Saúde sob ataque: por que o risco cibernético no Brasil já pode colocar pacientes, hospitais e o SUS em perigo
A digitalização transformou a saúde brasileira, mas também abriu novas portas para criminosos. Hospitais, clínicas, laboratórios e unidades públicas dependem de prontuários eletrônicos, sistemas de diagnóstico, plataformas em nuvem, telemedicina, dispositivos conectados e integrações com fornecedores. Quando essa estrutura sofre um ataque, o impacto pode ultrapassar a perda de dados: consultas são adiadas, exames deixam de ser acessados, cirurgias podem ser remarcadas e profissionais passam a trabalhar em condições de emergência.
Na área da saúde, disponibilidade também é segurança do paciente. Um sistema fora do ar pode impedir o acesso ao histórico clínico, às alergias, às prescrições, aos resultados laboratoriais e às imagens médicas. Mesmo que nenhuma informação seja publicada ou roubada, a interrupção já representa um risco operacional relevante.
Um ecossistema cada vez mais complexo
A transformação digital criou uma ampla rede de informações formada por hospitais, clínicas, laboratórios, operadoras, empresas de tecnologia, plataformas de telemedicina, órgãos públicos e fabricantes de equipamentos médicos. Dados de consultas, internações, autorizações, exames e diagnósticos circulam entre diferentes ambientes, muitas vezes administrados por organizações distintas.
No Sistema Único de Saúde, essa infraestrutura alcança uma dimensão ainda maior. Em agosto de 2026, o Ministério da Saúde anunciou o início da jornada para a chamada Nuvem Soberana do SUS. A primeira etapa envolve a Rede Nacional de Dados em Saúde, que já reúne mais de 5 bilhões de registros. A proposta prevê armazenar e processar dados públicos de saúde em território nacional, em parceria com o Serpro.
A iniciativa pode ampliar a soberania digital, a disponibilidade e a integração dos serviços, mas também exige controles rigorosos. Quanto maior o volume de informações concentrado em uma infraestrutura, maior a necessidade de segmentação, monitoramento, redundância, criptografia e planos de recuperação.
Ransomware pode interromper a assistência
O ransomware continua entre as ameaças mais perigosas para o setor. Nesse tipo de ataque, criminosos bloqueiam arquivos e sistemas, geralmente exigindo pagamento para devolver o acesso. Em campanhas mais recentes, também ocorre a extorsão por vazamento: os invasores copiam os dados e ameaçam divulgá-los caso o resgate não seja pago.
O setor de saúde é especialmente atrativo porque trabalha com informações sensíveis e não pode permanecer parado por muito tempo. Um hospital não consegue simplesmente suspender suas atividades até que a equipe de tecnologia resolva o problema. A necessidade de manter atendimentos e procedimentos aumenta a pressão sobre gestores e pode favorecer decisões apressadas.
Em junho de 2026, a Fundação de Saúde Itaiguapy, responsável pelo Hospital Itamed, em Foz do Iguaçu, comunicou um ransomware ocorrido no ambiente de um prestador de serviços de diagnóstico por imagem. Como medida de contenção, integrações foram interrompidas e fluxos de contingência foram acionados para preservar o atendimento.
O episódio mostra que o ataque nem sempre começa dentro do hospital. Uma empresa responsável por exames, faturamento, suporte técnico ou armazenamento pode se tornar o ponto de entrada para comprometer operações essenciais.
O risco escondido nos fornecedores
A cadeia de terceiros é uma das maiores áreas de preocupação. Instituições de saúde dependem de empresas que fornecem sistemas de gestão, manutenção de equipamentos, serviços de nuvem, softwares laboratoriais, suporte remoto e soluções de pagamento.
Se um fornecedor utiliza credenciais excessivamente privilegiadas, mantém sistemas desatualizados ou não monitora seus acessos, o hospital pode ser afetado mesmo mantendo uma infraestrutura interna aparentemente protegida. Por isso, contratos devem exigir requisitos mínimos de segurança, comunicação rápida de incidentes, auditorias e encerramento imediato de acessos quando o serviço termina.
Também é importante conhecer o caminho percorrido pelos dados. A organização precisa saber quais informações são compartilhadas, com quem, por quanto tempo e em quais países ou ambientes elas permanecem armazenadas.
Identidade virou o novo perímetro
Antigamente, a segurança era concentrada nas redes internas e nos equipamentos instalados dentro da instituição. Hoje, profissionais acessam sistemas de diferentes locais, dispositivos médicos se conectam à rede e empresas terceirizadas precisam de acesso remoto.
