Dados de 500 mil pacientes são comprometidos após ataque hacker

A investigação envolve um incidente de segurança registrado após um ataque hacker ocorrido no ano passado, que afetou aproximadamente 500 mil registros de pacientes. Entre as informações potencialmente expostas estão dados altamente sensíveis, como prontuários médicos, diagnósticos, resultados de exames, nomes e datas de nascimento.

O caso chama atenção pelo volume de pessoas atingidas e pelo tipo de informação envolvida, já que dados relacionados à saúde recebem proteção especial pela Lei Geral de Proteção de Dados (LGPD). Caso sejam confirmadas irregularidades, a organização poderá sofrer sanções previstas na legislação.

Leia mais:

Tesouro avalia oferta de NTN-B com vencimentos em 2031, 2037 e 2050

O que aconteceu

Segundo a ANPD, as investigações preliminares apontam indícios de que o Instituto Saúde e Cidadania não possuía medidas de segurança suficientes para proteger adequadamente as informações dos pacientes contra ataques cibernéticos.

Além das supostas falhas preventivas, a autoridade também analisa se a instituição adotou corretamente os procedimentos exigidos após o incidente, incluindo:

• comunicação transparente aos titulares dos dados;
• adoção de medidas para reduzir os impactos do ataque;
• registro e documentação do incidente;
• cumprimento das obrigações previstas na LGPD.

O processo ainda está em fase administrativa, o que significa que não há decisão definitiva sobre eventual responsabilização.

Quais dados foram afetados

Entre as informações envolvidas estão dados considerados extremamente sensíveis pela legislação brasileira, como:

• nome completo;
• data de nascimento;
• histórico médico;
• diagnósticos;
• resultados de exames;
• prontuários clínicos;
• outras informações relacionadas ao atendimento em saúde.

Dados de saúde recebem proteção diferenciada porque podem revelar condições médicas, tratamentos, doenças e outras informações íntimas dos pacientes.

Quantas pessoas podem ter sido impactadas

As apurações indicam que cerca de 500 mil registros foram afetados.

Entre eles estão grupos considerados mais vulneráveis:

• aproximadamente 78,7 mil registros pertencem a crianças e adolescentes;
• cerca de 47,9 mil registros são de idosos.

Esses números ampliam a preocupação da autoridade reguladora, já que envolvem públicos que demandam proteção reforçada em diversas normas brasileiras.

Em quais estados o instituto atua

O Instituto Saúde e Cidadania administra unidades de saúde em diferentes regiões do país, incluindo:

• Goiás;
• Rio Grande do Sul;
• Bahia;
• Alagoas;
• Piauí;
• Tocantins.

Por atuar em diversos estados, um incidente dessa natureza pode atingir um grande número de cidadãos e instituições públicas vinculadas aos serviços de saúde.

O que diz o Instituto Saúde e Cidadania

Em nota oficial, o Isac afirmou que o ataque cibernético provocou apenas uma indisponibilidade temporária dos sistemas.

Segundo a organização, as análises técnicas realizadas após o incidente não identificaram evidências de:

• extração de dados;
• exfiltração de informações;
• divulgação indevida de dados pessoais.

Ou seja, a instituição sustenta que houve um ataque aos sistemas, mas afirma não haver comprovação de que informações dos pacientes tenham sido efetivamente vazadas.

Essa posição, entretanto, não impede a continuidade da investigação conduzida pela ANPD.

Por que a ANPD está investigando mesmo sem confirmação de vazamento

Uma dúvida comum é por que a autoridade abriu um processo mesmo sem confirmação pública de vazamento de dados.

A resposta está na própria LGPD.

A legislação determina que organizações que tratam dados pessoais adotem medidas técnicas e administrativas capazes de proteger essas informações contra:

• acessos não autorizados;
• perda de dados;
• destruição;
• alteração;
• comunicação indevida;
• incidentes de segurança.

