ANPD Investiga Vazamento de Dados Sensíveis de 500 Mil Pacientes

A Agência Nacional de Proteção de Dados (ANPD) instaurou um Processo Administrativo Sancionador contra o Instituto Saúde e Cidadania (Isac), organização social responsável pela gestão de unidades públicas de saúde em diferentes estados brasileiros, após um incidente de ransomware que teria afetado dados pessoais e dados sensíveis de cerca de 500 mil pacientes. O caso, noticiado pelo CyberSecBrazil, revela falhas críticas na proteção de informações e na comunicação aos titulares, acendendo um alerta sobre a maturidade de segurança cibernética no setor de saúde brasileiro.

O Isac, com sede administrativa em Brasília e atuação em estados como Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins, passou a ser investigado por possíveis violações à Lei Geral de Proteção de Dados Pessoais (LGPD). O ataque envolveu ransomware, uma ameaça cibernética que compromete sistemas, criptografa dados e, frequentemente, exige pagamento de resgate para restauração ou para evitar a divulgação das informações. Segundo o comunicado do instituto à ANPD, aproximadamente 500 mil registros foram afetados, incluindo dados de identificação como nome e data de nascimento, além de informações sensíveis de saúde: histórico de exames, prontuários, prescrições, atendimentos ambulatoriais, internações, diagnósticos e procedimentos. Desse total, 78.772 registros seriam de crianças e adolescentes, e 47.921 de idosos, grupos particularmente vulneráveis.

Análise Técnica do Incidente e Implicações Regulatórias

A natureza dos dados expostos torna este caso emblemático. Pela LGPD, informações relacionadas à saúde são classificadas como dados pessoais sensíveis (art. 5º, II), exigindo um regime jurídico mais rigoroso de tratamento, armazenamento e proteção. Quando expostos, esses dados podem gerar riscos severos à privacidade, à segurança dos pacientes e até mesmo possibilitar fraudes, discriminação ou uso indevido. A ANPD apura se o Isac descumpriu obrigações fundamentais, como a adoção de medidas de segurança técnicas e administrativas aptas a proteger os dados (art. 46), a comunicação adequada aos titulares (art. 48) e a indicação de um encarregado de dados (DPO) acessível (art. 41).

A investigação ganha contornos mais graves diante da postura do Isac. Ao ser questionado, o instituto alegou que não haveria risco ou dano relevante, afirmando que os invasores acessaram apenas informações administrativas e bancos de dados de contratos encerrados. Contudo, a ANPD destacou que a entidade não apresentou comprovação técnica suficiente para sustentar essa versão. A ausência de evidências, mesmo após reiterados questionamentos, comprometeu a verificação sobre a efetiva adoção de medidas corretivas e a análise da resposta ao incidente. Além disso, o Isac não comunicou individualmente os titulares afetados, limitando-se a um aviso genérico em seu site institucional, que sequer informava a data do incidente, a natureza dos dados ou as medidas adotadas — elementos exigidos pela regulamentação da ANPD sobre Comunicação de Incidentes de Segurança.

Indicadores de Comprometimento (IOCs) e Riscos Associados

Em incidentes de ransomware, a identificação de Indicadores de Comprometimento (IOCs) é crucial para contenção e remediação. Embora os IOCs específicos deste ataque não tenham sido divulgados, podemos inferir vetores comuns em ataques a organizações de saúde. Abaixo, uma tabela com IOCs típicos e os riscos associados que podem ter se materializado no caso Isac:

A ausência de documentação técnica por parte do Isac impede uma análise aprofundada, mas ressalta a importância de uma resposta a incidentes estruturada, com coleta forense adequada e preservação de evidências. A falha em comunicar os titulares também viola o princípio da transparência, pilar da LGPD, e pode agravar as sanções.

Lições para a Proteção de Dados Corporativos

O caso Isac é um lembrete contundente de que a segurança da informação não é um estado, mas um processo contínuo. Organizações que lidam com dados sensíveis, especialmente no setor de saúde, precisam ir além da conformidade básica e adotar uma postura proativa de defesa em profundidade. Isso inclui controles técnicos como segmentação de rede, criptografia de dados em repouso e em trânsito, autenticação multifator (MFA) e soluções de detecção e resposta a endpoints (EDR). Além disso, a governança de dados deve prever planos de resposta a incidentes testados regularmente, com papéis e responsabilidades claros, e comunicação transparente com titulares e autoridades.

A engenharia social, frequentemente a porta de entrada para ataques de ransomware, merece atenção especial. Como explorado em nossa análise sobre o grupo Scattered Spider, técnicas de manipulação psicológica podem burlar até mesmo defesas técnicas robustas. Investir em treinamento contínuo de colaboradores e em simulações de phishing é essencial para reduzir a superfície de ataque humana.

