O setor da saúde tem se tornado um dos principais alvos de ataques cibernéticos nos últimos anos, com hackers mirando hospitais, clínicas e sistemas de gestão de dados médicos. Os golpes podem envolver desde o roubo de informações pessoais e financeiras de pacientes até o bloqueio de sistemas, dificultando o atendimento, o tratamento e representando ameaças reais à vida de milhares de pessoas.
Relatório da Kaspersky (empresa global de cibersegurança e privacidade digital) aponta mais de 487 mil detecções de ransomware (tipo de vírus de computador) no Brasil em 2024. Desses ataques, cerca de 16 mil foram direcionados para a área da saúde (quase 44 por dia), fazendo o setor saltar de 7º para 3º lugar no ranking dos mais atacados, atrás de serviços e governo. Para se ter ideia, em 2023, foram 6,5 mil tentativas de ataques a sistemas da área.
Há pouco mais de um ano, o Instituto Nacional de Câncer (Inca) foi vítima de um ataque cibernético que fez a instituição suspender as sessões de radioterapia, afetando centenas de pacientes. A ação inviabilizou o agendamento de novas consultas e obrigou o órgão a desligar os computadores e interromper o acesso à internet e à intranet para que o ataque não tivesse consequências piores.
No fim de 2021, durante a pandemia de covid-19, o alvo foi o Ministério da Saúde. Hackers invadiram vários sistemas, entre eles o Conecte SUS (hoje Meu SUS Digital), responsável por emitir os certificados de vacinação contra a doença, uma exigência para que viajantes pudessem se deslocar. O problema também afetou o sistema de notificação de casos de covid-19 no Brasil, restabelecido mais de um mês depois do ataque.
Em 2019, hackers invadiram e vazaram dados de clientes de uma grande operadora de saúde. As informações incluíam fichas cadastrais (com nome completo, CPF, nome da mãe, código de beneficiário, e-mail e dados de dependentes); acessos a logins médicos; e-mails internos; imagens de problemas de centros de saúde; planilhas financeiras; resultados de exames; certidões de óbito e imagens de raio-X. Estima-se que milhões de beneficiários foram afetados.
Como funciona?
Ransomware é um tipo de vírus de computador, ou software malicioso (malware), especializado em interromper o funcionamento de sistemas e exigir um resgate em dinheiro para que tudo volte a funcionar. Ele pode se espalhar por meio de anexos de e-mail, links infectados e sites comprometidos.
“O ransomware é um vírus bem democrático. Ele pode atingir um hospital, uma empresa ou uma pessoa. Tudo depende de quem abre o conteúdo malicioso”, diz Roberto Rebouças, gerente executivo da Kaspersky Brasil.
Enquanto os vírus de computador tradicionais apenas comprometem os equipamentos infectados, sem exigência de resgate, o ransomware pode criptografar arquivos, tornando-os inacessíveis, ou bloquear completamente a máquina. O objetivo principal é a extorsão das vítimas, normalmente com exigência de valores milionários.
“Estamos falando de redes criminosas que constantemente refinam as suas estratégias, explorando brechas e vulnerabilidades dos setores”, afirma Anchises Moraes, especialista da Apura Cyber Intelligence, empresa focada em segurança cibernética.
Segundo Moraes, em geral, o grupo criminoso invade o sistema da empresa, obtém acesso aos servidores e implanta o ransomware, que criptografa todos os dados dos equipamentos e interrompe seu funcionamento.
Veja também
“A partir daí, começa a extorsão. A vítima tem que pagar um resgate em dinheiro para o ransomware restabelecer os dados. Para aumentar a pressão, os criminosos vazam dados sensíveis antes de criptografar e interromper o funcionamento da empresa. Assim, mesmo que a empresa consiga recuperar seus sistemas por conta própria, eles exigem dinheiro em troca de não divulgar os dados roubados”, explica.
Por que a área da saúde?
Duas características atraem os criminosos que atacam o setor: a criticidade dos serviços (há um grande impacto para a sociedade se eles forem interrompidos repentinamente) e a sensibilidade dos dados pessoais que essas empresas mantêm (o vazamento do histórico dos pacientes, por exemplo, pode ter consequências desastrosas).
Um ataque pode interromper totalmente o atendimento, impossibilitar a admissão de novos pacientes, atrapalhar o agendamento de exames e consultas e até mesmo deixar ambulâncias inoperantes por falta de sistema.
“Isso pode ser extremamente crítico para um paciente que exige cuidados constantes ou para aquele que está com uma cirurgia agendada, por exemplo. Imagine um paciente internado em uma UTI onde a equipe médica não tem mais acesso ao prontuário, por isso não consegue saber quais são as medicações nem fazer exames”, comenta Moraes.
