UNM Health: cuando un ciberataque interrumpe la atención médica

Un evento de ciberseguridad en el Centro de Ciencias de la Salud de la Universidad de Nuevo México obligó a desviar ambulancias, cancelar consultas y suspender actividades académicas. Los sistemas críticos ya fueron restaurados, pero el incidente deja una advertencia clara: en salud, la disponibilidad tecnológica también es seguridad del paciente. Lo confirmado: el incidente afectó dispositivos de usuarios y provocó una interrupción operacional el 26 de octubre.

UNM afirma que sus sistemas y servidores centrales no fueron penetrados, que no hizo concesiones al grupo responsable y que las operaciones clínicas volvieron a funcionar. Las afirmaciones externas sobre ransomware o robo de información no han sido confirmadas públicamente por la institución.

El impacto salió de las pantallas y llegó a urgencias

Los equipos de seguridad detectaron la amenaza cerca de las 11:00 del lunes 26 de octubre e iniciaron acciones de contención. Durante la respuesta, UNM Health pidió a los pacientes no acudir a sus instalaciones, canceló las citas de más de 30 clínicas y desvió el tráfico de ambulancias hacia otros hospitales de Albuquerque y Santa Fe.

La decisión tuvo una relevancia excepcional: UNM Hospital opera el único centro de trauma nivel 1 de Nuevo México. La red realiza aproximadamente 900.000 consultas ambulatorias y recibe cerca de 100.000 visitas de urgencia al año. Durante la contingencia, otros proveedores sanitarios debieron absorber pacientes y apoyar la continuidad asistencial.

El evento también afectó al componente académico. Se suspendieron clases en las escuelas de Medicina, Enfermería, Farmacia y Salud Poblacional; parte del personal no esencial fue enviado a casa y varias actividades de investigación quedaron temporalmente detenidas.

Contención rápida, pero investigación aún abierta

El 27 de octubre, UNM informó que los sistemas electrónicos críticos estaban nuevamente disponibles, que los hospitales permanecían abiertos y que ambulancias, consultas y procedimientos habían retomado su operación normal. Al día siguiente, las clases y actividades de investigación también se reanudaron.

Según la evaluación oficial, el evento afectó algunos dispositivos finales, pero no alcanzó los sistemas ni los servidores centrales. La institución trabajó con socios externos y notificó a las autoridades estatales y federales. El FBI confirmó que estaba prestando asistencia, mientras la investigación criminal limitaba los detalles disponibles.

UNM advirtió además sobre posibles campañas secundarias de fraude. Después de un incidente visible, los atacantes o imitadores pueden contactar a pacientes y empleados con falsas compensaciones, enlaces de pago o solicitudes de información. La institución pidió no interactuar con personas que afirmen representar al grupo responsable y verificar cualquier comunicación mediante canales oficiales.

Por qué una interrupción breve puede ser crítica

En un hospital, los sistemas digitales coordinan admisión, triage, historias clínicas, medicamentos, imágenes, laboratorios, comunicaciones y traslado de pacientes. Incluso cuando los servidores clínicos centrales permanecen protegidos, la pérdida de estaciones de trabajo, identidad o comunicaciones puede obligar a activar procedimientos manuales y reducir temporalmente la capacidad de atención.

El caso también demuestra que el impacto de un ataque no se mide únicamente por los datos robados. La desviación de ambulancias, la suspensión de consultas y la presión transferida a hospitales vecinos constituyen efectos materiales, aunque la contención impida una penetración más profunda.