Nesse cenário, contas comprometidas podem ser mais perigosas do que falhas em firewalls. Senhas reutilizadas, ausência de autenticação multifator e permissões amplas facilitam a movimentação dos invasores.
A adoção de princípios de Zero Trust é particularmente adequada à saúde. Em vez de confiar automaticamente em quem está dentro da rede, cada acesso deve ser verificado continuamente, considerando identidade, dispositivo, localização, horário e necessidade real de uso. Médicos, enfermeiros, técnicos, fornecedores e administradores devem ter apenas as permissões compatíveis com suas funções.
Nuvem exige governança
A computação em nuvem oferece escalabilidade, disponibilidade e facilidade de integração, mas não elimina a responsabilidade da instituição. Configurações incorretas, chaves expostas, permissões excessivas e falta de registro das atividades podem revelar informações clínicas ou permitir alterações indevidas.
A migração para a nuvem deve ser acompanhada de inventário de ativos, classificação de dados, criptografia, gestão de identidades, cópias de segurança isoladas e testes periódicos de restauração. Fazer backup não basta: é necessário comprovar que os arquivos podem ser recuperados em tempo aceitável.
LGPD e responsabilidade institucional
A Lei Geral de Proteção de Dados trata informações de saúde como dados pessoais sensíveis. Isso aumenta a responsabilidade de hospitais, clínicas e operadores que coletam, armazenam ou compartilham esse conteúdo.
Em julho de 2026, a Agência Nacional de Proteção de Dados instaurou processo sancionador contra o Instituto Saúde e Cidadania, organização social que administra unidades públicas de saúde em diferentes estados. O caso está relacionado a um incidente ocorrido em 2025 e envolve possíveis falhas na proteção de dados de aproximadamente 500 mil pacientes, além de questões ligadas à comunicação com os titulares e às medidas de segurança adotadas.
A conformidade não deve ser vista apenas como produção de documentos. Ela precisa estar incorporada à operação: definição de responsáveis, avaliação de riscos, controle de acesso, treinamento, resposta a incidentes e prestação de contas.
Continuidade deve ser planejada antes do ataque
A defesa eficaz começa antes da crise. Hospitais precisam manter planos de continuidade que definam como operar quando sistemas digitais estiverem indisponíveis. Formulários físicos, listas de contatos, protocolos para prescrição manual e procedimentos de reconciliação de dados podem ser decisivos.
Também é essencial realizar exercícios simulados. Uma instituição que nunca testou seu plano pode descobrir, durante um incidente real, que telefones não funcionam, backups estão incompletos ou equipes desconhecem suas responsabilidades.
Em Mato Grosso, a Secretaria de Estado de Saúde informou ter identificado um incidente cibernético em março de 2026. Segundo o órgão, mecanismos de contingência, redundância e recuperação ajudaram a restaurar informações afetadas e preservar a continuidade dos serviços. O caso reforça a importância de estruturas preparadas para reduzir o tempo de indisponibilidade.
Dispositivos médicos ampliam a superfície de ataque
Bombas de infusão, monitores, equipamentos de imagem, aparelhos de laboratório e outros dispositivos conectados também fazem parte da superfície de ataque. Muitos permanecem em uso durante longos períodos e podem operar com sistemas antigos, difíceis de atualizar.
A substituição imediata nem sempre é viável. Por isso, medidas compensatórias são fundamentais: segmentar redes, limitar conexões, bloquear acessos externos desnecessários, trocar credenciais padrão e monitorar comportamentos incomuns. Fabricantes e hospitais devem considerar segurança durante todo o ciclo de vida do equipamento, da aquisição ao descarte.
Segurança precisa chegar à alta administração
Cibersegurança não é apenas uma despesa do departamento de tecnologia. Trata-se de uma questão de governança, continuidade operacional, responsabilidade legal e segurança assistencial. A alta administração deve acompanhar indicadores como tempo de detecção, prazo de recuperação, cobertura de autenticação multifator, resultados de testes de restauração e quantidade de ativos sem atualização.
Em vez de medir apenas o número de ameaças bloqueadas, é necessário avaliar a capacidade de resistir e se recuperar. Uma organização madura não presume que conseguirá evitar todos os ataques; ela trabalha para reduzir a probabilidade, limitar o impacto e retomar as atividades com segurança.
O próximo incidente pode começar em um fornecedor, em uma conta roubada, em um equipamento desatualizado ou em uma configuração incorreta na nuvem. Proteger a saúde digital brasileira exige uma visão integrada, que una tecnologia, processos, pessoas, fornecedores e assistência. No setor de saúde, preservar dados é importante, mas garantir que o atendimento continue funcionando pode ser ainda mais urgente.