Ciberataques na saúde: o que o caso Medtronic e outros episódios recentes ensinam sobre proteção de dados

Na semana passada, a Medtronic começou a notificar formalmente as pessoas afetadas pelo ciberataque que sofreu em abril deste ano. O comunicado oficial afirma que não há evidência de que os dados acessados tenham sido publicados na internet, que o incidente não comprometeu a segurança dos dispositivos médicos e que não afetou a capacidade da empresa de fabricar e entregar. A companhia está oferecendo aos afetados 24 meses de monitoramento de crédito, monitoramento de dark web e serviços de restauração de identidade.

É a resposta que se espera de uma empresa madura, e o cuidado merece reconhecimento. Mas o comunicado é a última cena do filme. O que interessa aqui é o filme inteiro.

O ataque à Medtronic não foi isolado. Faz parte de uma sequência que se acelerou em 2025 e 2026 e redesenhou a conversa sobre segurança da informação na saúde. E o padrão que emerge traz uma implicação prática para todo laboratório, clínica ou serviço de diagnóstico: a proteção dos dados do paciente já não começa no firewall da instituição. Começa vários passos antes, na escolha do fornecedor de software que guarda esses dados.

Um panorama que ficou mais denso em doze meses

Ao lado da Medtronic, outras três medtechs globais confirmaram ciberataques nos últimos meses. A Stryker teve manufatura e distribuição interrompidas por cerca de duas semanas após um ataque em março, com procedimentos cirúrgicos reagendados por atraso de envio. A Intuitive Surgical foi vítima de phishing que comprometeu dados de clientes e funcionários. A iRhythm, fabricante de monitores cardíacos, teve dados sensíveis exfiltrados de aplicações hospedadas por terceiros, incluindo informações protegidas de pacientes.

Os episódios ganham outra dimensão quando somados aos dois marcadores internacionais que definem a escala do fenômeno. O ataque à Change Healthcare, subsidiária da Optum e uma das maiores intermediárias de dados clínicos dos Estados Unidos, atingiu cerca de 192,7 milhões de pessoas e resultou em pagamento confirmado de aproximadamente US$ 22 milhões. O ataque ao provedor de patologia Synnovis, no NHS de Londres, é associado à primeira morte oficialmente reconhecida como ligada a um ciberataque em saúde: sistemas laboratoriais paralisados afetaram decisões clínicas, geraram escassez de sangue em hospitais e obrigaram o adiamento de milhares de procedimentos.

No Brasil, o cenário acompanhou. Em setembro de 2025, o grupo de ransomware KillSec explorou um bucket Amazon S3 mal configurado da MedicSolution, fornecedora de software de gestão que atende múltiplas clínicas brasileiras, e exfiltrou cerca de 34 GB e 94 mil arquivos: exames laboratoriais, avaliações médicas, radiografias e imagens de pacientes, inclusive de menores. Nas semanas anteriores, o mesmo grupo havia atacado organizações de saúde nos Estados Unidos, no Peru e na Colômbia. Um padrão coordenado contra a cadeia de fornecedores de saúde no Ocidente.

Antes disso, outros episódios brasileiros já pertenciam à memória do setor: o ataque ao Conecte SUS em dezembro de 2021, que tirou do ar por dias o sistema do Ministério da Saúde e comprometeu temporariamente informações de vacinação contra a Covid-19; o incidente no Hospital de Clínicas de Porto Alegre; o vazamento de bases do DataSUS; e, em 2025, o ataque a um hospital de referência em oncologia com vazamento de registros de pacientes e documentos financeiros.

Segundo a Check Point Research, organizações de saúde no Brasil registraram média de 3.167 ataques semanais por instituição em 2025, cerca de 37% acima da média global do setor. O IBM Cost of a Data Breach Report 2025 aponta a saúde como o setor de maior custo médio por violação pelo 14º ano consecutivo, em US$ 7,42 milhões por incidente. O tempo combinado de detecção e contenção segue em 279 dias, cinco semanas acima da média global.

O padrão comum: o vetor mudou

Junte os casos acima, olhe com calma, e um padrão aparece.

