Segurança para Hospitais: como conter ransomware sem parar o atendimento

Por que o hospital é alvo preferencial — e por que isso muda a defesa

Nenhum setor combina, ao mesmo tempo, tantos fatores que tornam um ataque cibernético atraente para o criminoso e devastador para a vítima quanto o hospitalar. O hospital opera 24 horas por dia, 7 dias por semana, sem janela de manutenção real: não existe 'desligar o sistema no fim de semana' quando há pacientes internados em UTI, cirurgias agendadas e prontos-socorros recebendo casos a cada minuto. Essa criticidade absoluta é exatamente o que o operador de ransomware explora. Ele sabe que, ao paralisar o sistema de prontuário eletrônico durante um plantão, a direção do hospital enfrenta uma pressão que nenhuma outra empresa enfrenta: a de que a indisponibilidade pode, literalmente, custar vidas. Essa pressão é o que aumenta a probabilidade de pagamento do resgate — e é por isso que os grupos criminosos miram o setor de saúde de forma deliberada.

Some-se a isso o valor dos dados. O prontuário eletrônico do paciente concentra informações que não podem ser trocadas como um número de cartão: histórico clínico, diagnósticos, exames de imagem, prescrições, dados de identificação, informações de planos de saúde e, com frequência, dados de menores e de condições estigmatizantes. Sob a Lei Geral de Proteção de Dados (LGPD), dado de saúde é dado pessoal sensível, com regime de proteção reforçado. Um vazamento de prontuário não é apenas um problema reputacional: é um incidente de segurança com dever de comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares quando houver risco relevante, além de exposição a sanções administrativas.

E há o fator que torna o setor estruturalmente difícil de proteger: o parque de dispositivos médicos conectados, o chamado IoMT (Internet of Medical Things). Bombas de infusão, monitores multiparamétricos, equipamentos de imagem, estações de PACS, ventiladores e analisadores laboratoriais costumam rodar sistemas operacionais antigos, sem suporte do fabricante, sem possibilidade de instalar antivírus e sem janela de atualização — porque qualquer reinício precisa ser coordenado com a operação clínica. Esses equipamentos são, ao mesmo tempo, críticos para o cuidado e frágeis do ponto de vista de segurança. Tentar 'endurecer' cada um deles individualmente é, na maioria dos casos, inviável. A resposta correta é arquitetural: isolar a rede médica do resto do ambiente por meio de segmentação.

As cinco ameaças que mais derrubam hospitais

1. Ransomware paralisando o atendimento e 2. Vazamento de prontuários

O ransomware é a ameaça de maior impacto. O atacante entra por um vetor qualquer — um e-mail de phishing aberto por um profissional de enfermagem, uma credencial vazada de acesso remoto, uma vulnerabilidade exposta em um serviço voltado à internet — e, a partir de um único ponto, se movimenta lateralmente pela rede até alcançar os controladores de domínio e os servidores que hospedam o prontuário (HIS/PEP) e os sistemas de apoio (laboratório, farmácia, imagem). Quando dispara a criptografia, o hospital perde simultaneamente o acesso a prescrições, resultados de exames, agendamento cirúrgico e histórico do paciente, recuando ao papel com risco direto à segurança do paciente. Acoplado a ele, ou de forma isolada, vem o vazamento de prontuários — o incidente de maior consequência regulatória, já que cada registro é dado pessoal sensível e o paciente não pode 'trocar' seu histórico clínico como troca um cartão.

3. Vulnerabilidades em IoMT e 4. Phishing contra a equipe clínica

Equipamentos médicos conectados costumam rodar versões de sistema operacional fora de suporte, com vulnerabilidades conhecidas e sem correção disponível. Eles frequentemente compartilham a mesma rede plana dos computadores administrativos, o que os transforma em ponto de pivô: um equipamento comprometido vira trampolim para o resto do ambiente, ou é arrastado junto na criptografia, deixando um setor clínico inteiro inoperante. Já o phishing contra a equipe clínica explora o público mais suscetível — médicos, enfermagem e técnicos não são equipe de TI e operam sob pressão de tempo e carga emocional, sendo alvo fácil de um e-mail bem construído que se passa por um plano de saúde, uma central de exames ou a própria TI. O phishing é, de longe, o vetor inicial mais comum de comprometimento.