Recomendaciones de XPoint

• • Tratar la continuidad clínica como un control de ciberseguridad: probar regularmente procedimientos en papel, comunicaciones alternativas, triage y derivación de pacientes.
  • Segmentar los dispositivos finales de los sistemas clínicos, laboratorios, imágenes, administración e investigación para limitar el movimiento lateral.
  • Priorizar identidad y acceso: MFA resistente al phishing, privilegios mínimos, cuentas administrativas separadas y revocación rápida de sesiones.
  • Integrar TI, personal clínico y dirección en simulacros de ransomware y pérdida de sistemas; la respuesta técnica no puede diseñarse aislada de la atención.
  • Mantener respaldos inmutables y verificables, junto con imágenes limpias para reconstruir rápidamente estaciones de trabajo comprometidas.
  • Preparar comunicaciones antifraude para pacientes, empleados y proveedores inmediatamente después de un incidente público.
  • Distinguir hechos de afirmaciones criminales: no asumir que una publicación o reivindicación demuestra exfiltración hasta contar con evidencia forense.

Fuentes verificadas

• UNM Health Sciences Center — cronología y actualizaciones oficiales
• Associated Press — impacto asistencial y coordinación regional
• BleepingComputer — interrupción de servicios y respuesta inicial

XPoint News · October 29, 2026

UNM Health: when a cyberattack disrupts patient care

A cybersecurity event at the University of New Mexico Health Sciences Center forced ambulance diversions, appointment cancellations and the suspension of academic activities. Critical systems have been restored, but the incident delivers a clear warning: in healthcare, technology availability is part of patient safety.

The impact moved beyond screens and into emergency care

Security teams identified the threat at about 11:00 a.m. on Monday, October 26, and began containment. During the response, UNM Health told patients not to visit its facilities, cancelled appointments across more than 30 clinics and diverted ambulance traffic to other hospitals in Albuquerque and Santa Fe.

The decision carried exceptional weight: UNM Hospital operates New Mexico’s only Level 1 trauma center. The network handles roughly 900,000 outpatient visits and about 100,000 emergency visits each year. During the disruption, neighboring healthcare providers had to receive patients and help preserve regional care capacity.

The academic side was also affected. Classes in medicine, nursing, pharmacy and population health were cancelled, nonessential staff were sent home and research activity was temporarily interrupted.

Rapid containment, but an investigation still in progress

On October 27, UNM said critical electronic systems were back online, hospitals remained open and ambulance traffic, appointments and procedures had returned to normal. Classes and research activities resumed the following day.

According to the official assessment, the event affected some endpoint devices but did not penetrate core systems or servers. The institution worked with external partners and notified state and federal law enforcement. The FBI confirmed it was assisting, while the active criminal investigation limited further disclosure.

UNM also warned about secondary scams. After a visible incident, attackers or copycats may contact patients and employees with fake compensation offers, payment links or requests for personal information. The institution advised people not to engage with anyone claiming responsibility and to verify communications through official channels.

Why even a short disruption can be critical

Hospital technology coordinates admissions, triage, medical records, medication, imaging, laboratories, communication and patient transport. Even when central clinical servers remain protected, losing endpoints, identity services or communications can force manual procedures and temporarily reduce care capacity.

The case also shows that attack impact cannot be measured only by stolen records. Ambulance diversions, cancelled appointments and the pressure transferred to neighboring hospitals are material consequences, even when containment prevents deeper compromise.

XPoint recommendations

• Treat clinical continuity as a cybersecurity control: regularly test paper workflows, alternative communications, triage and patient diversion.
• Segment endpoint devices from clinical systems, laboratories, imaging, administration and research to restrict lateral movement.
• Prioritize identity and access: phishing-resistant MFA, least privilege, separate administrative accounts and rapid session revocation.
• Bring IT, clinicians and leadership together in ransomware and system-loss exercises; technical response cannot be designed separately from care delivery.
• Maintain immutable, tested backups and trusted images that can rapidly rebuild compromised workstations.
• Prepare anti-fraud communications for patients, employees and suppliers immediately after a public incident.
• Separate evidence from criminal claims: do not treat a post or attribution as proof of exfiltration without forensic confirmation.

Verified sources

• UNM Health Sciences Center — official timeline and updates
• Associated Press — care impact and regional coordination
• BleepingComputer — service disruption and initial response