вместе с владельцами процессов. Бэкап базы не решает проблему, если приложение не может аутентифицироваться в домене, медицинский персонал не знает ручной процедуры, а сетевой сегмент нельзя безопасно вернуть в эксплуатацию.
История в Нью-Мексико ещё не отвечает на главный вопрос: был ли это вымогательский инцидент и успели ли злоумышленники вывести чувствительные данные. Но она уже показывает цену зависимости от единой цифровой среды. Чем теснее университет, клиника и административные системы соединены друг с другом, тем важнее заранее отработать сегментацию, аварийные процессы и честную коммуникацию в первые часы после атаки.
