Dados de 500 mil brasileiros vazam em sistema médico

Dados de 500 mil brasileiros estão expostos a cibercriminosos após uma falha de segurança no sistema de gestão para clínicas e consultórios STDoctor, hoje denominado ISA Tech, sediado no Recife (PE).

O vazamento foi denunciado em 15 de setembro pelo pesquisador de segurança Guilherme Nocera, que tentou alertar a empresa antes de tornar o caso público. Desde então, grupos no Telegram compartilham o arquivo completo com informações sensíveis de pacientes, médicos e funcionários.

Dados de 500 mil brasileiros vazam em sistema médico

Entre os registros expostos há nome completo, data de nascimento, e-mail, telefone, CPF, endereço, nome da mãe, profissão, convênio, alergias, exames, prescrições, laudos e fotos de exames. Também foram identificados 13 mil registros financeiros com meios de pagamento, taxas de cartão, valores e datas de transação. Chats internos entre médicos e colaboradores da plataforma podem ser lidos livremente por meio de uma API desprotegida.

Detalhes do incidente e riscos

A STDoctor afirma possuir 135 mil clientes cadastrados e mais de 330 mil atendimentos realizados. No entanto, ao menos 500 mil perfis de pacientes aparecem no vazamento, abrangendo registros de 5 mil cidades diferentes. A exposição viola a Lei Geral de Proteção de Dados (LGPD); pela lei, companhias que não comunicam incidentes podem ser multadas em até 2% do faturamento, limitadas a R$ 50 milhões.

Até o momento, a ISA Tech não respondeu às tentativas de contato do veículo que revelou o caso nem informou medidas de contenção. Especialistas recomendam que possíveis vítimas utilizem o serviço Registrato do Banco Central, ativem autenticação de dois fatores e mantenham antivírus atualizados para reduzir riscos de spear phishing.

Como se proteger a partir de agora

Para mitigar danos, usuários devem atualizar senhas, evitar reutilização de credenciais, manter sistemas operacionais em dia e desconfiar de mensagens urgentes pedindo dados ou pagamentos. De acordo com a Autoridade Nacional de Proteção de Dados, qualquer indício de uso indevido das informações deve ser comunicado imediatamente.

Este episódio reforça a importância de auditorias recorrentes em APIs e do cumprimento rigoroso da LGPD por fornecedores de saúde digital.

Quer seguir acompanhando os principais alertas sobre cibersegurança? Acesse nossa editoria de notícias e tendências e fique informado.

Crédito da imagem: TecMundo