Saúde, clínicas, hospitais e farmacêuticas, Jul 2026

Incidentes relevantes

Brasil, processo sancionatório da ANPD contra Isac

O caso mais claro do mês na saúde latino-americana foi o processo sancionatório aberto pela ANPD contra o Instituto Saúde e Cidadania. A autoridade sustentou que a organização social apresentou uma falha na proteção de dados de pacientes de unidades públicas de saúde no Brasil e que o caso envolveu um ataque de ransomware. A própria ANPD indicou que a instituição informou cerca de 500 mil registros afetados, com aproximadamente 78.772 de crianças e adolescentes e 47.921 de pessoas idosas. A combinação de volume e sensibilidade coloca o incidente em uma categoria de alto impacto potencial, mesmo antes das desdobramentos jurídicos.

A cobertura jornalística também acrescentou que a ANPD está analisando se o Isac adotou medidas de segurança adequadas e se notificou individualmente os afetados. Esse ponto é central. Na saúde, um incidente não termina quando o invasor cifra ou exfiltra informação. Ele continua na camada de conformidade, onde são avaliadas prevenção, accountability e comunicação. O Globo e Poder360 coincidiram ao afirmar que a autoridade investigou a ausência de notificação individual, enquanto Defender360 destacou o possível intervalo de sanções sob a LGPD. Essa leitura sugere que o caso pode acabar sendo tão relevante pelo processo administrativo quanto pelo próprio ciberataque.

O fato também tem valor estrutural para a região. O setor público de saúde costuma operar com múltiplas unidades, sistemas heterogêneos e longas cadeias de terceiros. Quando uma organização social administra infraestrutura sanitária, o risco não se limita à instituição. Ele pode alcançar hospitais, clínicas, bases de dados e processos de atendimento distribuídos em várias jurisdições. O caso do Isac deixa uma lição operacional nítida: a resiliência não se mede apenas por ter cópias de backup, mas pela capacidade de demonstrar proteção, rastreabilidade e notificação no tempo certo quando uma intrusão expõe pacientes.

Sinaloa, denúncias cruzadas e uma filtragem ainda não encerrada

Sinaloa concentrou várias coberturas durante julho, mas o material disponível não permitiu fechar um único diagnóstico técnico. El Sol de Sinaloa falou de sete relatos de possíveis ciberataques a sistemas públicos no mês, com menções a prontuários médicos entre os possíveis impactos, embora sem laudos públicos conclusivos. El Independiente informou que nenhuma autoridade havia confirmado um ciberataque nem a autenticidade dos arquivos divulgados. Noroeste repercutiu a negativa da prefeita interina de Culiacán sobre um ataque a páginas oficiais da prefeitura. Proceso, por sua vez, ampliou a hipótese e sustentou que o suposto ciberataque a governos de Sinaloa teria exposto dados de quase um milhão de pessoas.

A peça jornalística mais específica sobre saúde foi a que mencionou o Portal de Salud de Culiacán. Ransomware.mx divulgou uma cobertura da Intel MX em que um ator de ameaça afirmava ter comprometido o portal e publicado gratuitamente supostos prontuários médicos, incluindo dados de menores. Diario Bitcoin também relatou um suposto vazamento de 4.045 registros médicos. No entanto, o próprio material indica que ainda não havia verificação pública oficial. Isso obriga a classificar o episódio com prudência: há reivindicação e circulação de dados, mas não há fechamento técnico independente sobre origem, alcance ou validade da informação.

Do ponto de vista defensivo, Sinaloa mostra um problema conhecido. Quando várias fontes jornalísticas descrevem o mesmo ambiente, mas não existe uma perícia unificada nem uma atribuição clara, o tempo joga contra o titular dos dados. As equipes de saúde costumam ser obrigadas a responder antes de contar com certeza total. Esse descompasso é custoso. Se o material circulante for real, a exposição é grave. Se não for, o dano reputacional também pode ser alto. Por isso a primeira tarefa não é apenas conter o sistema, mas preservar evidências, validar hashes ou amostras, e separar boatos de material autêntico.

Paraguai, ciberataques a sanatórios e baixa especificidade técnica

Diario Paraguayo publicou uma nota sobre um ciberataque que afetou sanatórios privados e empresas de medicina pré-paga no Paraguai. A cobertura não identificou instituições nem trouxe detalhes técnicos sobre malware, vetores ou alcance. Em outra peça, o veículo citou um especialista que interpretou o episódio como sintoma de baixa maturidade de cibersegurança no setor de saúde. Essa última leitura é plausível como opinião, mas não pode ser tomada como aviso oficial nem como evidência de campanha concreta.