5. Acesso indevido a sistemas hospitalares

Inclui credenciais compartilhadas em postos de enfermagem, acessos de prestadores e fornecedores de equipamentos que mantêm conexão remota permanente, contas de ex-colaboradores que não foram desativadas e excesso de privilégio em sistemas. Cada um desses é uma porta que o atacante não precisa arrombar — basta encontrá-la aberta. É também o vetor mais silencioso, porque o uso de uma credencial válida raramente dispara alarmes sem monitoramento comportamental.

O que está em jogo: indisponibilidade como desfecho clínico

Em qualquer outra empresa, uma hora de sistema fora do ar é prejuízo financeiro e desgaste. No hospital, é diferente em natureza. Quando o prontuário eletrônico cai durante um plantão, a equipe perde acesso a alergias registradas, a interações medicamentosas, a doses prescritas, a resultados de exames críticos e ao histórico que orienta condutas. O atendimento não para — ele continua, mas em modo degradado, no papel, com maior chance de erro. É por isso que o cálculo do atacante de saúde é tão perverso: ele sabe que a pressão para restabelecer o sistema rapidamente é máxima, e converte essa pressão em alavanca de extorsão.

A defesa hospitalar tem, portanto, três tempos críticos: o tempo de detecção (quanto antes se percebe a presença do atacante), o tempo de contenção (quanto antes se interrompe a propagação) e o tempo de recuperação (quanto antes se restaura a operação a partir de backups confiáveis). A Decripte trabalha os três simultaneamente — porque otimizar apenas um deles deixa o hospital vulnerável nos outros dois.

Como a Decripte detecta antes da criptografia: o SOC 24x7

O ransomware não cifra o ambiente no instante em que entra. Há uma sequência de comportamentos — reconhecimento da rede, tentativas de escalonamento de privilégio, criação de contas, acesso a controladores de domínio, desativação de defesas, varredura de backups, movimentação lateral entre máquinas. Cada um desses passos produz sinais. O SOC 24x7 da Decripte existe para capturar esses sinais em tempo real, correlacioná-los e disparar a resposta antes que a sequência chegue ao seu objetivo final.

Monitorar um hospital 24x7 não é opcional: ataques são deliberadamente disparados na madrugada, em feriados e em fins de semana, exatamente quando a equipe de TI está reduzida e o tempo de percepção tende a ser maior. Um modelo de monitoramento em horário comercial deixa o ambiente cego justamente nas janelas que o atacante prefere. Por isso o SOC opera de forma ininterrupta, com analistas acompanhando a telemetria do ambiente em todos os turnos.

Anatomia da defesa estrutural: segmentação e backup imutável

Detectar e conter é metade do trabalho. A outra metade é arquitetural e é o que impede que o próximo incidente tenha o mesmo alcance. Duas decisões estruturais transformam a postura de segurança de um hospital: a segmentação da rede médica e o backup imutável.

Segmentação da rede médica

A maioria dos hospitais opera, por herança histórica, com uma rede plana: o computador da recepção, a estação de faturamento, o servidor do prontuário, o equipamento de imagem e a bomba de infusão coexistem no mesmo espaço de rede e conseguem se comunicar livremente. Isso é o cenário ideal para o ransomware, porque um único ponto comprometido alcança todo o resto. A segmentação quebra essa rede em zonas isoladas: dispositivos médicos (IoMT) em uma zona controlada que não inicia conexões para a rede administrativa; servidores críticos de prontuário em outra; estações administrativas em outra; acesso de fornecedores em uma zona estritamente fiscalizada. Entre as zonas, só passa o tráfego explicitamente autorizado. Como os dispositivos médicos não podem receber patch nem antivírus, a segmentação é precisamente o controle que os protege sem tocá-los: mesmo que um equipamento seja comprometido, ele fica preso na sua zona, sem alcançar o prontuário.

