美国新墨西哥大学健康科学中心 10 月 26 日周一上午发生网络安全事件，全州唯一的一级创伤中心被迫将救护车分流两小时，当日门诊手术与预约全部取消。一个自称 Byod 的新兴勒索团伙随后在暗网泄露站点认领了这次攻击，声称攻陷 36,000 台系统。
两小时的分流意味着什么
UNM 医院位于阿尔伯克基，1983 年获得一级创伤中心资质，是新墨西哥州唯一一家。最近的替代一级创伤中心在 400 英里之外。这家医院每年约 9.3 万人次急诊、1.8 万台手术，创伤中心单独处理约 7,000 名危重伤患；整个 UNM Health 系统年就诊量超过一百万人次。州内大量乡村地区依赖它接收危重病人。
时间线是这样的：周一约 11:00，IT 安全团队识别到威胁并开始处置。12:30 至 14:30，全部救护车流量分流至阿尔伯克基与圣菲的其他医疗系统，同时限制新患者收治。当日门诊手术与预约取消。14:30 起分阶段恢复系统，同日发布第一份公开通知，要求患者当天不要前往任何院区，紧急情况拨打 911。医学院及三所健康科学学院的非必要人员与学生当日离校。
周二下午，UNM 表示所有院区已全面开放，救护车流量恢复正常，门诊恢复既定安排。健康科学学院的课程周二继续停课，学术与研究项目预计周三恢复。分流期间没有患者受到伤害的报告。
Byod 的认领与矛盾之处
Byod 在泄露站点上声称攻陷了主校区与医院环境中的 36,000 台系统，触及 Active Directory 林、组策略基础设施、整个 Microsoft Entra 租户，以及两个独立的 Oracle 数据库。它列出窃取的数据包括社会安全号码、人力资源与薪酬记录、Banner 学生记录、内部邮件、研究数据、医院预约数据与患者信息、Cerner 电子病历名册。
攻击期间，医院工作人员电脑上播放了一段合成语音，通知管理员联系攻击者，并声称手里有社会安全号码。这类做法在近年勒索行动中不算新鲜，目的是用心理压力换谈判窗口。
Byod 还发了一条颇为奇特的声明：为医疗机构提供免费解密密钥，并按每名受影响患者最高 2,500 美元支付，自称有道德、有良心、不是恶人，但同时表示会保留全部窃取数据。既给密钥又不还数据，这个道德站不住。该团伙是新面孔，泄露站点上目前只列了六个受害者。
影响评估与未证实部分
必须把已确认和未证实分开。已确认的是：事件确实发生，临床业务确实中断，救护车分流两小时是真的，系统在约 24 小时内恢复核心功能也是真的。UNM 的评估是攻击影响了部分终端设备，未穿透核心系统与服务器。
未证实的是 Byod 的全部说法。没有任何一方独立核实过 36,000 台系统这个数字，UNM 也没有确认数据被窃，理由是刑事调查进行中。勒索团伙夸大窃取规模是常态。但反过来也要注意：UNM 说核心服务器未被打穿，并不能排除有人从单台终端上拷走数据。
这不是 UNM 第一次遇到这类事。2021 年 UNM Health 曾向联邦监管机构报告一起影响 637,300 人的事件，可能涉及姓名、住址、出生日期、医保信息与社会安全号码。同一个机构两次落在同一类风险上，说明问题不在某一次入侵，而在结构性暴露面。
给同类机构的处置重点
- 临床网络与办公网络之间做硬分段。这次事件里部分终端设备受影响就足以让整条急诊链路停摆，说明业务连续性对终端依赖过深。
- 把断网开诊的降级流程写进预案并演练：纸质登记、离线检验申请、救护车分流决策权限，不能等真出事再讨论。
- 收敛身份系统的爆炸半径。Active Directory 与 Entra 租户是全系统的总开关，管理员账号、服务账号、组策略变更权限必须分层。
- 备份与电子病历系统用独立凭据体系，确保日常管理员权限摸不到备份。
- 收到勒索声明先做取证再回应，不要按对方给的数字对外通报。已确认的事实和对方的话要分开讲。