Nos ataques dos últimos doze meses, a origem quase nunca foi o firewall da instituição de saúde. Foi o fornecedor. Foi assim com a Change Healthcare, que servia toda a cadeia americana de operadoras e prestadores. Com a Synnovis, fornecedora de patologia para o NHS. Com a MedicSolution, fornecedora de software para clínicas brasileiras. Com a iRhythm, via aplicações hospedadas por terceiros. E, em parte, com a Stryker, cujo comprometimento derrubou operações em cascata.

A superfície de ataque deixou de ser o perímetro da organização que atende o paciente. Passou a ser a cadeia de terceiros que a sustenta. O relatório da Redbelt Security sobre risco digital na saúde brasileira formula bem a questão: o perímetro mais frágil hoje não é o firewall da empresa, é o fornecedor crítico com baixa maturidade em segurança.

Para quem gerencia uma clínica ou um laboratório, a consequência é incômoda e útil ao mesmo tempo. A responsabilidade pela proteção dos dados do paciente não é totalmente terceirizável. Assinar contrato com fornecedor de software transfere a operação, não o dever de cuidado. A LGPD é clara: o controlador dos dados é a instituição que atende o paciente, mesmo quando esses dados moram tecnicamente no ambiente do fornecedor.

Do CIO para o dono da clínica

Cinco anos atrás, cibersegurança em saúde era assunto de CIO de grande hospital. Departamento de TI, comitê técnico, budget de infraestrutura. Conversa técnica, distante da direção clínica e mais distante ainda do dono do negócio.

Essa fronteira colapsou. Cibersegurança na saúde chegou à mesa da direção porque o incidente agora atrapalha o cuidado clínico direto (sangue em falta, cirurgia adiada, laudo não liberado), afeta a reputação institucional em prazo curto (o paciente sabe do ataque pela imprensa antes de a instituição comunicar) e traz consequência regulatória concreta. A ANPD já vem aplicando sanções em casos de negligência confirmada.

Para o gestor de laboratório apoiado, de clínica de coleta ou de serviço de medicina diagnóstica de qualquer porte, o assunto virou estratégico. Não é mais delegável ao suporte de TI nem ao fornecedor de software.

Onde a proteção começa de verdade

A conversa sobre proteção de dados de paciente costuma girar em torno dos controles técnicos, e eles importam: segmentação de rede, autenticação com múltiplo fator, backups imutáveis, criptografia em repouso e em trânsito, gestão de vulnerabilidades, monitoramento contínuo. Um bom fornecedor de software de gestão entrega tudo isso como padrão, não como upsell.

Mas antes dos controles técnicos existem três camadas de decisão que são responsabilidade do gestor da instituição, não do fornecedor.

A primeira é a arquitetura. Software moderno, hospedado em nuvem madura, com boas práticas de segurança embutidas no design é mais seguro que software legado rodando em servidor local sem atualização. Vale como regra na média, não como lei sem exceção. As perguntas cirúrgicas ao avaliar um fornecedor: qual é a arquitetura, onde os dados são hospedados, qual é a política de atualização e quem certifica.

A segunda é a governança contratual. Cláusula clara de portabilidade de dado, com prazo e formato de exportação definidos. Cláusula de notificação de incidente compatível com o prazo da LGPD. Cláusula de auditoria de segurança pelo controlador. Contrato de software na saúde sem essas três cláusulas é contrato incompleto.

A terceira é a operação interna. A segurança da instituição não termina no contrato com o fornecedor. Ela passa pelo treinamento da equipe (phishing segue sendo o vetor mais explorado, e se combate com consciência humana, não com firewall), pela disciplina de acesso (cada operador com suas credenciais, sem senha compartilhada, com registro de auditoria) e pela cultura interna de proteção de dados. Sistema seguro operado sem disciplina é sistema fraco.

Como isso se conecta com o que a VALC oferece

A VALC nasceu como healthtech em um contexto em que o cliente do laboratório não é só o paciente. É a cadeia inteira de dados de saúde que passa pela recepção, pelo pedido, pelo envio ao apoio, pelo retorno do laudo e pelo faturamento junto ao convênio. Cada passo é ponto de exposição.

