Segurança cibernética em hospitais: Einstein e Isac

Dois casos recentes mostram a ameaça real aos hospitais e o que separa a prevenção bem feita de uma resposta tardia.

A segurança cibernética em hospitais deixou de ser um tema de TI e passou a ser uma questão de continuidade assistencial, de responsabilidade jurídica e de confiança. Em 8 de outubro de 2026, a imprensa noticiou que o Hospital Israelita Albert Einstein foi alvo de um ataque hacker com acesso não autorizado a dados de pacientes, caso que a Polícia Federal investiga como ransomware e extorsão. Poucos meses antes, em julho, a ANPD havia tornado público o processo sancionador contra o Instituto Saúde e Cidadania (Isac) por um ataque que atingiu cerca de 500 mil registros. Lidos em conjunto, os dois casos mostram a ameaça real e o que a Autoridade cobra de quem a enfrenta.

O que aconteceu em cada caso

No caso do Einstein, o hospital informou que adotou medidas em 4 de agosto, diante de suspeita de incidente, e que comunicou a ANPD e a Polícia Federal. Segundo a CNN Brasil, a PF levou cerca de dois meses de investigação para localizar os responsáveis e, em 7 de outubro, deflagrou a Operação Insidioso, com mandados de busca e de prisão temporária em Joinville (SC) contra um investigado apontado como facilitador da extração dos dados. Os dados acessados incluem registros cadastrais, como nome, CPF e data de nascimento, e possivelmente prescrições e resultados de exames.

O hospital afirma que os sistemas de prontuário continuaram funcionando, que não há evidência de divulgação ou uso indevido e que os pacientes afetados estão sendo avisados individualmente por e-mail, com um portal para esclarecimentos. Parte relevante dos registros está em documentos avulsos e bases descentralizadas, o que dificulta identificar os titulares. A apuração segue com peritos independentes. As matérias consultadas não informam o número de pacientes afetados.

No caso do Isac, o ataque ocorreu em janeiro de 2025 e a ANPD imputa falhas de prevenção, de segurança, de comunicação aos titulares, de prestação de contas e de transparência sobre o Encarregado. O processo está em curso, e a instituição contesta as acusações.

A ameaça é estrutural, não episódica

Um levantamento de inteligência de ameaças divulgado em julho de 2026 (Elytron Threat Pulse, de maio) aponta que o Brasil concentra 51% dos casos de ransomware contra o setor de saúde na América Latina. O mesmo relatório indica que, em 96% dos incidentes monitorados, os dados foram roubados antes da criptografia. Trata-se de dados de um fornecedor de segurança, que devem ser lidos com cautela, mas a tendência é consistente com a prática de dupla extorsão.

A consequência é relevante: restaurar um backup resolve a indisponibilidade, mas não desfaz o vazamento. O argumento de que a restauração integral dos dados encerraria o problema, usado no caso Isac, não responde à pergunta central da ANPD sobre confidencialidade e comunicação aos titulares.

Hospitais reúnem os fatores que atraem atacantes: dados sensíveis de alto valor, operação que não pode parar, ambiente tecnológico heterogêneo e grande dependência de terceiros, como laboratórios, sistemas de faturamento e fornecedores com acesso remoto.

Gestão preventiva: o que reduz a probabilidade e o impacto

A prevenção começa por saber onde estão os dados. O próprio Einstein relatou dados em documentos avulsos e bases descentralizadas, situação comum em hospitais, e que amplia a superfície de ataque e o custo de identificar os afetados. Na prática, a prevenção envolve:

• inventário e mapeamento dos tratamentos (ROPA), com localização real dos dados, inclusive planilhas, exportações e arquivos de exames;
• minimização e descarte, porque dado que não existe mais não vaza;
• controle de acesso com autenticação multifator, privilégios mínimos e revisão periódica de contas de terceiros;
• segmentação de rede e backups imutáveis ou offline, testados regularmente;
• retenção de logs fora do ambiente que pode ser criptografado, para sustentar a prova de diligência;
• gestão de fornecedores, com cláusulas de segurança, notificação de incidentes e direito de auditoria;
• treinamento contínuo e simulações de phishing.

Gestão reativa: o que decide o tamanho do dano

Quando o incidente ocorre, a qualidade da resposta define o desfecho jurídico e reputacional. A Resolução CD/ANPD nº 15/2024 exige comunicação à ANPD e aos titulares em três dias úteis da ciência do incidente, quando houver risco ou dano relevante, o que inclui dados sensíveis e dados de crianças, adolescentes e idosos. No caso Isac, a Autoridade considerou insuficiente um aviso genérico no site. No caso Einstein, a comunicação individual por e-mail e o portal de esclarecimentos indicam outro caminho, ainda que a análise de conformidade dependa de dados que não são públicos.

Uma resposta madura combina plano de resposta testado, equipe com papéis definidos, preservação de evidências, perícia independente, acionamento das autoridades, comunicação de crise e registro do incidente por no mínimo cinco anos.

Os riscos envolvidos

Os riscos se acumulam em várias frentes:

• Jurídicos: sanções da LGPD (art. 52), que vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, e à suspensão do tratamento, além de publicização da infração. Há ainda responsabilidade civil (art. 42), ações individuais e coletivas, responsabilização ética pelo sigilo médico e disputas contratuais com operadoras e fornecedores.
• Financeiros: perícia, consultorias, notificações, atendimento aos titulares, interrupção de serviços, aumento de prêmios de seguro cibernético e eventual pagamento de extorsão, que não garante a não divulgação dos dados.
• Reputacionais: perda de confiança de pacientes, médicos e operadoras. O próprio Einstein afirmou que a confiança dos pacientes é seu bem mais valioso.
• Assistenciais e operacionais: indisponibilidade de prontuário, atraso em procedimentos e risco à segurança do paciente.
• Regulatórios: fiscalização da ANPD, que prioriza dados de saúde e crianças, e eventual atuação dos Conselhos de classe.

O que fazer a partir de agora

1. Faça um diagnóstico de maturidade em segurança e privacidade, com foco nos sistemas assistenciais e nos fornecedores críticos.
2. Mapeie onde estão os dados sensíveis, incluindo documentos avulsos e bases descentralizadas.
3. Teste a restauração de backups e a capacidade de operar em contingência.
4. Atualize o plano de resposta a incidentes com prazos em dias úteis, responsáveis e modelos de comunicação aos titulares.
5. Realize um exercício de simulação (tabletop) com direção, TI, jurídico, assistência e comunicação.
6. Revise contratos com terceiros e o seguro cibernético.
7. Publique, de forma visível, a identidade e o contato do Encarregado.

Os dois casos ainda não têm desfecho, e esta análise não os julga. O que eles revelam é que a conformidade se prova antes do incidente, com mapeamento, controles e evidências, e se confirma depois, com uma resposta rápida, transparente e documentada.