Em ataques à saúde, o impacto depende do tempo sem detecção

*Por Aryel Canosa, CRO da Sec4U

Nas últimas semanas, grandes instituições da saúde brasileira sofreram ataques cibernéticos com acesso não autorizado a dados de pacientes. Em casos assim, o roteiro costuma se repetir: informações cadastrais e, em alguns episódios, dados clínicos entram na conta; a equipe responsável pela segurança da informação é acionada, o atendimento segue normalmente e a investigação avança aos poucos. Essa sequência mostra que a operação pode continuar de pé enquanto algum incidente grave acontece nos bastidores, situação que preocupa qualquer hospital, operadora ou laboratório.

Para avaliar a maturidade em segurança, não basta perguntar “estamos protegidos?” – é importante considerar outra questão: “em quanto tempo uma invasão pode ser identificada e contida?” Hoje, o mercado não costuma perguntar se um incidente de segurança digital vai acontecer, mas sim quando. Nenhuma organização está imune, e o que separa um incidente contido de uma crise é o intervalo entre o primeiro movimento do invasor e a primeira reação da defesa. Quanto maior esse intervalo, mais dados acessados, mais sistemas envolvidos e maior o risco operacional e reputacional.

Na saúde, essa situação pesa ainda mais. A LGPD classifica informações de saúde como dados pessoais sensíveis, e há uma diferença que raramente entra na conta: uma senha vazada pode ser trocada, um histórico clínico não. Além disso, o ambiente é naturalmente difícil de enxergar. Em uma mesma organização convivem corpo clínico, residentes, equipes terceirizadas, prestadores, parceiros e profissionais que circulam entre unidades, além de integrações, sistemas legados, serviços em nuvem, equipamentos médicos e, agora, agentes de IA. Quando as informações ficam fragmentadas em bases descentralizadas, até identificar quem foi afetado exige etapas de investigação, e cada dia gasto nisso é um dia a mais de exposição.

Existe ainda um ponto cego sobre por onde os ataques entram. Segundo o X-Force Threat Intelligence Index 2024, da IBM, o volume de ataques com credenciais válidas cresceu 71% em 2023 na comparação com o ano anterior, e o uso de contas legítimas empatou com o phishing como principal porta de entrada. Os números mais recentes confirmam o movimento. O Active Adversary Report 2026, da Sophos, aponta que 67% dos incidentes investigados pela empresa tiveram origem em ataques ligados à identidade e que, uma vez dentro do ambiente, a média de tempo para chegar ao servidor de Active Directory é de apenas 3,4 horas. O AD é um dos mais usados serviços para centralizar as contas e as permissões nos ambientes corporativos. Ou seja, em muitos casos,  o tempo de reação da defesa é medido em horas, não em semanas. Quando o invasor usa uma credencial legítima, nem sempre há sinais evidentes da atividade maliciosa  para disparar o alarme. O acesso pode parecer normal, e, mesmo assim, existirem ações indevidas acontecendo no ambiente. As ferramentas tradicionais de monitoramento de endpoint e eventos foram desenhadas para outros sinais e têm dificuldade em enxergar as nuances do ciclo de vida de uma identidade. E essa dificuldade em perceber que algo está errado pode permitir que as invasões com contas legítimas, incluindo ataques de Account Takeover (ATO), avancem para sistemas críticos e, em alguns casos, envolvam elevação de privilégios. O impacto deixa de ser apenas técnico e passa a atingir diretamente o negócio.

É nesse território que entra o ITDR (Identity Threat Detection and Response), a disciplina de cibersegurança dedicada a detectar e responder a ameaças que têm a identidade como alvo ou como caminho. Na prática, ele reúne capacidades para monitorar continuamente o comportamento das contas e dos diretórios e identificar sinais que passam despercebidos no dia a dia. Um acesso recém-concedido que não deveria existir; a criação discreta de uma conta de serviço, usada por sistemas e não por pessoas, com privilégios excessivos; uma mudança fora da rotina na política de autenticação multifator (MFA), as regras que definem quando o sistema exige uma segunda confirmação além da senha, como um código no celular; e um uso anômalo de grupos administrativos.

Detectar, porém, é metade do caminho. O principal valor está em responder com contexto e de forma ágil. Quando o monitoramento de ameaças conversa com a gestão de identidades, a organização sabe quem é aquela conta, o que ela deveria acessar e qual ação de contenção é proporcional. Encerrar a sessão ativa, exigir uma nova autenticação, remover permissões concedidas indevidamente, acionar um plano de resposta já ensaiado. É essa integração que ajuda a reduzir o tempo médio de detecção e o tempo médio de resposta,  dois indicadores essenciais para avaliar  a capacidade de uma defesa de uma empresa.

Na saúde, essa proporcionalidade é um requisito, não um detalhe. Bloquear a conta de um médico no meio de um plantão não é o mesmo que isolar uma conta de serviço com comportamento suspeito. Uma resposta que paralisa o atendimento pode gerar riscos operacionais e assistenciais. Por isso, a contenção precisa ser rápida e, ao mesmo tempo, inteligente o bastante para não atrapalhar quem cuida de pacientes.

Nesse contexto, é fundamental que as  organizações consigam  responder perguntas importantes, como, por exemplo, “quanto tempo leva para detectarmos uma conta privilegiada usada fora do padrão? Quem é acionado, e em quanto tempo? Quantos acessos acumulados e contas esquecidas existem hoje? Qual é a nossa taxa de falsos positivos?”. Ter clareza sobre essas respostas é essencial para dimensionar a exposição ao risco e estruturar a capacidade de resposta consistente.

Os próximos anos tendem a elevar ainda mais o nível de exigência para o setor de saúde, com mais dados digitalizados, mais integrações, mais equipamentos, mais dispositivos IoTs, mais agentes de IA e maior pressão regulatória. Nesse cenário, o tempo de detecção e resposta se torna determinante para limitar os impactos de um incidente. Proteger pacientes, reputação, operação e receita exige  tratar essa capacidade não apenas como uma questão técnica, mas também como um indicador de negócio,integrado à gestão de riscos e às decisões da liderança.

*Aryel Canosa é CRO, Chief Revenue Officer, da Sec4U e especialista em Identity Security.