Ransomware no Einstein expõe CPF e dados médicos de pacientes — e a PF já prendeu um facilitador

O Hospital Israelita Albert Einstein (SP) confirmou ter sido vítima de um ataque cibernético com acesso e obtenção não autorizados de parte da base de dados de pacientes. Segundo a própria instituição, o incidente pode envolver nome, CPF e/ou data de nascimento, além de dados de saúde como prescrições médicas e resultados de exames. O hospital identificou indícios da invasão em agosto, comunicou a ANPD e levou o caso à Polícia Federal, que classificou o ataque como ransomware e afirmou que os suspeitos passaram a exigir pagamento do hospital para não vazar os dados. Nesta quarta-feira (07/10), a Operação Insidioso cumpriu busca e apreensão e prisão temporária em Joinville (SC) contra um suspeito apontado como facilitador da extração dos dados. O Einstein afirma que não identificou evidências de divulgação ou uso indevido das informações, que os sistemas de prontuário seguiram operando e que os pacientes afetados estão sendo notificados individualmente.

Fonte: Estadão · CNN Brasil · Convergência Digital

Por que importa: o caso reúne, num só episódio, as classes de risco que qualquer organização que guarda dados pessoais e sensíveis deveria testar continuamente — acesso indevido a uma base crítica, exfiltração combinada a extorsão e dependência de terceiros na cadeia do ataque. No setor de saúde o dado é sensível por definição (LGPD), mas o padrão vale para qualquer operação com PII em escala: o vetor raramente é exótico — é uma credencial ou um acesso que não deveria existir, usado para retirar dados que deveriam estar protegidos. Chama atenção ainda um detalhe operacional: o hospital relatou que os dados estão fragmentados em bases descentralizadas, o que dificultou a própria caracterização do que foi efetivamente acessado. Saber o que foi tocado, quando e por qual conta — a trilha de auditoria — é justamente o que costuma faltar na hora em que o incidente acontece.

O que testar e monitorar: quais contas, tokens e APIs conseguem alcançar bases com dados pessoais; se há privilégio excessivo ou acesso administrativo sem dupla validação; se a organização detectaria uma extração massiva em curso antes do pedido de resgate; e se existiria trilha de auditoria exportável para provar o que ocorreu e cumprir a notificação à ANPD no prazo. Testar de forma pontual não basta — o que importa é saber o que mudou desde o último teste.