O setor de saúde vive um momento crítico quando o assunto é segurança da informação. Ataques de ransomware deixaram de ser eventos isolados e passaram a representar uma das maiores ameaças para hospitais, clínicas, operadoras e organizações sociais que administram unidades de saúde.

O motivo é simples: além de interromper atendimentos, esses ataques comprometem dados altamente sensíveis de pacientes, gerando impactos operacionais, financeiros, regulatórios e reputacionais.

Um caso recente no Brasil reforça esse cenário. Uma organização social responsável pela gestão de unidades de saúde em seis estados brasileiros teve aproximadamente 500 mil registros de pacientes comprometidos após um ataque de ransomware e passou a responder a um processo sancionador da Autoridade Nacional de Proteção de Dados (ANPD).

Entre as informações afetadas estavam:

• prontuários médicos;
• históricos de exames;
• diagnósticos;
• dados pessoais;
• informações de aproximadamente 78 mil crianças e adolescentes;
• dados de cerca de 47 mil idosos.

Mais do que o ataque em si, o episódio evidencia falhas que continuam presentes em boa parte das organizações de saúde brasileiras.

Por que o setor de saúde virou o principal alvo do ransomware?

O interesse dos criminosos não é coincidência.

Segundo o relatório do FBI IC3, somente em 2025 foram registrados 460 ataques de ransomware e 642 violações de dados contra organizações de saúde nos Estados Unidos, tornando o segmento o mais atacado do ano. O cenário brasileiro acompanha essa tendência.

Existem três razões principais para isso.

1. Dados de saúde possuem altíssimo valor

Enquanto um cartão de crédito pode ser bloqueado em poucos minutos, um prontuário médico reúne informações permanentes como:

• CPF;
• endereço;
• histórico clínico;
• medicamentos;
• diagnósticos;
• doenças pré-existentes.

Esses dados não podem ser “trocados” após um vazamento e possuem elevado valor em mercados ilegais.

2. A pressão para pagar o resgate é muito maior

Quando um hospital ou unidade de saúde fica indisponível, as consequências são imediatas:

• consultas canceladas;
• cirurgias adiadas;
• atrasos em exames;
• impacto direto no atendimento aos pacientes.

Os criminosos exploram exatamente essa urgência para aumentar as chances de pagamento do resgate.

3. A superfície de ataque é enorme

Uma operação moderna de saúde envolve dezenas de sistemas conectados:

• prontuário eletrônico;
• PACS;
• laboratórios;
• sistemas de agendamento;
• equipamentos médicos conectados;
• integrações com terceiros;
• dispositivos pessoais utilizados por profissionais.

Cada integração representa uma nova porta de entrada caso não exista uma estratégia consistente de segurança.

O que o caso recente revelou

A análise do processo administrativo evidencia problemas que aparecem frequentemente em auditorias realizadas no setor.

Ausência de logs

A ANPD apontou que a organização não possuía um mecanismo adequado de registro das operações realizadas em seus sistemas.

Sem logs, a empresa não consegue responder perguntas essenciais após um incidente:

• Quais dados foram acessados?
• Houve exfiltração?
• Quais pacientes foram impactados?
• Quem precisa ser comunicado?

Na prática, a organização perde sua principal fonte de evidência justamente no momento em que mais precisa dela.

Backup vulnerável

Outro ponto crítico foi o comprometimento dos próprios backups.

Os criminosos conseguiram atingir inclusive as cópias armazenadas na nuvem, indicando ausência de isolamento e de mecanismos de imutabilidade.

Isso significa que o ambiente não seguia boas práticas como backup imutável ou estratégias de recuperação resilientes.

Um backup que pode ser criptografado junto com o ambiente principal deixa de cumprir sua função.

Comunicação inadequada aos titulares

A ANPD também registrou indícios de minimização da gravidade do incidente e falhas na comunicação aos titulares dos dados.

Segundo o artigo 48 da LGPD, sempre que houver risco relevante aos titulares, o controlador deve comunicar tanto a ANPD quanto os afetados de maneira adequada e tempestiva.

Quando isso não acontece, um incidente técnico rapidamente se transforma em um problema jurídico e regulatório.

O que muda para organizações de saúde

A própria ANPD já deixou claro que dados de saúde estão entre os ativos mais sensíveis protegidos pela legislação brasileira, exigindo um nível elevado de proteção.

Na prática, isso significa que já não basta adotar controles mínimos.

É esperado que organizações que tratam dados de pacientes possuam uma postura de segurança madura, baseada em prevenção, monitoramento contínuo e capacidade efetiva de resposta.

Além disso, a LGPD prevê multas que podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração, além de outras sanções administrativas.

Investir em segurança da informação deixou de ser apenas uma despesa operacional e passou a representar uma estratégia de redução de riscos financeiros e regulatórios.

Checklist de segurança para gestores de saúde

Controles técnicos

Priorize a implementação das seguintes medidas:

• habilite logs em todos os sistemas que tratam dados de pacientes;
• implemente backup imutável seguindo a estratégia 3-2-1-1-0;
• utilize autenticação multifator (MFA) em todos os acessos administrativos;
• segmente a rede para isolar sistemas clínicos das demais áreas;
• realize testes periódicos de restauração dos backups.

Governança

Além da infraestrutura tecnológica, é fundamental fortalecer os processos internos.

Recomenda-se:

• formalizar um Plano de Resposta a Incidentes;
• manter atualizado o Relatório de Impacto à Proteção de Dados (RIPD) quando aplicável;
• definir procedimentos claros para comunicação com a ANPD e com os titulares;
• revisar contratos com fornecedores de tecnologia e operadores de dados.

Pessoas

Grande parte dos ataques continua começando por engenharia social.

Por isso, é importante:

• promover treinamentos frequentes sobre phishing;
• conscientizar equipes assistenciais e administrativas;
• controlar o uso de dispositivos pessoais conectados aos sistemas clínicos;
• estabelecer políticas claras de acesso remoto.

O principal aprendizado

O caso recente não representa um problema isolado.

Ele expõe uma realidade encontrada em muitas organizações brasileiras: operações altamente críticas sustentadas por controles de segurança ainda insuficientes diante do nível de risco atual.

Os órgãos reguladores já demonstraram qual será o padrão esperado de proteção.

Os criminosos já conhecem as vulnerabilidades mais comuns.

A questão agora é saber se as organizações agirão preventivamente ou apenas depois que um incidente ocorrer.

Como a Next4Sec pode ajudar

Na Next4Sec, apoiamos organizações do setor de saúde na identificação e mitigação de riscos antes que eles se transformem em incidentes de segurança.

Nossa atuação inclui:

• avaliação da maturidade em segurança da informação;
• revisão de logs e monitoramento;
• estratégias de backup resiliente;
• resposta a incidentes;
• conformidade com a LGPD;
• fortalecimento da governança de cibersegurança.

Se sua organização deseja entender seu nível atual de proteção e identificar pontos críticos antes que eles sejam explorados, nossa equipe está pronta para ajudar.