Instituições do segmento sofreram mais de 106 mil tentativas de ataques no último ano.
Dados de cartões de crédito, transações bancárias, sistemas industriais, registros de pacientes em hospitais… entre essas informações, qual seria a de maior valor?
Se na sua opinião são os ‘registros de pacientes em hospitais’, você acertou! Os dados do setor da saúde estão entre os mais visados no mercado ilegal. De acordo com uma pesquisa realizada pela Kaspersky, o segmento da saúde ficou em terceiro lugar entre os que mais sofreram ataques de ransomware em 2024 — ficando atrás apenas dos setores de serviços e governamental.
O levantamento registrou, no último ano, mais de 800 bloqueios de ataques de ransomware por dia, totalizando mais de 106 mil tentativas de golpe de janeiro a dezembro de 2024, entre as quais 6,5 mil foram direcionadas à saúde.
Um dos fatores que potencializam a exposição de vulnerabilidades de cibersegurança na área é o tempo de armazenamento dos dados, uma vez que a lei brasileira determina que os registros e prontuários médicos (físicos e digitalizados), sejam arquivados por, no mínimo, 20 anos.
Eduardo Batista, sócio da consultoria PwC, afirmou em entrevista ao jornal Valor Econômico que os dados da saúde podem valer 50 vezes mais do que os dados de um cartão de crédito hackeado, por serem dados sensíveis. De acordo com a pesquisa Global Digital Trust Insights 2025, realizada pela consultoria, além dos ransomwares, as ameaças cibernéticas relacionadas aos dados armazenados em nuvem estão entre as maiores preocupações das empresas no Brasil (56%) e no mundo (42%).
O levantamento mostra ainda que para 32% dos executivos de organizações brasileiras, o custo com violações de dados na companhia, nos últimos três anos, foi de, no mínimo, US$ 1 milhão. Globalmente, estima-se que o custo médio de uma violação de dados seja de US$ 3,32 milhões.
Incidentes cibernéticos na saúde
Em 2023, a prefeitura de Barueri, região metropolitana de São Paulo, foi condenada a indenizar em R$ 20 mil, por danos morais, um paciente portador de HIV que teve os dados médicos vazados no portal de saúde do município.
Na ocasião, a condenação ocorreu por descumprimento da LGPD (Lei Geral de Proteção de Dados Pessoais), Lei nº 13.709/2019, que dispõe sobre o tratamento de dados pessoais, com objetivo de proteger os direitos fundamentais de liberdade e de privacidade.
Outro incidente cibernético de grande relevância no segmento da saúde aconteceu em 2021, quando hackers invadiram as principais plataformas do Ministério da Saúde e provocaram um apagão nos sistemas responsáveis por registrar e monitorar a vacinação de COVID-19 no país. O funcionamento do e-SUS Notifica, do Programa Nacional de Imunizações (SI-PNI) e do ConecteSUS foi afetado.
Em agosto de 2024, uma das maiores unidades de saúde particular do estado do Recife, o Real Hospital Português, foi alvo de uma invasão hacker que afetou todo o sistema eletrônico da instituição. O golpe deixou os serviços fora do ar, interferiu em levantamentos estatísticos e impossibilitou a emissão de documentos, como o Certificado Nacional de Vacinação Covid-19 e a Carteira Nacional de Vacinação.
Ações essenciais para a proteção cibernética
Hospitais, centros de diagnóstico e exames, empresas de convênios de saúde e órgãos do governo dependem cada vez mais de sistemas digitais. Com isso, é inevitável o aumento das superfícies de ataque, tornando as estruturas cada vez mais vulneráveis.
Considerando a sensibilidade das informações armazenadas, as organizações devem ter como prioridade a implantação de medidas robustas de cibersegurança, a fim de mitigar os riscos de violações de dados, entre outras intercorrências causadas por ações maliciosas.
Entre as principais medidas estão:
- Implementação de autenticação multifator (MFA) e restrições baseadas em funções para evitar acessos indevidos.
- Utilização de criptografia para proteger dados armazenados e em trânsito.
- Firewalls e antivírus atualizados para monitoramento e bloqueio de atividades suspeitas.
- Backups regulares, segmentação de rede e treinamentos das equipes sobre phishing.
- Plano de resposta a incidentes com procedimentos bem definidos para conter e mitigar ataques rapidamente.
- Segmentação de redes e implementação de protocolos seguros para comunicação hospitalar.
Segundo a pesquisa realizada pela PwC, 65% das organizações brasileiras classificam os riscos cibernéticos como ameaças que devem ser mitigadas com prioridade nos próximos 12 meses. Com esse objetivo, o hospital HCor foi um dos primeiros a obter a ISO 27001 (certificação que atesta padrões internacionais em gestão da segurança da informação). Além disso, a instituição adota redundância na armazenagem de dados, mantendo-os tanto em nuvem quanto internamente, evitando assim a paralisação das atividades caso sofra alguma invasão.
“Os ataques a equipamentos médicos estão crescendo, e as empresas de saúde precisam se antecipar. É importante investir em soluções que monitorem continuamente esses dispositivos, identificando qualquer atividade suspeita. Caso seja detectado qualquer movimento fora do padrão, o sistema deve agir imediatamente, interceptando a ameaça e aplicando protocolos de contenção para evitar impactos na operação e na segurança dos pacientes”, explica Marcelo Branquinho, CEO da TI Safe.
