- Ataques ao Einstein e ao Sírio-Libanês expuseram dados de pacientes e reforçaram os desafios de segurança cibernética no setor de saúde.
- Vulnerabilidade fora dos sistemas centrais: relatórios, planilhas, documentos avulsos e bases descentralizadas podem armazenar informações sensíveis sem o mesmo nível de controle.
- Dados de saúde têm valor duradouro: informações como CPF, diagnósticos e resultados de exames não perdem a validade e podem ser usadas em fraudes mesmo meses após um vazamento.
Em outubro, dois ataques cibernéticos a grandes instituições de saúde brasileiras, o Hospital Israelita Albert Einstein e o Hospital Sírio-Libanês, expuseram os riscos de segurança envolvendo dados de pacientes. Os casos mostram como informações sensíveis podem ser acessadas por criminosos mesmo quando os sistemas centrais e os atendimentos hospitalares continuam funcionando normalmente.
A preocupação vai além da interrupção dos serviços. Informações como CPF, resultados de exames, prescrições médicas e histórico clínico podem ser utilizadas em golpes contra pacientes e familiares, além de servir como instrumento de chantagem contra as próprias instituições.
Um estudo da Akamai aponta que 84% das organizações de saúde sofreram pelo menos um incidente de segurança envolvendo interfaces de programação de aplicações (APIs) no último ano. Entre elas, quase 58% enfrentaram quatro ou mais incidentes. Os ataques envolvendo APIs vinculadas a tecnologias de Inteligência Artificial (IA) foram os mais comuns, mencionados por 41% das equipes de saúde.
Sistemas paralelos ampliam a exposição
Os episódios envolvendo os dois hospitais apresentam diferenças, mas, segundo André Gaio, especialista em cibersegurança e professor da FIA Business School, revelam um problema semelhante de governança e controle das informações.
No caso do Sírio-Libanês, a instituição identificou um possível acesso não autorizado a um sistema interno de relatórios relacionado a projetos sociais. Segundo comunicado do hospital, as informações potencialmente envolvidas incluem dados cadastrais e de contato de pacientes e colaboradores, além de dados sensíveis, como informações de saúde, raça ou etnia.
O hospital informou que as investigações técnicas não haviam identificado evidências de vazamento público ou uso indevido dos dados. Também esclareceu que o incidente ficou restrito ao sistema de relatórios dos projetos sociais e não atingiu a base geral de pacientes. A assistência médica e os sistemas assistenciais continuaram funcionando normalmente.
No Einstein, a instituição confirmou um ataque cibernético, também neste mês, que resultou no acesso e na obtenção não autorizados de parte de sua base de dados. Segundo o hospital, as informações estavam distribuídas entre bases descentralizadas e documentos avulsos, o que dificultou a identificação dos registros acessados e dos pacientes potencialmente afetados.
Entre os dados que podem ter sido acessados estão nome, CPF, data de nascimento, prescrições médicas, resultados de exames e outras informações relacionadas à assistência em saúde.
O Einstein afirmou que não identificou evidências de divulgação ou utilização imprópria dos dados e que os sistemas de prontuário eletrônico e os atendimentos permaneceram operacionais. A instituição também informou que não houve acesso a dados financeiros de pacientes.
Para Gaio, os dois casos demonstram que a proteção dos sistemas principais não é suficiente quando informações sensíveis também circulam em ambientes menos controlados.
“O hospital protege bem o sistema principal. Mas perde o controle das cópias, dos relatórios, das planilhas, dos dados de trabalho do dia a dia que as pessoas vão criando ao longo do dia e que não necessariamente acabam indo para o sistema principal”, explica.
Esse tipo de ambiente é associado ao conceito de shadow IT, que abrange sistemas, ferramentas e recursos tecnológicos utilizados sem o devido controle ou acompanhamento da área de tecnologia da informação. Na rotina hospitalar, isso pode envolver arquivos compartilhados, planilhas e relatórios produzidos para atender a necessidades operacionais.
“E o criminoso conhece bem esse tipo de caminho. Ele vai justamente para onde ninguém está olhando”, afirma o especialista.
Por que dados de saúde são tão valiosos?
Diferentemente de informações financeiras que podem ser bloqueadas ou substituídas após uma fraude, os dados pessoais e clínicos mantêm sua relevância por muito tempo. Nome, CPF, RG, histórico de exames e diagnósticos não deixam de existir depois de um incidente de segurança.
“Isso torna o dado de saúde bem mais crítico até do que dados financeiros. O diagnóstico, os exames são coisas que pertencem àquela pessoa e aquele quadro não expira”, afirma Gaio.