O Cenário de Ameaças no Setor de Saúde Brasileiro

O setor de saúde tornou-se um alvo prioritário para cibercriminosos, devido ao valor dos dados médicos no mercado negro e à criticidade das operações. Dados de saúde podem ser usados para fraudes de identidade, extorsão ou até mesmo para a criação de perfis falsos para obtenção de medicamentos controlados. O Brasil, em particular, tem visto um aumento expressivo de incidentes de ransomware contra hospitais e operadoras. Conforme discutimos em nosso artigo sobre Saúde Digital em Risco: Ransomware no Brasil em 2026, a tendência é de agravamento, com grupos criminosos cada vez mais organizados e ataques direcionados.

O incidente com o Isac também evidencia a necessidade de uma avaliação rigorosa de terceiros. Organizações sociais que gerenciam serviços públicos frequentemente têm acesso a volumes massivos de dados, mas nem sempre dispõem da mesma maturidade de segurança que entidades privadas de grande porte. A ANPD, ao instaurar o processo, sinaliza que a responsabilidade é objetiva e que a terceirização não exime o controlador das obrigações legais.

Proteção de Dados em Dispositivos Móveis e o Risco de Furto

Um aspecto frequentemente negligenciado na proteção de dados é a segurança de dispositivos físicos, como notebooks e computadores. Considere o cenário de um notebook corporativo roubado ou furtado: se o dispositivo contiver dados de pacientes ou credenciais de acesso a sistemas de saúde, o impacto pode ser tão devastador quanto um ataque de ransomware. A criptografia completa de disco (full disk encryption) é uma medida básica, mas ainda ausente em muitas organizações. Além disso, políticas de controle de acesso baseado em identidade e a capacidade de revogar remotamente credenciais e limpar dispositivos (remote wipe) são essenciais para mitigar riscos em caso de perda ou furto.

No contexto do caso Isac, se os invasores obtiveram acesso inicial por meio de credenciais comprometidas de um funcionário, um dispositivo corporativo desprotegido poderia ter sido o vetor. A implementação de soluções de gerenciamento de dispositivos móveis (MDM) e a exigência de autenticação forte para acesso a sistemas críticos reduzem significativamente a probabilidade de movimentação lateral a partir de um endpoint comprometido. A microssegmentação de rede também limita o raio de ação de um atacante, mesmo que ele consiga acesso inicial.

Consequências e Sanções Previstas na LGPD

O Processo Administrativo Sancionador contra o Isac tem prazo de dez dias úteis para apresentação de defesa, contados a partir da intimação. Caso seja condenado, o instituto poderá receber sanções previstas no art. 52 da LGPD, que incluem:

• Advertência, com indicação de prazo para adoção de medidas corretivas;
• Multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada a R$ 50.000.000,00 por infração;
• Multa diária, observado o limite total;
• Publicização da infração após devidamente apurada e confirmada a sua ocorrência;
• Bloqueio ou eliminação dos dados pessoais relacionados à infração;
• Suspensão ou proibição do exercício de atividades de tratamento de dados pessoais.

A dosimetria das sanções seguirá o Regulamento de Dosimetria e Aplicação de Sanções Administrativas da ANPD, que considera fatores como a gravidade da infração, a condição econômica do infrator, a cooperação com a investigação e a adoção de medidas corretivas. A ausência de comunicação individualizada e a falta de evidências técnicas podem pesar contra o Isac, agravando a penalidade.

Recomendações Práticas para Organizações de Saúde

Diante do cenário exposto, é imperativo que organizações de saúde adotem as seguintes medidas:

1. Inventário e classificação de dados: Mapear todos os ativos de informação, identificando dados sensíveis e seus fluxos, para aplicar controles proporcionais ao risco.
2. Implementação de controles técnicos: Criptografia, MFA, segmentação de rede, EDR, backups imutáveis e testados regularmente.
3. Plano de Resposta a Incidentes (PRI): Documentar procedimentos claros para contenção, erradicação, recuperação e comunicação, incluindo notificação à ANPD e aos titulares dentro dos prazos legais.
4. Treinamento e conscientização: Capacitar colaboradores sobre riscos de engenharia social, phishing e procedimentos seguros, com simulações periódicas.
5. Gestão de terceiros: Avaliar a postura de segurança de fornecedores e parceiros, incluindo cláusulas contratuais de proteção de dados e auditorias regulares.
6. Designação de um DPO atuante: O encarregado de dados deve ser visível, acessível e participar ativamente da governança de privacidade.

Conclusão e Chamada para Ação

O processo da ANPD contra o Isac é um marco na fiscalização da LGPD no setor de saúde e um alerta para todas as organizações que tratam dados sensíveis. A combinação de controles técnicos frágeis, resposta inadequada a incidentes e comunicação deficiente pode resultar em sanções severas e, pior, em danos irreparáveis aos titulares. A segurança de dados não é apenas uma obrigação legal, mas um compromisso ético com a privacidade e a confiança dos cidadãos.

Na Kzarka, entendemos que a prevenção começa com a visibilidade. Nossa plataforma de monitoramento de vazamentos de dados e proteção contra roubo de identidade digital permite que você verifique se suas informações foram expostas em incidentes como o do Isac e monitore continuamente sua presença digital. Não espere ser a próxima vítima: acesse https://kzarka.com e assuma o controle da sua identidade digital hoje mesmo.