Assim, a investigação não se limita a verificar se houve divulgação dos dados, mas também avalia se a organização possuía controles de segurança compatíveis com o risco das informações armazenadas.

Dados de saúde exigem proteção reforçada

Informações médicas fazem parte da categoria de dados pessoais sensíveis prevista na LGPD.

Esse tipo de dado pode revelar aspectos extremamente particulares da vida de uma pessoa, como:

• doenças;
• tratamentos;
• condições psicológicas;
• deficiências;
• histórico clínico.

Por esse motivo, hospitais, clínicas, laboratórios, operadoras de saúde e organizações que administram serviços públicos precisam manter padrões elevados de segurança da informação.

Especialistas apontam que incidentes envolvendo dados médicos podem causar prejuízos muito além do aspecto financeiro, incluindo exposição da privacidade, discriminação e fraudes de identidade.

O que diz a ANPD sobre o caso

De acordo com a autoridade, organizações que tratam informações de saúde devem adotar níveis máximos de proteção digital.

Segundo o superintendente de Fiscalização da ANPD, Fabrício Guimarães, dados de saúde estão entre os ativos mais críticos do ponto de vista da segurança da informação, com nível de sensibilidade comparável ao de informações do setor financeiro.

Essa avaliação reforça o entendimento de que instituições responsáveis por prontuários médicos precisam investir continuamente em prevenção, monitoramento e resposta a incidentes cibernéticos.

Quais sanções podem ser aplicadas

Caso sejam confirmadas infrações à LGPD, a ANPD poderá aplicar diferentes medidas administrativas, que variam conforme a gravidade da conduta.

Entre as possibilidades previstas na legislação estão:

• advertência;
• determinação para adoção de medidas corretivas;
• publicidade da infração;
• bloqueio ou eliminação de dados pessoais em determinadas situações;
• multa administrativa, quando cabível.

A aplicação de qualquer penalidade depende da conclusão do processo administrativo e do direito de defesa da organização investigada.

Como pacientes podem se proteger após incidentes de segurança

Mesmo quando não há confirmação de vazamento, especialistas recomendam que cidadãos adotem algumas medidas preventivas:

Acompanhe comunicações oficiais

Verifique se a instituição de saúde divulga orientações específicas sobre o incidente.

Monitore movimentações suspeitas

Fique atento a tentativas de golpes utilizando seus dados pessoais por telefone, e-mail, SMS ou aplicativos de mensagens.

Evite compartilhar informações sem confirmação

Criminosos costumam aproveitar notícias sobre ataques hackers para aplicar golpes se passando por hospitais ou órgãos públicos.

Solicite informações quando necessário

A LGPD garante aos titulares o direito de obter informações sobre o tratamento de seus dados pessoais e, em determinadas situações, sobre incidentes que possam afetá-los.

Ataques cibernéticos aumentam os desafios na área da saúde

Nos últimos anos, o setor de saúde tornou-se um dos principais alvos de ataques virtuais em todo o mundo. Isso ocorre porque hospitais e organizações de saúde armazenam grandes volumes de informações pessoais altamente valiosas e dependem da disponibilidade contínua de seus sistemas para manter o atendimento à população.

Além do risco à privacidade, ataques desse tipo podem comprometer a continuidade dos serviços, dificultar o acesso a prontuários eletrônicos e afetar procedimentos médicos, tornando a segurança digital um componente essencial da gestão hospitalar.

Conclusão

A abertura do processo pela ANPD demonstra o aumento da fiscalização sobre o tratamento de dados pessoais sensíveis no Brasil. Independentemente da confirmação de vazamento, a investigação busca verificar se o Instituto Saúde e Cidadania cumpriu as obrigações previstas na LGPD para proteger informações de aproximadamente 500 mil pacientes e responder adequadamente ao incidente.

O caso reforça a importância de investimentos contínuos em segurança da informação, especialmente no setor da saúde, onde a proteção da privacidade dos pacientes é considerada uma das prioridades da legislação brasileira e das boas práticas de governança digital.