A utilidade do caso está justamente em sua ambiguidade. Quando a informação chega sem nomes, sem data técnica e sem indicadores de comprometimento, o setor termina operando no escuro. Os sanatórios privados e as operadoras de medicina pré-paga costumam trabalhar com plataformas administrativas, portais de adesão, agendamentos e faturamento. Não é preciso um criptografamento em massa para gerar interrupções. Um acesso não autorizado a um sistema de consultas ou a um módulo de credenciais pode afetar atendimento e serviço ao paciente sem que ainda exista um vazamento público. Por isso, mesmo sendo um fato de confirmação limitada, merece atenção dentro do mês.

Uruguai, ataque ao site do Hospital de Clínicas

O Hospital de Clínicas do Uruguai foi outro dos nomes que apareceu repetidamente em julho. A cobertura de Subrayado indicou que sua página web havia sido hackeada e seguia fora do ar no momento do informe. El País informou que a Agesic e os serviços de informática da Universidad de la República investigavam o caso, mas que não havia acesso às informações dos pacientes. O próprio hospital esclareceu que o incidente não comprometeu prontuários nem afetou o atendimento. Telenoche acrescentou que o site estava há pelo menos uma semana em manutenção.

El Observador trouxe um dado útil para a classificação do fato: o ataque não teria sido direcionado especificamente ao Hospital de Clínicas, mas faria parte de um programa automático que procurou sites vulneráveis e explorou uma falha no Joomla. Em outras palavras, o hospital foi um entre vários alvos atingidos por uma varredura massiva da internet, e a recuperação consistiria em restaurar um backup, reinstalar o Joomla e atualizar o ambiente.

Esse enquadramento reduz a gravidade clínica do fato, mas não sua relevância operacional. Um portal fora do ar por dias pode interromper informação pública, agendas, comunicação de cátedras e canais de contato. Em instituições de saúde grandes, até mesmo um defacement ou uma queda de presença digital tem custo. O importante aqui é que o material disponível negou impacto sobre dados de pacientes. Por isso, este caso deve ser lido como indisponibilidade web e não como brecha clínica confirmada.

Brasil e a pressão regional sobre ransomware na saúde

Além do caso Isac, julho deixou várias referências à pressão do ransomware sobre a região e sobre a saúde em particular. A SCILabs indicou que em 2025 o Qilin foi a variante mais ativa na América Latina, seguida por Akira e LockBit, e citou novas famílias como SafePay e The Gentlemen. A Breachsense informou que o setor de saúde foi o mais atacado em julho de 2026, com 71 vítimas, e que houve 811 vítimas publicadas em leak sites durante o mês, atribuídas a 66 grupos distintos em 78 países. Ambas as leituras são úteis para entender a pressão do ecossistema, embora não substituam o registro de incidentes de saúde do mês.

A região também mostrou diversidade tática. A TrendTIC relatou ataques de ransomware direcionados contra organizações na Colômbia e no México em que os atacantes imprimiram as notas de resgate em impressoras corporativas depois de cifrar os sistemas com BitLocker. A Kaseya informou sobre o grupo Everest e uma cobrança de aproximadamente 10 milhões de francos suíços à Stadler Rail após acesso a uma plataforma de troca de dados compartilhada com um fornecedor. No campo da saúde, isso sugere que os atacantes seguem priorizando a interrupção visível e a pressão psicológica, mesmo quando o roubo de dados não fica imediatamente exposto.

Ameaças e campanhas ativas

Ransomware, criptografia confirmada

Só dois fatos do período permitem afirmar criptografia de ativos confirmada no material analisado. O primeiro é o caso brasileiro da Isac, descrito pela ANPD e por veículos como um ataque de ransomware. O segundo corresponde à cobertura regional sobre ataques na Colômbia e no México, em que foi reportada a criptografia de sistemas com BitLocker e a impressão de notas de resgate. Nos dois casos, o valor analítico está no fato de que a indisponibilidade fez parte explícita da tática, e não de uma inferência posterior.

No restante dos fatos com foco em ransomware, a fonte nem sempre precisou se houve criptografia, exfiltração ou apenas a menção da vítima em um leak site. Isso é especialmente importante em saúde, onde as coberturas tendem a usar "vazamento", "ataque" e "ransomware" como termos próximos, embora tecnicamente não descrevam a mesma coisa. Para uma equipe de segurança, essa diferença muda a resposta. Se há criptografia, a prioridade é restauração e continuidade. Se há exfiltração, a prioridade é contenção, perícia e notificação. Se há apenas uma reclamação em um site de vazamentos, a prioridade é verificar evidências antes de assumir impacto real.

Ransomware, exfiltração sem criptografia

O material do mês só permite identificar com clareza conceitual um caso de exfiltração sem criptografia como eixo primário, embora não vinculado de forma inequívoca a uma instituição de saúde latino-americana concreta. Por isso, não convém forçar uma leitura regional mais ampla do que as fontes sustentam. O que fica claro é que a extorsão simples segue no repertório e que, em saúde, a simples exposição de registros médicos pode ter custo regulatório e reputacional mesmo sem queda de sistemas.