Três decisões de produto do VALC LITE foram tomadas com esse cenário em mente, e vale explicitá-las agora que o mercado está prestando atenção.

Arquitetura moderna com hospedagem em nuvem madura. O sistema roda sobre stack contemporâneo, com dados hospedados em ambiente que segue as práticas de segurança do setor. Não é servidor no fundo da clínica, atualizado de vez em quando. É infraestrutura desenhada para melhoria contínua.

Independência em relação ao LIS do apoio. Isso pesa mais do que parece na conversa de segurança. Quando o sistema de gestão da clínica está acoplado ao LIS do apoio, um incidente no apoio pode significar exposição direta dos dados da clínica. Um sistema de gestão agnóstico de LIS mantém a fronteira nítida: os dados operacionais e financeiros da clínica ficam sob controle da própria clínica, não da cadeia comercial do apoio. Para o laboratório de apoio, há um ganho a mais: trocar de LIS deixa de exigir mexer com o cliente apoiado. A operação da rede segue estável, sem ruptura na ponta.

Portabilidade de dado como cláusula, não como promessa. O contrato prevê exportação em formato útil, com prazo definido. Não é benefício marginal. É garantia para o cenário em que a instituição precisa migrar de fornecedor após um incidente ou por qualquer outro motivo, sem que os dados fiquem retidos.

O que a VALC não faz, e é importante dizer, é substituir a responsabilidade da instituição sobre a governança interna de dados. Nenhum fornecedor de software substitui isso. O que a VALC entrega é a camada de infraestrutura que permite à instituição operar com segurança sem reconstruir tudo do zero.

O momento pede leitura estratégica

Cada onda de ciberataque em setor crítico segue uma curva parecida. Primeiro vêm os incidentes isolados. Depois a percepção pública. Depois a resposta regulatória. Por fim, a maturação do mercado, com fornecedores se diferenciando por postura de segurança e clientes exigindo essa postura como pré-requisito.

A saúde no Brasil está entrando na fase intermediária. A ANPD atua com mais frequência em casos de vazamento. A imprensa cobre incidentes com nome de vítima na manchete. Os grandes hospitais já montaram comitês formais de cibersegurança. O próximo movimento é a maturação da conversa entre a clínica ou o laboratório de médio porte e seus fornecedores de software.

Para o gestor que ainda opera com sistema legado, com fornecedor que evita detalhar segurança, com contrato sem cláusulas claras de proteção e portabilidade, o recado dos últimos doze meses é direto. O custo de trocar antes do incidente é sempre menor que o de trocar depois. E o custo humano de um vazamento de dado clínico não se recupera com pedido público de desculpas.

Escolher fornecedor de software na saúde, hoje, é decisão de segurança. Não só de operação.

Fontes citadas

• Medtronic. Statement on unauthorized system access. Julho de 2026.
• MedTech Dive. Medtronic starts to notify people affected by cyberattack. Julho de 2026.
• Redbelt Security. O setor de saúde brasileiro entrou em nova fase de cibersegurança. 2026.
• Convergência Digital. Ransomware KillSec ataca saúde no Brasil e captura 34 GB de exames, prontuários e imagens. Setembro de 2025.
• IBM. Cost of a Data Breach Report 2025.
• Check Point Research. Panorama de ciberameaças, 2025.
• Infosecurity Magazine / NHS England. Synnovis cyber incident (fatalidade confirmada).
• HHS Office for Civil Rights. Change Healthcare breach (192,7 milhões / US$ 22 milhões).

O próximo passo

O VALC LITE é sistema de gestão para laboratório de análises clínicas e clínicas com serviço de coleta, com arquitetura moderna, hospedagem em nuvem madura e independência em relação ao LIS do apoio. Mais que segurança, é praticidade: um portal rápido e intuitivo, em que a operação toda fica num lugar só e o gestor decide com dados na mão, na hora. Encarar isso como investimento, não como custo, é o que separa quem troca antes do incidente de quem troca depois. Se você quer estruturar a proteção de dados da sua operação, fale com a nossa equipe.

Rafael Martins é cofundador e diretor de marketing na VALC. Executivo de marketing e branding com mais de 18 anos de experiência. LinkedIn.