SABG aponta falhas de dados no IMSS e no SAT

A Secretaria Anticorrupção e de Bom Governo informou descumprimentos de proteção de dados pessoais em nove institutos nacionais de saúde, no IMSS, na Sociedade Hipotecária Federal e no SAT. Entre os casos, citou um sistema de prontuários clínicos sem a certificação de segurança exigida, a publicação de uma base de dados do IMSS, um ataque de ransomware contra a SHF e a extração e divulgação de informações de um contribuinte do SAT.

¿O que a SABG detectou no setor público?

A dependência apontou falhas em órgãos públicos ligadas ao tratamento de dados pessoais e determinou correções específicas. No caso de nove institutos nacionais de saúde, ordenou ajustar políticas, atualizar sistemas e capacitar a equipe em um prazo de 40 dias úteis.

O relatório também incluiu o IMSS, a SHF e o SAT entre os descumprimentos detectados. Segundo a autoridade, um dos casos envolveu um sistema clínico sem a certificação de segurança exigida, enquanto outro resultou na publicação de uma base de dados do IMSS.

¿Que números a autoridade reportou entre setembro e junho?

A SABG afirmou que, entre 1º de setembro de 2025 e 30 de junho de 2026, abriu 122 investigações e 60 verificações no setor público relacionadas à proteção de dados pessoais. No setor privado, recebeu 294 casos e resolveu 298.

Além disso, recebeu 76 casos ligados à imposição de sanções a empresas e concluiu 71, com multas de 118,5 milhões de pesos por infrações vinculadas a dados pessoais. As informações fazem parte do balanço oficial divulgado pela dependência sobre sua atividade recente.

¿Que outros incidentes foram mencionados?

A autoridade também citou um ataque de ransomware contra a Sociedade Hipotecária Federal e a extração e divulgação de informações de um contribuinte do SAT. Nos dois casos, os fatos foram incluídos como descumprimentos relacionados à proteção de dados pessoais.

O material de referência também traz uma nota do Milenio sobre um ciberatacante identificado como "Eternal", que oferecia bases de dados atribuídas supostamente a usuários da Telcel, ao Registro Civil, à folha de pagamento do governo de Nuevo León, a trabalhadores do IMSS, a veículos do REPUVE e a sistemas de água estaduais. Esse relato indicou que a SABG emitiu dois alertas relacionados a essa atividade, embora o resultado disponível não permita confirmar que essas bases tenham saído de fato das instituições mencionadas.

A mesma cobertura do Milenio acrescentou que um alerta da SABG foi ligado a uma publicação no Telegram de 22 de setembro que oferecia mais de 12,9 milhões de registros supostamente relacionados a diferentes centrais de atendimento. A cifra e a atribuição foram apresentadas pelo veículo como parte do relatório sobre a atividade do invasor, e não como confirmação técnica independente.