Ransomware, apenas menção em leak site

Várias coberturas de julho se enquadraram nessa categoria. Em Sinaloa, por exemplo, houve referências a publicações de supostos prontuários médicos e a reivindicações de um ator de ameaça, mas sem confirmação oficial sobre autenticidade, alcance ou intrusão. Esse detalhe importa porque uma menção em leak site não equivale, por si só, a um vazamento validado. Pode ser material autêntico, manipulado ou parcialmente misturado com dados anteriores.

Fraude e phishing

Não foram documentados casos de fraude ou phishing como incidentes concretos do eixo saúde para julho de 2026 no material fornecido. Isso não significa ausência de risco. Significa que, neste corpus, o mês foi dominado por ransomware, queda de portais, reivindicações de vazamento e ações regulatórias. O phishing aparece, sim, em material de contexto regional geral, mas não como fato atribuível a uma instituição de saúde no período.

APT e hacktivismo

Não houve fatos de APT ou hacktivismo em saúde claramente tipificados para o mês dentro dos materiais verificáveis. Houve, sim, um contexto geral de intrusão em sistemas do Estado paraguaio e uma superfície de ataques automatizados contra sites uruguaios, mas isso não basta para classificar uma campanha de APT sobre o vertical saúde. Convém manter essa distinção para não misturar ruído geopolítico com incidentes de operação clínica.

Vulnerabilidades críticas

O material menciona vulnerabilidades críticas exploradas ativamente, embora nem todas estejam associadas de forma exclusiva ao setor de saúde. Para instituições de saúde e farmacêuticas, o valor está na superfície comum: appliances expostos, portais públicos, software de acesso remoto e plataformas de colaboração com terceiros.

No material analisado não aparece uma relação direta entre essas falhas e uma brecha sanitária concreta da região, mas há um padrão de exposição compatível com ambientes de saúde que usam software de borda ou integrações legadas. A presença de KEV em julho é um alerta tático para quem opera hospitais, clínicas, laboratórios e farmacêuticas: as janelas de correção são curtas e os atacantes já estão usando falhas públicas.

Regulação e conformidade

A regulação ganhou mais peso do que nos meses anteriores porque o Brasil transformou um incidente de saúde em um processo administrativo de alto perfil. A ANPD abriu um processo de sanção contra Isac com base em uma falha na proteção de dados de pacientes. O órgão também avaliou se houve medidas insuficientes de prevenção, se a comunicação aos afetados foi incompleta e se a organização poderia sustentar a alegação de que não existia risco ou dano. Esse entendimento reforça uma leitura que já vinha ganhando força na região: em saúde, a segurança da informação é inseparável da obrigação de demonstrar diligência.

O caso também expôs a tensão entre operação terceirizada e responsabilidade. Quando uma organização social ou um fornecedor administra dados de unidades públicas, o regulador pode analisar tanto a arquitetura técnica quanto a governança dos dados. Isso inclui notificação, documentação de controles, avaliação de impacto e capacidade de resposta. Para clínicas, hospitais e farmacêuticas, a mensagem é direta: a falta de evidências de controles pode ser tão problemática quanto a própria intrusão.

Fora do Brasil, não houve no material outros movimentos regulatórios com o mesmo peso. Houve, sim, cobertura de autoridades de investigação no Uruguai e referências a fiscalias ou CERT no Paraguai, mas isso não equivale a uma sanção administrativa de alcance sanitário comparável. Por isso, o balanço regulatório do mês ficou muito concentrado em um único fato, embora esse fato seja suficiente para redefinir prioridades de compliance no setor.

Países e subsegmentos mais afetados

Brasil

O Brasil foi o país com o sinal mais contundente do mês. O caso Isac envolve dados de pacientes de unidades públicas de saúde, uma investigação regulatória ativa e possível sanção sob a LGPD. Além disso, várias peças de contexto regional posicionaram o país como um dos mais afetados por ransomware e por vítimas publicadas em relatórios de vendors. Essa combinação faz com que o Brasil não apareça só como um mercado grande, mas como uma jurisdição em que o custo de um incidente na área da saúde pode rapidamente escalar para a agenda regulatória.

Nos subsegmentos, o material aponta sobretudo para a saúde pública e para organizações que administram serviços para terceiros. Não houve no mês um caso concreto no setor farmacêutico com a mesma densidade documental. Isso não elimina a exposição do segmento, mas marca uma diferença no volume verificável de fatos. O dado operacional é que a maior parte da pressão visível recaiu sobre gestores de dados e serviços públicos de atendimento, não sobre laboratórios ou fabricantes.

