A Polícia Judiciária (PJ) revelou que mais de 100.000 utentes do Serviço Nacional de Saúde (SNS) foram vítimas de acesso indevido a dados pessoais, resultante da utilização de credenciais comprometidas de um médico. José Ribeiro, diretor da Unidade Nacional de Combate ao Cibercrime e Criminalidade Tecnológica (UNC3T), explicou que o ataque informático permitiu a recolha de um volume significativo de informações em apenas alguns dias, um processo que antes levaria meses.
Ribeiro expressou preocupações sobre a possível utilização de inteligência artificial no ataque, o que tornaria a investigação mais complexa. Neste momento, a PJ está a recolher dados e a seguir pistas, mas ainda não há suspeitos identificados. O diretor da UNC3T sublinhou que é difícil afirmar que o médico cujas credenciais foram comprometidas seja o responsável pelo ataque.
As vítimas do acesso indevido a dados estão distribuídas por todo o país, incluindo as ilhas. Inicialmente, houve indicações de que o roubo de dados afetava principalmente crianças e menores, mas essa afirmação foi considerada precipitada. Os utentes do SNS não têm como garantir a segurança dos seus dados, uma vez que a responsabilidade recai sobre os Serviços Partilhados do Ministério da Saúde.
De acordo com informações da PJ, as credenciais que permitiram o acesso indevido já foram desativadas e a exfiltração de dados foi estancada. Além disso, foram recolhidos equipamentos para análise e estão a ser implementadas medidas adicionais de segurança. José Ribeiro recomendou que os médicos alterem as suas credenciais de acesso como precaução.
Os utentes afetados perceberam o acesso indevido às suas fichas através de notificações no portal do SNS, especialmente via chave móvel digital. Ribeiro destacou que a investigação procura responder às perguntas sobre quem está por trás do ataque e quais os seus objetivos. Embora ainda não se saiba quem está envolvido, a PJ considera que o roubo pode ter fins maliciosos ou comerciais, dado o valor dos dados pessoais.
No que diz respeito à origem do ataque, Ribeiro afirmou que “neste momento, tudo é possível”, incluindo a possibilidade de que o ataque tenha partido de um país terceiro ou tenha objetivos de espionagem. A investigação ainda não esclareceu se, além dos dados pessoais, também foram acedidos dados clínicos dos utentes.
A PJ continua a receber queixas de utentes afetados, mas Ribeiro esclareceu que estas já não são necessárias para a investigação, uma vez que não acrescentam informações novas. A PJ confirmou que abriu um inquérito ao caso, que surgiu após denúncias de utentes sobre acessos aos seus processos no SNS 24.
A Unidade Local de Saúde do Alto Minho, onde o médico cujas credenciais foram comprometidas trabalha, afirmou que os acessos foram realizados por terceiros, afastando a hipótese de que o próprio profissional estivesse envolvido. O compromisso das credenciais resultou no acesso indevido a registos administrativos, não clínicos, de diversos utentes, incluindo crianças. A ULS do Alto Minho já informou as entidades competentes para a apreciação de possíveis atos ilícitos.
Leia também: O impacto da cibersegurança na saúde pública.
acesso indevido SNS acesso indevido SNS acesso indevido SNS acesso indevido SNS acesso indevido SNS Nota: análise relacionada com acesso indevido SNS.
Leia também: Livre exige auditoria da IGF sobre gestão de Viegas Nunes no SIRESP
Fonte: Sapo