O cientista da computação Erikson Júlio de Aguiar, doutorando do Instituto de Ciências Matemáticas e de Computação (ICMC) da USP em São Carlos, lista ainda outras situações preocupantes. “A partir do momento que o criminoso tem acesso aos dados, ele pode mudar as informações de um paciente, que pode ser um chefe de Estado ou alguém importante em uma empresa, por exemplo.”
Também existem casos de invasão em que os hackers querem “deixar a sua marca”, provar que determinado sistema tem brechas e conseguir ganho financeiro com a venda dos dados na dark web (parte oculta da internet, não indexada por mecanismos de pesquisa comuns, que hospeda atividades legais e ilegais).
Segundo o pesquisador, hackers conseguem ainda inserir pequenas alterações em imagens médicas que serão analisadas por meio da IA, como aquelas obtidas por ressonância magnética e raio-x, para confundir os sistemas, levando a diagnósticos errados.
Pensando nisso, Aguiar desenvolveu uma ferramenta que detecta e analisa ataques externos em sistemas de inteligência artificial na saúde – chamada de RADAR-MIX, a tecnologia foi premiada no ano passado, durante um simpósio no México.
O modelo ajuda a mostrar, de forma visual, as partes de uma imagem que foram alteradas por um ataque. “Hoje, os sistemas de saúde usam IA para tudo. Não falo apenas do sistema operacional, para agendamento de consultas e exames, mas do sistema de IA usado para apoio a diagnóstico.”
Investimentos em segurança
Diante dos riscos, instituições e governo têm direcionado recursos para a segurança digital. O Ministério da Saúde afirma que, entre 2023 e 2024, investiu mais de R$ 24 milhões em infraestrutura e ferramentas de proteção cibernética.
Em nota, a pasta diz que “acompanha de perto os desafios impostos pelas ameaças cibernéticas e adota como rotina uma série de medidas para fortalecer a proteção dos dados sensíveis e garantir a continuidade dos serviços essenciais à população. As equipes passam por treinamento e os procedimentos são constantemente atualizados”.
“Reconhecemos que o setor da saúde tem sido alvo crescente de tentativas de invasão, uma tendência mundial impulsionada pelo alto valor dos dados de saúde. Nossa prioridade é a adoção contínua de protocolos rigorosos de segurança para minimizar riscos e ampliar a resiliência dos sistemas”, diz o ministério, acrescentando que possui uma equipe especializada que trabalha ininterruptamente no monitoramento de sistemas, análise de vulnerabilidades e aplicação de medidas preventivas e corretivas.
Leia mais
“Por razões estratégicas e de segurança, não detalhamos incidentes específicos, mas reafirmamos nosso compromisso com a integridade, confidencialidade e disponibilidade das informações, garantindo a continuidade dos serviços de saúde digital no Brasil”, finaliza.
A Associação Nacional de Hospitais Privados (Anahp) afirma que a segurança da informação é uma questão prioritária para as instituições de saúde e frequentemente aborda o tema entre os hospitais associados, “que estão constantemente ampliando a segurança de seus sistemas”.
O Hospital Alemão Oswaldo Cruz, por exemplo, conta com uma área dedicada à segurança digital, com o objetivo de proteger dados sensíveis. A unidade afirma investir em uma estrutura de governança a partir da educação, conscientização, monitoramento e identificação e mitigação de possíveis riscos.
“A cibersegurança é uma jornada ininterrupta que se integra ao nosso compromisso com a qualidade e a segurança e impacta na confiança que nossos pacientes depositam em nós”, analisa José Marcelo de Oliveira, diretor-presidente do hospital.
O Hospital Sírio-Libanês afirma que desde 2016 tem uma gerência específica, dividida em três áreas: segurança da informação, que atua na gestão de acesso e gestão de riscos; operação de segurança da informação, focada na gestão e melhores práticas das ferramentas de proteção; e defesa cibernética, que trabalha monitorando e analisando possíveis ameaças para o ambiente e para setor da saúde.
Segundo Ailton Brandão, diretor de TI, Dados e Digital (CIO) do hospital, para auxiliar na proteção dos dados sensíveis, as equipes trabalham com duas frentes. A primeira delas é a implantação de ferramentas que indiquem possíveis ameaças no ambiente e a segunda é o treinamento e conscientização dos profissionais de tecnologia, das áreas de negócios e dos demais colaboradores.
“Os dados de saúde são muito sensíveis e sigilosos, o que gera muito valor na dark web. Além disso, as operações de saúde são altamente automatizadas e dependentes de sistemas. Qualquer interrupção gera muitos problemas operacionais, prejuízos financeiros e risco com cuidado do paciente.”