KillSec e o Vazamento na Saúde Brasileira: Quando a Falha de Segurança Compromete Vidas

Segurança da Informação também é segurança do paciente — este não é apenas um slogan utilizado pela Next4Sec para a área da saúde, mas uma realidade dramática que se confirmou no recente ataque do grupo de ransomware KillSec contra o setor de saúde brasileiro. Em 8 de setembro de 2025, mais de 94.000 arquivos médicos sensíveis foram expostos, revelando uma vulnerabilidade que vai muito além de dados: compromete vidas humanas.

O Ataque que Expôs o Coração do Sistema de Saúde

O grupo KillSec reivindicou responsabilidade por um ciberataque devastador contra a MedicSolution, uma provedora de software para a indústria de saúde no Brasil. O resultado? Mais de 34 GB de dados médicos sensíveis vazados, incluindo:

• Avaliações médicas completas
• Resultados de exames laboratoriais
• Radiografias (raios-X)
• Fotografias não editadas de pacientes, incluindo imagens de corpo
• Registros de menores de idade

As Vítimas Identificadas

Cinco importantes instituições de saúde brasileiras tiveram seus dados comprometidos:

• Vita Exame
• Clínica Espaço Vida
• Centro Diagnóstico Toledo
• Laboratório Álvaro
• Labclinic

Segundo a Resecurity, empresa especializada em cibersegurança que investigou o caso, “o volume total de dados roubados excede 34 GB, contendo mais de 94.818 arquivos.”

A Vulnerabilidade que Choca: AWS Mal Configurado

O mais alarmante deste caso não foi a sofisticação do ataque, mas sua simplicidade. Conforme relatado pela Convergência Digital:

“A Resecurity identificou que os dados roubados estavam armazenados em buckets abertos da Amazon Web Services (AWS), expostos sem proteção adequada. Segundo a empresa, os criminosos não precisaram realizar invasões complexas: exploraram configurações frágeis de armazenamento em nuvem.“

Esta revelação é particularmente preocupante porque demonstra que não foram necessárias técnicas avançadas de hacking — apenas aproveitaram-se de configurações básicas de segurança negligenciadas.

Segurança da Informação É Segurança do Paciente: O Conceito em Ação

Como destacamos em nosso vídeo recente sobre cibersegurança na saúde, cada falha de segurança digital tem consequências diretas na vida dos pacientes. O caso KillSec materializa nossos piores cenários:

1. Impacto na Privacidade e Dignidade

Fotografias não editadas de pacientes, incluindo imagens corporais, agora estão nas mãos de criminosos. Isso não apenas viola a LGPD, mas destrói a confiança fundamental entre paciente e instituição de saúde.

2. Risco de Discriminação e Estigmatização

Dados médicos sensíveis podem gerar discriminação social e profissional. Um diagnóstico de doença infectocontagiosa, por exemplo, pode resultar em exclusão social quando mal utilizado.

3. Comprometimento da Segurança de Menores

A presença de registros de menores de idade no vazamento representa um risco adicional de exploração e violação de direitos fundamentais.

4. Erosão da Confiança no Sistema de Saúde

Quando pacientes perdem a confiança na proteção de seus dados, podem evitar buscar tratamento médico, comprometendo sua própria saúde.

O Padrão KillSec: Uma Ameaça Regional

Este não foi um ataque isolado. Segundo a Security Affairs, o grupo KillSec executou uma campanha coordenada na América Latina, atacando também:

• Archer Health (EUA)
• Suiza Lab (Peru)
• GoTelemedicina (Colômbia)
• eMedicoERP (Colômbia)
• Doctocliq (Peru) – uma plataforma que atende mais de 3.500 médicos em 20 países

Esse padrão revela uma estratégia deliberada de atacar o setor de saúde, aproveitando-se de suas conhecidas vulnerabilidades.

LGPD e a Resposta Regulatória

A resposta das autoridades brasileiras tem sido firme. A Autoridade Nacional de Proteção de Dados (ANPD) já demonstrou que não tolera negligência no setor de saúde:

• R$ 12 milhões em multas para 15 instituições de saúde por falta de criptografia e planos de resposta a incidentes
• Mais de R$ 98 milhões em multas desde 2023, com o setor de saúde representando uma parcela significativa
• Medidas corretivas obrigatórias, incluindo testes de penetração e treinamento de pessoal

Lições Críticas para o Setor de Saúde

1. Configuração Segura de Cloud é Fundamental

O caso KillSec demonstra que migrar para a nuvem sem configurações adequadas de segurança pode ser tão perigoso quanto manter sistemas locais mal protegidos.

2. Gestão de Acessos Deve Ser Prioritária

Como enfatizamos em nossos conteúdos, a implementação de microsegmentação e Zero Trust não é opcional no setor de saúde: é questão de vida ou morte.

3. Monitoramento Contínuo é Essencial

A janela de exposição estimada em “vários meses” indica falha crítica no monitoramento de segurança. Dados médicos não podem ficar expostos por tanto tempo sem detecção.

4. Cultura de Segurança Deve Ser Top-Down

A negligência em configurações básicas de AWS sugere que a cultura de segurança não permeia adequadamente a organização, desde a liderança até a operação.

Recomendações Práticas da Next4Sec

Baseado em nossa experiência e nas lições do caso KillSec, recomendamos:

Imediatas:

1. Auditoria completa de configurações de nuvem (AWS, Azure, Google Cloud)
2. Implementação de criptografia end-to-end para todos os dados em trânsito e repouso
3. Revisão de todas as permissões de acesso com princípio do menor privilégio

Estratégicas:

1. Programa de conscientização segmentado por perfil profissional (médico, administrativo, assistencial)
2. Implementação de Zero Trust Architecture com microsegmentação por ambiente hospitalar
3. Monitoramento 24/7 com alertas automatizados para acessos anômalos
4. Plano de resposta a incidentes específico para dados de saúde

Culturais:

1. DPO estratégico como tradutor entre TI, jurídico e assistência
2. Gamificação de treinamentos para aumentar engajamento
3. Transparência em incidentes com comunicação clara aos pacientes

Conclusão: Proteger Dados é Proteger Vidas

O caso KillSec não é apenas mais um vazamento de dados, mas sim um alerta vermelho para todo o setor de saúde brasileiro. Quando 94.818 arquivos médicos são expostos devido a configurações básicas negligenciadas, fica claro que precisamos elevar drasticamente nossos padrões de segurança.

Na Next4Sec, reiteramos: Segurança da Informação também é segurança do paciente. Cada controle implementado, cada acesso restrito, cada dado criptografado não é apenas conformidade regulatória, é também proteção da vida humana.

O setor de saúde brasileiro está em um momento crítico. Podemos aprender com o caso KillSec e fortalecer nossas defesas, ou podemos esperar o próximo ataque e suas consequências ainda mais graves.