Na última segunda-feira (8), o grupo criminoso KillSec assumiu responsabilidade por um ataque hacker contra a MedicSolution, uma importante empresa brasileira de software para a indústria médica. Os invasores tiveram acesso a mais de 34 GB de dados, contendo cerca de 94.818 arquivos sensíveis que incluíam avaliações médicas, resultados de exames laboratoriais, imagens de raio-x, fotos de pacientes — algumas exibindo partes do corpo — e registros relacionados a menores de idade. Entre as organizações afetadas relacionadas estão Vita Exame, Clínica Espaço Vida, Centro Diagnóstico Toledo, Labclinic e Laboratório Álvaro.
A falha de segurança responsável pela invasão foi identificada pela empresa de segurança Resecurity. O problema estava na configuração inadequada do serviço de armazenamento em nuvem AWS S3, permitindo que buckets contendo dados críticos ficassem expostos e acessíveis publicamente. Os dados roubados estavam descritos em arquivos de texto simples. A Resecurity informou ter entrado em contato com as vítimas, que até o momento não haviam sido notificadas oficialmente pela MedicSolution sobre o vazamento.
Além dos riscos decorrentes da exposição de informações altamente sensíveis e pessoais, o impacto do ataque é ampliado pelo papel estratégico da MedicSolution na cadeia de suprimentos de tecnologia da saúde no Brasil. Isso aumenta o risco potencial de extorsão das vítimas e a possibilidade de movimento lateral dos criminosos para outras instituições que dependem dos serviços da empresa.
O KillSec já possui histórico de ataques na América do Sul e Norte, incluindo um ataque em setembro de 2024 contra o portal de Nota Fiscal Eletrônica (NF-e) do governo brasileiro. Mais recentemente, apresentou campanhas que atingiram também instituições de saúde nos Estados Unidos, Peru e Colômbia, expondo dados pessoais e de funcionários, vulnerabilizando tanto pacientes quanto colaboradores.
Para organizações de saúde, a Resecurity recomenda a adoção de políticas rigorosas de proteção de dados, consentimento explícito para uso de informações sensíveis, restrição de acesso, comunicação imediata de vazamentos à Agência Nacional de Proteção de Dados (ANPD) e aos afetados, além de treinamentos e auditorias regulares de segurança. Essa atenção é fundamental, pois a transformação digital rápida do setor amplia a superfície vulnerável para ataques cibernéticos. A Auditoria do Setor de Saúde de 2024 resultou em multas da ANPD que somaram R$ 12 milhões a quinze instituições por falhas na gestão de incidentes.