O risco está na possibilidade de combinar essas informações para construir abordagens fraudulentas convincentes. Com acesso a dados cadastrais e detalhes sobre a condição clínica de uma pessoa, criminosos podem se passar por representantes de hospitais, laboratórios ou profissionais de saúde.
O especialista cita casos de fraudadores que entram em contato com pacientes utilizando informações pessoais e clínicas para solicitar pagamentos em troca da entrega de resultados de exames. Outra possibilidade é abordar familiares de pessoas hospitalizadas, alegando a necessidade de um pagamento urgente para viabilizar um procedimento médico.
A combinação de dados verdadeiros com uma situação de urgência pode tornar o golpe mais persuasivo, especialmente quando envolve a saúde de alguém próximo.
Os ataques também podem ter como objetivo extorquir as instituições. Segundo Gaio, criminosos podem exigir dinheiro sob a ameaça de divulgar informações obtidas indevidamente. Além do impacto sobre os titulares, a exposição pode comprometer a confiança dos pacientes e gerar custos elevados de investigação, contenção e resposta ao incidente.
O especialista cita um relatório da IBM segundo o qual o setor de saúde está entre os que registram os maiores custos associados a vazamentos de dados. No Brasil, ele aponta um custo médio de R$ 12,5 milhões por incidente.
Controle de acesso e governança precisam ir além da TI
A quantidade de pessoas e organizações que precisam acessar informações hospitalares torna a proteção mais complexa. Médicos, funcionários, parceiros, laboratórios e equipes de telessaúde podem precisar consultar dados para realizar suas atividades. Cada acesso exige controles compatíveis com o nível de sensibilidade das informações.
Para Gaio, o primeiro passo é identificar onde os dados estão armazenados, quem é responsável por eles e com quem são compartilhados. Isso inclui não apenas os sistemas oficiais, mas também arquivos e bases utilizados pelas equipes e por fornecedores.
“Não dá para proteger um dado que você não sabe onde ele existe”, afirma.
A governança, segundo ele, deve estabelecer responsáveis, prazos de retenção e descarte, controles de acesso e auditorias para relatórios, planilhas e bases compartilhadas. Os mesmos cuidados precisam valer para parceiros e fornecedores.
Na parte técnica, o especialista destaca a necessidade de autenticação forte para acessos externos, monitoramento de credenciais comprometidas e mecanismos capazes de identificar movimentações atípicas de dados. Se um volume elevado de informações for extraído de um sistema, por exemplo, a atividade precisa gerar alertas para as equipes de segurança.
O tema também deve chegar à alta liderança. Na avaliação de Gaio, a proteção de informações não pode ficar restrita à área de tecnologia, pois envolve riscos para os pacientes, para a reputação da instituição e para os resultados financeiros.
“Esse assunto precisa chegar ao conselho do hospital, ele não pode ficar só com a área de TI, porque é um risco para o paciente e para o caixa”, pontua.
Comunicação aos pacientes e resposta ao incidente
Além de conter o ataque, os hospitais precisam identificar quais informações foram acessadas, avaliar os riscos e comunicar os titulares afetados conforme as exigências legais.
A investigação pode ser complexa quando os dados estão fragmentados em diferentes sistemas e documentos. Ainda assim, Gaio chama a atenção para a importância de informar os pacientes de maneira clara e específica, indicando quais dados foram comprometidos, quais riscos podem enfrentar e quais medidas estão sendo adotadas para corrigir o problema.
O especialista menciona o prazo de três dias úteis para comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares, conforme a regulamentação aplicável. A contagem e as obrigações devem observar as regras vigentes para o caso concreto.
Tanto o Einstein quanto o Sírio-Libanês informaram ter comunicado as autoridades competentes e adotado medidas técnicas após os incidentes. As instituições também orientaram os pacientes a desconfiar de contatos suspeitos e de solicitações de senhas, códigos de verificação ou pagamentos em nome dos hospitais.
No caso do Sírio-Libanês, a instituição informou que está comunicando individualmente os titulares potencialmente afetados. O Einstein também declarou que os pacientes identificados como impactados estão sendo avisados por e-mail.
Para Gaio, porém, a ausência de evidências de uso indevido não significa necessariamente que os dados não serão utilizados em fraudes. Golpes baseados em informações pessoais podem ocorrer meses depois da exposição.
Por isso, a resposta não termina com a divulgação de um comunicado. O acompanhamento dos casos, a manutenção de canais de atendimento, a correção das vulnerabilidades e a orientação aos pacientes são etapas importantes para reduzir os riscos posteriores.