Backup imutável e testado

O ransomware moderno procura ativamente os backups e os apaga ou cifra antes de detonar — porque um backup intacto elimina a alavanca de extorsão. Backup acessível pela rede de produção, portanto, não é proteção: é só mais um alvo. A defesa real é o backup imutável, em cópias que não podem ser alteradas nem deletadas durante um período definido, fora do alcance das credenciais que operam o ambiente, idealmente com uma cópia offline ou em conta isolada. E imutabilidade sem teste de restauração é falsa segurança: a Decripte estrutura o hospital para que a restauração seja exercitada periodicamente, com tempo de recuperação medido e validado — de nada adianta ter o backup se restaurá-lo leva dias enquanto pacientes esperam.

Gestão de Vulnerabilidades: reduzir a superfície antes do ataque

Conter incidentes é resposta. Reduzir a probabilidade de que eles aconteçam é prevenção — e é onde a Gestão de Vulnerabilidades atua. O ambiente hospitalar acumula superfície de ataque por natureza: sistemas legados que não podem ser desligados, portais de paciente e agendamento expostos à internet, equipamentos com firmware antigo, serviços de acesso remoto, integrações com laboratórios e operadoras. Cada um é um ponto que precisa ser inventariado, avaliado e tratado.

A Gestão de Vulnerabilidades da Decripte mapeia continuamente o que está exposto, prioriza com base em risco real — não em uma lista genérica de severidade, mas no que de fato é alcançável e crítico para aquele hospital — e acompanha o ciclo de correção. Para os ativos que não podem ser corrigidos, como muitos dispositivos IoMT, a saída é o controle compensatório: segmentação, restrição de acesso e monitoramento dedicado. O resultado é uma superfície de ataque que encolhe ao longo do tempo, em vez de crescer silenciosamente.

Conformidade: LGPD, ANPD e governança no contexto de saúde

Dado de saúde é, pela LGPD, dado pessoal sensível, sujeito a hipóteses de tratamento mais restritas e a um dever de proteção reforçado. Para o hospital, isso se traduz em obrigações concretas: ter base legal adequada para o tratamento, registrar as operações, garantir segurança técnica e administrativa proporcional ao risco, e — no caso de incidente que possa acarretar risco ou dano relevante aos titulares — comunicar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares afetados em prazo razoável.

A Conformidade da Decripte estrutura o hospital para que essas obrigações sejam cumpríveis na prática, e não apenas no papel: define o processo de tratamento de incidentes com responsáveis claros, prepara o procedimento de notificação à ANPD para que ele possa ser executado sob pressão, documenta os controles de segurança e ajuda a construir a governança de segurança da informação com base em ISO 27001. Para hospitais que processam pagamentos com cartão — em farmácias, particulares e convênios — entra também o PCI-DSS, que rege a proteção de dados de cartão. A conformidade aqui não é burocracia: é o que permite ao hospital demonstrar diligência e responder corretamente quando o incidente acontece.

O modelo de defesa em camadas que a Decripte aplica ao hospital

Nenhum controle isolado protege um hospital. A defesa eficaz é em profundidade, com camadas que se reforçam: se uma falha, a seguinte ainda segura. A Decripte organiza essa defesa de forma que cada ameaça do setor seja endereçada por mais de um controle.

Esse encadeamento é o que permite afirmar, com base em arquitetura e não em sorte, que um incidente terá alcance limitado. O phishing que captura uma credencial encontra MFA. A credencial que passa encontra segmentação. A movimentação lateral encontra o SOC. A tentativa de cifrar encontra a contenção da Resposta a Incidentes. E se algo ainda for cifrado, encontra o backup imutável. Camada após camada, o hospital deixa de ser um único ponto de falha. Para começar, o diagnóstico gratuito em decripte.io/free dá a primeira visão do risco, e decripte.io/start estrutura a proteção completa.

Anatomia de um ransomware durante o plantão noturno (cenário ilustrativo)

Como a Decripte responde a um incidente em ambiente hospitalar

Quando o prontuário está sob ataque, cada minuto conta e o atendimento não pode parar. A Resposta a Incidentes da Decripte segue um fluxo desenhado para o contexto crítico de saúde, com contenção em menos de 1 hora como compromisso central.

