Einstein confirma acesso indevido a dados médicos; Polícia Federal apura possível extorsão
O Hospital Israelita Albert Einstein confirmou que pessoas não autorizadas acessaram e obtiveram parte de suas bases de dados de pacientes. A instituição informou que identificou os primeiros sinais do incidente em 4 de agosto e tornou o caso público em 8 de outubro de 2026. Entre os arquivos potencialmente envolvidos estão informações cadastrais e documentos médicos, como prescrições e resultados de exames.
Segundo o hospital, os sistemas de assistência, as plataformas de atendimento e o prontuário eletrônico permaneceram em funcionamento. Após detectar a ocorrência, o Einstein afirma ter adotado medidas para conter o problema, contratado especialistas externos e iniciado a análise dos registros que podem ter sido afetados. Pacientes identificados como titulares de dados acessados estão sendo avisados individualmente por e-mail.
O número de pessoas envolvidas ainda não foi divulgado. Também é importante diferenciar as informações que poderiam estar armazenadas nas bases sob investigação daquelas que foram efetivamente acessadas ou copiadas. Relatos sobre o caso mencionam categorias como nome, CPF, data de nascimento, telefone, endereço de e-mail e dados de saúde, incluindo diagnósticos e anotações clínicas. A presença de uma categoria entre os registros analisados não significa, por si só, que os dados de todos os pacientes tenham sido extraídos.
Até a divulgação, o hospital declarou não ter identificado evidências de que as informações tenham sido publicadas ou usadas indevidamente. Isso não permite concluir que nenhum arquivo foi copiado nem elimina a possibilidade de circulação futura. A instituição ainda trabalha para delimitar o conteúdo e a extensão do material acessado.
A Polícia Federal deflagrou, em 7 de outubro, a Operação Insidioso. Em Joinville, Santa Catarina, foram cumpridos mandados de busca e apreensão e de prisão temporária. A investigação apura a extração de dados sensíveis de uma instituição e uma exigência de pagamento. De acordo com a descrição policial, o suspeito teria facilitado a obtenção das informações por um grupo criminoso.
O comunicado da PF não identificou a instituição investigada nem esclareceu publicamente a diferença entre o relato de um episódio em julho e a detecção informada pelo Einstein em agosto. A associação entre a operação e o hospital foi noticiada pela imprensa, que também mencionou uma tentativa de extorsão. Até que as apurações avancem, é importante não apresentar como fato confirmado detalhes técnicos que não foram divulgados, como eventual criptografia de servidores ou interrupção dos serviços.
A extorsão envolvendo dados não exige necessariamente que os sistemas da vítima sejam bloqueados. Em alguns ataques, criminosos copiam documentos e ameaçam torná-los públicos para pressionar a organização a pagar. Por isso, a continuidade do atendimento médico não afasta a possibilidade de comprometimento de informações.
Um dos fatores que pode tornar a apuração mais demorada é a forma como os arquivos estão organizados. O Einstein informou que os dados se encontram distribuídos em bases descentralizadas e que parte do material consiste em documentos avulsos, nem sempre associados diretamente a uma pessoa. Identificar os titulares afetados e determinar quais arquivos foram acessados pode exigir uma análise individualizada.
Para pacientes, o principal cuidado neste momento é desconfiar de mensagens que usem o incidente para pedir senhas, códigos de autenticação, dados bancários ou pagamentos. Uma comunicação legítima sobre o caso não deve ser presumida apenas porque contém nome, informações médicas ou outros dados pessoais: criminosos podem usar informações verdadeiras para tornar uma abordagem falsa mais convincente.
Quem receber um aviso deve conferir o remetente e buscar confirmação pelos canais oficiais do hospital, sem clicar automaticamente em botões ou abrir anexos. Se houver dúvida, é mais seguro iniciar um contato por um canal institucional conhecido. Também convém guardar a mensagem recebida, especialmente se houver pedido de dinheiro, ameaça ou tentativa de obter credenciais.
Como medida preventiva, pacientes podem reforçar senhas usadas em serviços digitais, sobretudo quando a mesma combinação é repetida em diferentes plataformas. A ativação da autenticação em duas etapas, quando disponível, acrescenta uma barreira contra acessos não autorizados. Essas precauções não indicam que contas pessoais tenham sido invadidas; são medidas prudentes diante de uma investigação ainda em andamento.
Também é recomendável observar movimentações financeiras e notificações incomuns, além de desconfiar de contatos que mencionem exames, consultas ou diagnósticos para induzir uma resposta urgente. Caso alguém receba uma tentativa de fraude, deve evitar fornecer informações e registrar os detalhes da abordagem para comunicá-los às autoridades competentes e ao hospital.
A Lei Geral de Proteção de Dados estabelece deveres para organizações que tratam informações pessoais, inclusive dados de saúde, que são considerados sensíveis. A investigação deverá esclarecer o alcance do incidente e os procedimentos adotados. Enquanto esse trabalho não termina, a extensão dos registros comprometidos e o destino de eventuais cópias permanecem sem confirmação pública.