O risco deixou de ser hipótese. Em menos de um mês, ele apareceu em hospitais, bancos, bancos de sangue e supermercados. O que os casos de outubro e novembro de 2026 mostram sobre o risco que parecia invisível, e o que uma gestão integrada de Governança, Privacidade e Segurança muda nesse cenário.
Todo gestor já ouviu o argumento: “é possível, mas improvável”. Entre 8 de outubro e 4 de novembro de 2026, o improvável aconteceu em série, em setores que não têm nada em comum, exceto uma coisa: dependem de dados e de sistemas conectados.
|
Caso
|
Data
|
Por onde entrou
|
O que se materializou
|
|
Hospital Israelita Albert Einstein
|
8 out
|
Acesso não autorizado a parte da base de dados
|
Dados pessoais, prescrições e resultados de exames de pacientes
|
|
Supermercados na França
|
12 out
|
Software de refrigeração de um fornecedor, em versões antigas sem atualização
|
Alimentos descartados e incêndios, cerca de 700 lojas segundo o governo francês
|
|
Hospital Sírio-Libanês
|
16 out
|
Sistema de relatórios de projetos sociais
|
Dados de pacientes e colaboradores desses projetos
|
|
Binance
|
29 out
|
Engenharia social: falsa entrevista de emprego e ferramenta de IA adulterada
|
US$ 6,3 bilhões
|
|
Banco de sangue francês (EFS)
|
1 a 2 nov
|
Prestador de equipamentos de refrigeração
|
Câmaras de plasma desreguladas em 3 sites, sem perda de produto
|
|
Mercado Bitcoin
|
2 nov
|
Carteiras quentes
|
US$ 40 a 50 milhões, conforme a fonte
|
|
Crédit Mutuel Arkéa
|
4 nov
|
Plataforma de um prestador
|
Cerca de 100 milhões de euros, estimativa provisória do banco
|
Olhe a coluna “por onde entrou”. O que se repete é gente, ferramenta e fornecedor.
O dinheiro deixou de ser abstrato
No caso da Binance, a empresa descreveu uma campanha em várias etapas. Em junho, um engenheiro instalou uma versão adulterada de um instalador ao procurar uma ferramenta de programação com IA. Em seguida, outro engenheiro foi abordado por um falso recrutador, que compartilhou fotos e vídeos pessoais de um perfil social para ganhar confiança e, no fim da entrevista, o instruiu a baixar um “teste” com código malicioso. Em 29 de outubro, a maior parte das transferências ocorreu em cerca de 20 minutos. Binance e FBI atribuem o ataque a hackers norte-coreanos, o que a Coreia do Norte nega. O valor, perto de R$ 34 bilhões em conversão aproximada, está entre os maiores roubos de criptomoedas já registrados.
Poucos dias depois, foi a vez do Mercado Bitcoin, com ataque às carteiras quentes e perda estimada entre US$ 40 e 50 milhões. A empresa afirma que os clientes não tiveram perdas. Dois dias depois, o Crédit Mutuel Arkéa informou uma fraude da ordem de 100 milhões de euros. O banco diz que os ativos dos clientes não foram afetados e que houve apenas execução diferida de transferências.
Nenhum desses casos começou numa falha de cofre. Começou num momento comum de trabalho.
O risco entra por onde menos esperamos
Olhando os sete casos juntos, o que chama atenção não é descuido. É o contrário: quase todos começam num gesto razoável, feito com boa intenção.
Um engenheiro procura uma ferramenta de IA para trabalhar melhor e instala um instalador adulterado. Outro participa de uma entrevista de emprego, algo comum e legítimo, e recebe um “teste” para executar. Equipes de projetos sociais montam relatórios para prestar contas de um trabalho que faz bem a muita gente, e esses relatórios passam a concentrar dados de pacientes fora do sistema principal. No Ceará, em janeiro, a instabilidade dos sistemas oficiais levou médicos e estudantes a recorrer a blocos de notas abertos na internet para seguir trabalhando, e prontuários, CPFs e senhas ficaram expostos.
O mesmo vale para quem está do outro lado do contrato. No Arkéa, o banco afirma que os atacantes passaram pela plataforma de um prestador. No banco de sangue francês, o incidente atingiu um prestador de manutenção, com reflexo em três sites. Os fornecedores também são vítimas, e quem os contratou fez o que se espera de uma boa gestão: delegar a quem sabe fazer.
Nos supermercados, o fabricante informou que a maioria dos equipamentos afetados eram versões antigas, sem atualizações, e que recomendava há tempos mantê-los atualizados e atrás de um firewall. Em 18 de setembro, ele próprio já havia alertado para uma vulnerabilidade grave nesses softwares. O ataque veio semanas depois, e, segundo reportagem que cita a Reuters, ao menos 4.500 interfaces do fabricante seguiam acessíveis pela internet. Equipamento que funciona bem tende a sair do radar, e é justamente aí que o risco se acomoda. Em 2 de novembro, uma nova onda atingiu supermercados na Bélgica, na Suécia, na Irlanda e na Estônia.
Nada disso é história de culpado. É história de que qualquer um de nós pode errar, ou simplesmente deixar passar o que parece estar resolvido. E é por isso que nenhuma proteção sozinha basta.