1. Detecção e triagem: o SOC 24x7 identifica o comportamento anômalo — movimentação lateral, desativação de defesas, autenticações suspeitas — e um analista confirma rapidamente que é intrusão real, não ruído operacional do hospital.
2. Ativação imediata: a equipe de Resposta a Incidentes é acionada no instante da confirmação, com escalonamento para a direção do hospital e definição de quem decide o quê, sem perder tempo descobrindo papéis no meio da crise.
3. Contenção em menos de 1 hora: isolamento cirúrgico dos ativos comprometidos, revogação das credenciais usadas pelo atacante e suspensão de acessos remotos — interrompendo a propagação antes que ela alcance o servidor de prontuário, preservando UTI, PS e centro cirúrgico operacionais.
4. Investigação forense: identificação do vetor inicial, dos pontos de persistência, das contas comprometidas e dos indicadores de comprometimento, para garantir que o atacante seja totalmente removido — e não apenas silenciado temporariamente.
5. Avaliação de exfiltração e LGPD: determinação de se houve roubo de dados antes da criptografia, definindo o escopo do potencial vazamento de dado de saúde e o dever de comunicação à ANPD e aos titulares.
6. Erradicação e recuperação: remoção dos artefatos do malware e dos mecanismos de persistência, seguida de restauração a partir de backup imutável, com tempo de recuperação previsível por já ter sido testado.
7. Endurecimento pós-incidente: implantação imediata de controles que fecham a lacuna explorada — segmentação, MFA, reforço de backup — para que o mesmo caminho não possa ser reaproveitado.
8. Relatório e lições aprendidas: documentação completa do incidente para a direção e para fins regulatórios, com recomendações estruturais que orientam a próxima fase de proteção do hospital.

Como a Decripte estrutura a segurança do hospital

Responder bem a um incidente é necessário, mas o objetivo é que o próximo incidente tenha alcance mínimo — ou não aconteça. A Decripte estrutura a defesa hospitalar em pilares que se reforçam, cobrindo detecção, arquitetura, redução de superfície e governança.

Planos recomendados para Hospitais

Perguntas frequentes

Termos do setor

IoMT (Internet of Medical Things)

Conjunto de dispositivos médicos conectados — bombas de infusão, monitores, equipamentos de imagem, analisadores laboratoriais — que costumam rodar sistemas antigos sem suporte, não aceitam antivírus nem atualização, e por isso são protegidos principalmente por segmentação de rede em vez de controles instalados no próprio equipamento.

PEP / HIS (Prontuário Eletrônico / Sistema de Informação Hospitalar)

Sistemas que concentram o registro clínico do paciente e a operação do hospital. São o ativo mais crítico e o alvo final do ransomware, pois sua indisponibilidade paralisa o atendimento e seu conteúdo é dado pessoal sensível de saúde.

Dupla extorsão

Tática do ransomware moderno em que o atacante exfiltra os dados antes de cifrá-los e ameaça publicá-los caso o resgate não seja pago. Para o hospital, significa que mesmo restaurando pelo backup, o incidente de vazamento de dado de saúde já ocorreu e precisa ser tratado sob a LGPD.

Segmentação de rede

Divisão da rede em zonas isoladas — IoMT, prontuário, administrativo, fornecedores — com tráfego restrito ao autorizado entre elas. É o controle que impede que um único ponto comprometido alcance todo o ambiente e que protege equipamentos médicos que não podem ser endurecidos individualmente.

Backup imutável

Cópia de segurança que não pode ser alterada nem deletada durante um período definido, mesmo com credenciais de administrador, e isolada da rede de produção. É o que torna a recuperação independente do atacante e elimina a alavanca de extorsão do ransomware.

ANPD (Autoridade Nacional de Proteção de Dados)

Órgão responsável por fiscalizar a aplicação da LGPD no Brasil. Em incidentes de segurança que possam gerar risco ou dano relevante aos titulares — como o vazamento de prontuários, que são dados sensíveis de saúde — há dever de comunicação à ANPD e aos titulares afetados.