Três da manhã de sábado. O telefone do diretor administrativo toca.
Os sistemas do hospital estão fora do ar. Ninguém sabe dizer desde quando. Ninguém sabe dizer até quando.
Na segunda-feira, a pergunta que o conselho faz não é técnica. É esta: "Nós sabíamos?"
O problema não é a invasão. É a pergunta que vem depois.
Quando algo assim acontece, a diretoria precisa responder a três coisas ao mesmo tempo.
- Quanto isso vai custar?
- Quem deixou acontecer?
- E o que dissemos que estava sendo feito?
Quem assina a ata responde por essas perguntas. Não a equipe de tecnologia.
Por isso este assunto saiu da sala da TI. Hoje ele é pauta de conselho.
Por onde os atacantes têm conseguido acesso aos ambientes em 2026?
Não existe uma única porta. Existem várias. Uma delas o conselho controla por contrato: o fornecedor.
No relatório anual da Verizon, que analisou 1.492 incidentes em saúde, em cerca de um terço dos casos havia um fornecedor ou parceiro envolvido.
O que a imprensa brasileira tem mostrado em 2026
Em 2026, dois dos maiores hospitais de São Paulo comunicaram incidentes à Autoridade Nacional de Proteção de Dados (ANPD) e à Polícia Federal.
Em um deles, parte da base de dados de pacientes foi acessada sem autorização, e a Polícia Federal investiga invasão e extorsão. No outro, o acesso atingiu um sistema interno de relatórios, sem tocar a base geral de pacientes.
Nos dois, os hospitais informaram que o atendimento seguiu normal. O impacto, mesmo assim, chegou à diretoria: investigação, comunicação a pacientes e perguntas do conselho.
Os dois casos têm algo em comum. Quando a notícia chega, a pergunta já não é como foi feito. É o que a gestão sabia antes.
A porta que a gestão menos enxerga
Os caminhos são vários. Um dos mais silenciosos é este:
Um médico acessa o sistema do hospital de casa, pelo computador da família. Esse computador tem um programa malicioso, instalado sem querer. O programa copia, em silêncio, as senhas guardadas no navegador.
Dias depois, a senha aparece à venda em um mercado clandestino. O comprador não precisa "invadir" nada. Ele só entra, com a senha de quem tem permissão.
O sistema não estranha. Para ele, é o médico de sempre.
A falha não está no prédio nem no servidor. Está num computador pessoal que a diretoria nunca viu e que a TI não controla. E, justamente por isso, é a gestão quem decide se quer saber disso.
Quanto custa
Segundo o estudo anual da IBM com o Ponemon Institute, o custo médio de um incidente na saúde foi de cerca de US$ 6,64 milhões em 2026. Saúde é o setor mais caro pelo 13º ano seguido.
O que está em jogo para quem decide
O custo cai no seu orçamento. Operação parada, serviços de emergência contratados às pressas, consultoria jurídica, comunicação de crise. Tudo isso chega antes de qualquer discussão sobre o que fazer a seguir.
A lei olha para a gestão. Dados de saúde são classificados como dados sensíveis pela Lei Geral de Proteção de Dados (LGPD). O vazamento pode gerar multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, além de comunicação obrigatória à autoridade e aos titulares. E quem administra tem o dever de agir com diligência: "eu não sabia" raramente é uma boa defesa.
A reputação não volta com um comunicado. Operadoras, convênios, parceiros e pacientes passam a perguntar o que a instituição fazia antes. A confiança que levou décadas para ser construída é reavaliada em semanas.
E um hospital nunca fecha. Não existe horário em que parar o sistema seja barato. Cirurgia adiada, prontuário inacessível e ambulância desviada acontecem ao mesmo tempo que tudo o que está acima.
Três perguntas para a próxima reunião de conselho
Nenhuma delas exige conhecimento técnico. Todas exigem uma resposta clara.
-
Sabemos se senhas da nossa equipe estão à venda hoje? Se a resposta for "não sabemos", a pergunta seguinte é como passar a saber.
-
Quanto tempo conseguimos operar se os sistemas pararem? Horas? Um dia? Existe um plano em papel, testado, que a equipe do plantão conhece?
-
Quem responde se dados de pacientes vazarem? Quem decide, quem comunica a autoridade e os pacientes, e em quanto tempo. Isso está escrito e tem nome?
Se as respostas forem vagas, isso já é uma resposta.
Checklist: o que o conselho deve cobrar da diretoria
Responder as três perguntas é o começo. Estas oito transformam a conversa em rotina:
- ☐ Quem na diretoria é o dono deste tema, e para quando traz as respostas ao conselho?
- ☐ Alguém verifica todo mês se senhas da nossa equipe apareceram à venda?
- ☐ Quando alguém deixa a instituição, o acesso dessa pessoa é encerrado no mesmo dia?
- ☐ Para entrar nos sistemas de pacientes, basta uma senha?
- ☐ A TI nos disse quantos sistemas importantes estão desatualizados, com falhas já conhecidas, e há quanto tempo?
- ☐ Nossos fornecedores passam por testes de segurança antes de serem contratados?
- ☐ Nossos contratos obrigam o fornecedor a nos avisar, em prazo definido, se houver um incidente?
- ☐ Já simulamos um dia inteiro sem sistemas, com a equipe do plantão?
Leve esta lista à próxima reunião. O que ficar sem resposta é a pauta.
Um convite à conversa
Nada disso é motivo para alarme. A maioria das instituições está no mesmo ponto: o assunto é novo para o conselho, e a rotina não deixa espaço para ele.
O que muda o jogo é tratá-lo como pauta de gestão, com dono, prazo e acompanhamento.
Na Defenzor, trabalhamos com monitoramento de senhas e dados de equipes expostos na internet. Se fizer sentido para a sua instituição, teremos prazer em conversar.
Como esse tema aparece no conselho da sua instituição?
Glossário
- ANPD (Autoridade Nacional de Proteção de Dados): órgão do governo que fiscaliza o cumprimento da LGPD e recebe a comunicação de vazamentos.
- Dados sensíveis: informações que exigem proteção reforçada pela lei, como dados de saúde, origem racial ou étnica e convicção religiosa.
- Incidente: qualquer evento que comprometa a segurança dos sistemas ou dos dados, seja uma invasão, um vazamento ou uma interrupção.
- LGPD (Lei Geral de Proteção de Dados): lei federal que define como as organizações devem coletar, guardar e proteger dados pessoais.
- Programa malicioso (malware): programa instalado sem que o usuário perceba, criado para roubar informações ou dar acesso a terceiros.
- Senha roubada: senha copiada do computador de alguém, geralmente por um programa malicioso, e depois revendida ou usada por criminosos.
Fontes: IBM Security e Ponemon Institute, Cost of a Data Breach Report 2026; Verizon, Data Breach Investigations Report 2026 (recorte de saúde); Lei nº 13.709/2018 (LGPD), arts. 5º, 11 e 52; comunicados dos hospitais e reportagens de TI Inside, CNN Brasil, SBT News e IT Forum (outubro de 2026).