Ransomware em hospital: backup criptografado, 40 mil pacientes e prazo de notificação
No dia 12 de março, às 02:10, o hospital São Lucas, com 600 leitos e 40 mil pacientes ativos, detecta ransomware que criptografa o prontuário eletrônico e o backup online. A equipe desliga servidores às 06:40. A investigação inicial mostra exfiltração de 18 GB: notas clínicas, resultados de exames, CPF, endereço e telefone de cerca de 40 mil pacientes, além de dados de 2,3 mil funcionários. O backup offline é restaurado em 30 horas. Os atacantes exigem resgate em criptomoedas e ameaçam publicar os dados. O diretor de TI afirma que 'como os arquivos foram criptografados, não houve vazamento' e quer aguardar a perícia completa, prevista para 60 dias. O hospital não tem plano de resposta a incidentes, mas possui DPO e Comitê de Privacidade. A comunicação interna precisa sair ainda hoje. Há indícios de que um fornecedor de manutenção usava credencial compartilhada. Considere a LGPD e a regulamentação da ANPD sobre incidentes.
1. O incidente deve ser comunicado à ANPD e aos titulares? A criptografia dos arquivos afasta o risco relevante?
Read the worked answer
Sim. Há exfiltração de 18 GB com notas clínicas, exames, CPF e contatos de 40 mil pacientes. Dados de saúde são sensíveis e, combinados com CPF, permitem fraude e discriminação; o risco é relevante. A criptografia dos arquivos no servidor não afasta o dever de comunicar, porque os dados saíram do perímetro e podem ser publicados. O prazo não pode esperar a perícia de 60 dias: a regulamentação da ANPD exige comunicação em três dias úteis a partir do conhecimento, ainda que com informações parciais, complementadas depois. O hospital deve acionar o DPO, registrar a avaliação de risco, comunicar ANPD e titulares, e não tratar o caso como mero incidente de disponibilidade. Se concluir que não há risco relevante, deve documentar a decisão, mas aqui a conclusão contrária é difícil de sustentar.
2. Quais são os prazos e o conteúdo mínimo da comunicação à ANPD e aos titulares?
Read the worked answer
O prazo regulamentar é de três dias úteis da ciência do incidente. A comunicação à ANPD deve conter, no mínimo: descrição do incidente e das categorias de dados; número de titulares afetados; medidas técnicas e de segurança adotadas; riscos identificados; medidas de mitigação; contato do DPO; e informações sobre comunicações já feitas. Aos titulares, em linguagem clara: o que aconteceu, quais dados foram afetados, riscos, o que a pessoa pode fazer (monitorar contas, phishing) e canal de contato. Pode ser faseada, mas o núcleo deve sair no prazo. Registrar envios, versões e destinatários. Não usar linguagem que minimize o vazamento.
3. Quais medidas imediatas de contenção, preservação de evidências e decisão sobre resgate?
Read the worked answer
Isolar redes, revogar credenciais compartilhadas, impor MFA, preservar logs e imagem forense antes de restaurar; não apagar evidências. Acionar polícia e CERT.br; avaliar necessidade de comunicação a operadores e fornecedores. O pagamento de resgate não é proibido pela LGPD, mas não deve ser tratado como solução: não garante exclusão, financia crime e pode gerar responsabilidade. A direção deve decidir com apoio jurídico e de segurança, documentando. Revisar contrato do fornecedor, segmentar backup, testar restauração e criar plano de resposta. Comunicar pacientes com canal de apoio e monitorar uso dos dados.