O banco de sangue mostra isso na prática. O prestador foi atingido, e a camada seguinte, a vigilância de temperatura, ajudou a evitar a perda de produto. Uma falha foi contida por outra proteção. É esse o princípio: pessoas, processos, tecnologia, fornecedores, monitoramento e resposta funcionando como camadas, para que, quando uma cede, outra segure.
Na Saúde, o dado não expira e o equipamento pode ser vida
O Einstein confirmou o ataque em 8 de outubro, comunicou a ANPD e a Polícia Federal, e informou que o prontuário eletrônico seguiu operando. Os dados acessados incluem prescrições e resultados de exames. O hospital diz não haver evidência de divulgação e alertou os pacientes para golpes, como falsas cobranças de procedimentos. A PF fez uma operação em Joinville com mandados judiciais.
Veja a distinção: a continuidade da operação foi preservada. A privacidade, não. São problemas diferentes, e um programa que cuida só do primeiro deixa o paciente exposto.
No Sírio-Libanês, o incidente atingiu um sistema de relatórios de projetos sociais, e o hospital afirma que a base geral de pacientes não foi afetada. Um especialista ouvido pela imprensa chamou atenção para o que os dois casos têm em comum: dados sensíveis fora do sistema principal, em planilhas, relatórios e sistemas paralelos. E lembrou o ponto que diferencia a Saúde: o diagnóstico e os exames de uma pessoa não expiram. Cartão se troca. Histórico clínico, não.
E há o caso que mais deveria nos fazer pensar. As câmaras do banco de sangue guardavam plasma para transfusão e para a fabricação de medicamentos. O EFS informou que não houve perda de produtos sanguíneos nem impacto sanitário identificado, e que a vigilância de temperatura ajudou a evitar o pior. O resultado foi bom, graças a um monitoramento que funcionou. Mas é um lembrete do que está em jogo: em 2024, um ataque de ransomware à OneBlood, nos EUA, levou mais de 250 hospitais a ativar protocolos críticos de escassez de sangue. Aqui, o risco deixa de ser financeiro e passa a ser assistencial.
Mesmo o seguro não é rede garantida. No contexto do caso Einstein, a Tokio Marine esclareceu à Revista Apólice que hoje não aceita riscos do segmento hospitalar em seu seguro cyber.
O que isso significa para a Privacidade
Quando um dado de saúde vaza, quem paga a conta é o titular: fraude com informação médica verdadeira, extorsão, golpes que usam o histórico real da pessoa para ganhar credibilidade. Já vimos esse padrão no setor ao longo do último ano, nos golpes do falso médico e do falso exame que usam dados de filas e de pacientes. E a organização responde em duas frentes ao mesmo tempo: o incidente em si e a obrigação de comunicar a ANPD e os titulares, em três dias úteis para incidentes de risco relevante, com evidência técnica do que aconteceu.
O que uma gestão integrada de Governança, Privacidade e Segurança muda
Tratar segurança de um lado e privacidade do outro costuma deixar uma fresta entre as duas. A segurança olha o ambiente. A privacidade olha o dado e o titular. A governança decide quem responde por quê. A gestão faz tudo isso rodar no dia a dia. Quando essas quatro visões conversam dentro de um sistema de gestão integrado, o que uma área descobre vira insumo para as outras.
Um sistema de gestão não impede o ataque. Seria desonesto dizer o contrário. O que ele muda é o tamanho do estrago, a velocidade da resposta e a capacidade de provar o que aconteceu:
- Um só mapa do que existe. Inventário de dados e de ativos juntos, incluindo planilhas, relatórios paralelos, equipamentos conectados e fornecedores. E o descarte do que já caducou, porque dado que não existe mais não vaza.
- Acesso decidido por quem responde pelo dado. Privilégio mínimo, identidade governada e segundo fator, com mais rigor para quem tem o acesso mais amplo.
- Fornecedores dentro do sistema, não fora dele. Critérios de contratação, contrato de operador, avaliação periódica e um plano para o legado que deixou de receber atualização. E contratos revisitados quando a necessidade muda, em vez de arrastados por anos.
- Um só plano de resposta, testado. Segurança, privacidade, jurídico, comunicação e direção com papéis claros, o prazo de três dias úteis para comunicar a ANPD, a comunicação aos titulares e a evidência técnica do que ocorreu.
- Rotina, não projeto de um dia. Treinamento com cenários reais, como o falso recrutador, a ferramenta adulterada e a ligação pedindo dados, dentro de um ciclo de revisão contínua.
- Patrocínio da alta direção. Papéis, orçamento e prioridades decididos onde a decisão mora, com indicadores e auditoria que mostrem se as camadas estão de pé.
Normas como a ISO/IEC 27001 e a 27701 podem ser implementadas de forma integrada, e é essa integração que transforma controles soltos em camadas que se sustentam umas às outras.
O relógio já começou
Sete casos em menos de um mês, em setores diferentes, com o mesmo roteiro: uma porta que ninguém estava olhando. A pergunta deixou de ser “isso pode acontecer?”. Ela virou outra, mais incômoda: quando acontecer com a sua organização, o que você terá para mostrar no dia seguinte?
#sejaathena #dicadaathena #CibersegurançaNaSaúde #LGPD #ProteçãoDeDados #GovernançaEmSaúde #SegurançaDoPaciente #ANPD #hospitais #SaúdeDigital
