Cibersegurança ganha papel estratégico na saúde diante do avanço do ransomware e dos riscos ao atendimento
A cibersegurança tornou-se uma questão de segurança do paciente nos hospitais. O avanço dos ataques de ransomware contra organizações de saúde mostra que sistemas como prontuários eletrônicos, diagnósticos digitais e plataformas de atendimento são hoje parte essencial da operação clínica — e que sua indisponibilidade ou comprometimento pode gerar desde vazamento de dados até cancelamento de procedimentos e interrupção do atendimento.
Por Ricardo Moraes e Daniel Pacheco
Os hospitais estão cada vez mais na mira dos crimes cibernéticos como o ransomware – software malicioso que emprega criptografia, evitando que a vítima tenha acesso aos dados – e esse risco continua aumentando.
Na pesquisa mais recente da Sophos, 67% das organizações de saúde relataram tal ataque no último ano, com a recuperação demorando mais à medida que os ataques se tornam mais complexos. Enquanto isso, a IBM informa que o custo médio de uma violação de dados na área da saúde é de 10,93 milhões — o maior de qualquer indústria.
Mas nem sempre foi assim. Não faz muito tempo que não havia nenhum alvo na área da saúde. Historicamente, era vista como acima da luta — quase um domínio sagrado. Afinal, quem iria querer atacar a indústria que salva vidas e da qual, mais cedo ou mais tarde, todos nós dependeremos?
Por décadas, a percepção de que estávamos seguros levou ao que víamos como um subinvestimento crônico em segurança cibernética, o que, por sua vez, gerou uma infinidade de vulnerabilidades. Durante esse período, os invasores tornaram-se menos éticos, mais habilidosos e mais estratégicos durante os ataques.
O ataque de ransomware WannaCry, em 2017, foi um momento decisivo para a indústria, afetando tanto computadores antigos rodando Microsoft Windows quanto sistemas mais novos que careciam de atualizações essenciais de segurança. Aproximadamente 70 mil dispositivos foram comprometidos durante esse incidente. O governo dos Estados Unidos atribuiu o ataque à Coreia do Norte, conclusão apoiada por várias outras nações.
Entre as organizações afetadas, o Serviço Nacional de Saúde, na Inglaterra, enfrentou perturbações significativas. O custo desse ataque somente para o setor de saúde do Reino Unido foi estimado em 92 milhões de libras. Mais de 19 mil consultas e procedimentos cirúrgicos foram cancelados, e os registros dos pacientes voltaram a formatos em papel que exigiram restauração subsequente.
Só isso levou meses para ser reinstalado nos sistemas de tecnologia da informação. Esse evento foi evitado? Possivelmente, não. Isso destacou ineficiências na preparação? Com certeza. No entanto, esse episódio também atuou como um catalisador e a gênese da quantificação de risco cibernético (CRQ) desempenhando um papel fundamental na tradução dos resultados e impactos da saúde em perdas quantificáveis.
Uma coisa em que todos concordaram foi que, poderia ter sido muito pior, se o ataque tivesse ocorrido em outro momento da semana, ou durante o inverno, quando as pressões sobre os serviços de saúde são intensificadas. Isso serviu como um alerta, especialmente, à medida que a dependência da tecnologia e dos ambientes interconectados continua crescendo, e os invasores se tornam mais sofisticados.
No Reino Unido, os líderes do sistema de saúde e cuidados levaram a ameaça a sério, mas também quiseram saber a dimensão do problema. Um dos maiores provedores hospitalares da região configurou um ataque simulado de phishing por e-mail para invadir dados de pacientes — abordando cada um dos desafios mencionados no processo. Os resultados desse teste foram preocupantes, mas também perspicazes: levou apenas seis horas desde o lançamento do ataque até o acesso aos dados dos pacientes.
Notavelmente, isso não foi realizado usando tecnologia avançada ou métodos sofisticados, mas sim por meio de um cenário de ataque direto que combinava com as habilidades de um iniciante. Essa constatação destacou a magnitude do problema e motivou um esforço colaborativo do governo para combater a ameaça.
Em todos os sistemas globais de saúde, os investimentos estão sob escrutínio. A saúde pública, em todo o mundo, está atendendo populações maiores e idosas, com expectativas crescentes, enquanto opera sob pressão financeira implacável.
A tecnologia se tornou essencial para enfrentar esse desafio — melhorar a produtividade, possibilitar novos modelos de cuidado e aproximar as atividades dos pacientes. Mas essa dependência da infraestrutura digital mudou silenciosamente a natureza do risco.
Plataformas de agendamento, diagnósticos digitais, registros compartilhados de cuidados, monitoramento remoto — isso não são mais sistemas de tecnologia da informação. Eles são facilitadores clínicos. Quando falham, o cuidado desacelera. Quando são comprometidos, os pacientes ficam em risco. A segurança cibernética, portanto, tornou-se inseparável da continuidade do serviço e da segurança do paciente.
Ao mesmo tempo, o setor de saúde está enfrentando restrições estruturais. A escassez de especialistas em segurança cibernética continua aguda, mas modelos regionais de capacidade e um crescente quadro de especialistas estão começando a surgir. Apesar do aumento do investimento e da conscientização, muitos líderes da saúde ainda enfrentam uma questão fundamental: quanto risco cibernético realmente estamos carregando, e nossos gastos estão reduzindo?
Relatórios cibernéticos tradicionais, que incluem pontuações de maturidade, conformidade de controle, mapas de calor, etc., raramente respondem a isso. Ele diz aos conselhos o que existe, mas não o que significa. Isso não traduz interrupções em procedimentos cancelados, ou vazamentos de dados em custos de recuperação, nem lacunas de controle em danos ao paciente.
Como resultado, o risco cibernético historicamente tem sido desconfortável nas conversas executivas: reconhecido como sério, mas difícil de priorizar diante de pressões operacionais visíveis. É aí que muitos programas estagnam — não porque os líderes não se importem, mas porque lhes falta uma visão de decisão de nível decisivo.
O WannaCry mostrou como vulnerabilidades sistêmicas podem se espalhar por todo um serviço de saúde. O ataque de ransomware Synnovis, em 2024, reforçou a lição, interrompendo os serviços de patologia por meses, cancelando procedimentos e expondo dados sensíveis. Essas não eram falhas abstratas de TI. Foram falhas na prestação de cuidados, com consequências humanas reais.
O que mudou após esses eventos não foram apenas os níveis de investimento, mas a forma como o risco estava sendo discutido. Pela primeira vez, o risco cibernético foi comparado diretamente com outros riscos empresariais e de governo.
Hospitais ampliam investimentos em cibersegurança diante do aumento dos ataques digitais
Aplicativo brasileiro cria ferramenta para registro e acompanhamento de crises de epilepsia
Startup usa IA para cruzar exames genéticos e laboratoriais e apoiar médicos
A adoção de novas tecnologias tem redefinido o setor de Saúde. Essas inovações têm melhorado diagnósticos, agilizado rotinas administrativas. E como proteger esse setor tão importante para a sociedade global?
Conheça outros artigos sobre o setor da Saúde e como elas estão moldando o futuro da medicina!
