Fornecedores são maior fonte de risco cibernético para hospitais, dizem executivos

Fornecedores de tecnologia representam o maior risco cibernético para instituições de saúde, avaliam executivos de segurança da informação do setor que participaram do Cyber Security Summit Brasil 2026, realizado neste mês em São Paulo. De acordo com os especialistas, a ausência de políticas de segurança adequadas em empresas terceiras cria vulnerabilidades para vazamentos de dados e ataques. O cenário é agravado pelo crescimento de startups com soluções de inteligência artificial. Em agosto, o Einstein Hospital Israelita foi vítima de um ataque cibernético, mas não se sabe qual foi a porta de entrada do cibercrime.

O CISO (Chief Information Security Officer) da Rede D’Or São Luiz, Arthur Magalhães, disse que os fornecedores são a maior fonte de risco pela diversidade de perfis, que vão de companhias multinacionais com procedimentos bem estabelecidos a pequenas empresas. O executivo afirmou que a IA fez com que surgissem “centenas de milhares de especialistas do dia para a noite”, o que aumenta a chance de brechas na segurança de dados. “Isso trouxe muito piloto não qualificado e nos agregou risco.” Ele ainda destacou a sensibilidade do setor de saúde, em que, além de dados financeiros, está em jogo a saúde dos pacientes.

Já o CISO do A.C.Camargo Cancer Center, Lucio Comanche, disse que é fundamental promover a gestão de riscos de terceiros, incluindo o monitoramento ativo de fornecedores críticos com os quais a instituição mantém conectividade. “Não adianta olhar uma vez por ano, não vai resolver.” Para o CISO do Hospital Sírio-Libanês, Leandro Ribeiro, é necessário reforçar a discussão sobre a importância da segurança cibernética com toda a sociedade, para que a população tenha uma dimensão mais clara da potencial gravidade de um vazamento de dados ou de uma invasão de sistema em um mundo cada vez mais digitalizado.

Como exemplo, foi citado no painel um caso de fora do setor da saúde, mas que ilustra o cenário de risco. Em 2025, a fabricante automotiva britânica Jaguar Land Rover (JLR) sofreu um ataque cibernético que resultou na paralisação das linhas de produção em diversos países, impactando toda a cadeia de fornecimento. A companhia registrou prejuízo de quase 500 milhões de libras no trimestre do incidente e o governo da grã-bretanha precisou intervir no caso, com a aprovação de uma garantia de empréstimo de 1,5 bilhão de libras.

Ribeiro apontou que existem diversos grupos dedicados a realizar ataques e o setor da saúde, por sua complexidade, pode não ter a agilidade necessária para reagir. Na visão dele, além de incluir áreas que vão além da assistência médica, como logística e hotelaria, o que implica um grande número de fornecedores, o segmento ainda enfrenta a falta de profissionais de segurança cibernética que conhecem a fundo o setor da saúde. Nesse sentido, é possível que a responsabilidade recaia sobre o engenheiro clínico. “Ele tem o conhecimento dos equipamentos médicos e terá que estudar e agir para protegê-los.”

Einstein. Recentemente, o Einstein Hospital Israelita foi vítima de ataque cibernético que resultou em acesso e obtenção não autorizados de uma parte da base de dados de pacientes. As informações são de natureza pessoal com registros cadastrais incluindo nome, CPF e/ou data de nascimento e podem conter dados de saúde como prescrições médicas e resultados de exames. Segundo a companhia, não foram identificadas quaisquer evidências de que os dados tenham sido divulgados ou utilizados de maneira imprópria e ações foram tomadas com o objetivo de reduzir estes riscos. O monitoramento permanece ativo e será mantido de forma contínua. O fato ocorreu dia 4 de agosto.

O Einstein afirmou que foram adotadas imediatamente medidas técnicas e operacionais para confirmar o acesso não autorizado e garantir que a assistência prestada aos pacientes, a segurança dos atendimentos e a continuidade das operações não tivessem qualquer impacto.  

“O incidente segue em processo de apuração, com o apoio de peritos independentes e consultorias especializadas em segurança da informação e resposta a incidentes cibernéticos”, disse o hospital em nota. A ANPD (Autoridade Nacional de Proteção de Dados) foi comunicada, em conformidade com a legislação vigente, e o caso também foi formalmente levado à Polícia Federal e está sendo investigado, segundo o Einstein.