México

O México apareceu por duas vias. Uma é a leitura regional sobre o aumento de ciberataques, com uma escalada de 38% no país e uma relação com a onda StrikeShark. A outra é a cobertura sobre Sinaloa, onde o material jornalístico misturou relatos de possíveis ciberataques a sistemas públicos, vazamentos em discussão e versões sobre o Portal de Saúde de Culiacán. O país não teve em julho um caso de saúde tão fechado quanto o brasileiro, mas registrou maior densidade de sinais de exposição e disputa narrativa.

Em termos de subsegmento, o que ficou mais visível foi o setor público de saúde e os portais de informação médica. A ausência de confirmação oficial em Sinaloa exige prudência, mas não reduz a necessidade de monitoramento. Quando um vazamento circula entre várias redações sem perícia, o dano potencial sobre dados de pacientes já existe no plano reputacional, ainda que a validação técnica siga em aberto.

Paraguai

O Paraguai mostrou a frente dos sanatórios privados e das empresas de medicina pré-paga. O material não identifica instituições, mas reflete uma preocupação setorial concreta. O valor do caso não está no detalhe técnico, e sim na coincidência entre um ecossistema de saúde privada e uma percepção de preparação insuficiente. Isso costuma ser receita para incidentes com baixa visibilidade pública e alta fricção operacional interna.

Uruguai

O Uruguai trouxe um caso mais pontual e, ao mesmo tempo, bastante ilustrativo. O Hospital de Clínicas sofreu um hackeamento de seu site, com impacto na parte informativa do portal, mas sem comprometimento de dados de pacientes nem de prontuários, segundo a própria instituição. O ataque foi descrito como automatizado e oportunista, apoiado em uma vulnerabilidade do Joomla. Para o subsegmento, isso aponta para universidades, hospitais públicos e portais de divulgação que ainda dependem de software exposto e manutenção irregular.

Sinaloa e o ecossistema público de saúde

Sinaloa não pode ser lido como uma única instituição, mas como um ecossistema de sistemas públicos sob pressão narrativa. Houve relatos sobre possíveis ciberataques, menções a prontuários médicos e versões cruzadas sobre um vazamento. Sem um parecer conclusivo, o subsegmento mais afetado é o de plataformas públicas de atendimento e portais de saúde. O problema não é apenas a intrusão, mas a falta de um relato técnico que permita delimitar o alcance.

Tendências e sinais para monitorar

Não há baseline comparativo neste formato, então não cabe inventar uma tendência mensal frente ao período anterior. O que dá para afirmar é que julho consolidou três sinais que merecem atenção em agosto e ao longo do segundo semestre.

O primeiro é a persistência do ransomware como ameaça dominante. Não apenas pela quantidade de casos, mas pela variedade de modalidades observadas: criptografia confirmada, reivindicações em leak sites, impressão de notas de resgate e exploração de software exposto. Em saúde, isso costuma preceder incidentes mistos, nos quais o invasor combina indisponibilidade com pressão por dados sensíveis.

O segundo sinal é regulatório. O caso da ANPD pode estabelecer um padrão mais rigoroso sobre evidências de controles, notificação e accountability em operadores que lidam com saúde pública. Se o processo terminar em sanção, a região terá um precedente relevante para organizações semelhantes em outros países.

O terceiro é técnico. As vulnerabilidades críticas de julho mostraram que os atacantes continuam priorizando falhas já exploradas ativamente e superfícies comuns em hospitais e fornecedores, especialmente portais, appliances de acesso remoto e plataformas de colaboração. Enquanto a correção seguir lenta, a janela para intrusão continuará aberta.

Recomendações para equipes de segurança

Primeiro, separar operacionalmente três cenários que muitas mesas costumam confundir: criptografia confirmada, exfiltração sem criptografia e alegação sem validação. Cada cenário exige uma sequência diferente de resposta, e misturá-los atrasa decisões sobre isolar a rede, cortar acessos, restaurar ou notificar.

Segundo, revisar imediatamente a exposição de portais públicos e sistemas de borda. O material do mês cita softwares e appliances que costumam aparecer em hospitais, clínicas e terceiros de saúde. Se um time tem ColdFusion, SonicWall, Fortinet, Joomla ou ferramentas semelhantes expostas, a correção não pode depender do ciclo normal de patches.

Terceiro, endurecer a gestão de terceiros. O caso brasileiro sugere que a responsabilidade não termina na instituição que opera o serviço. Contratos, auditoria de controles, inventário de responsáveis e rotas de notificação precisam estar prontos antes do incidente, não depois.

Quarto, revisar a capacidade de preservar evidências. Em vários fatos de julho, a discussão pública ficou sem perícia técnica. Isso é um problema porque, sem logs, sem imagens forenses e sem rastreabilidade de contas privilegiadas, a organização fica presa entre negar cedo demais ou confirmar tarde demais.

Quinto, testar a restauração de verdade, e não apenas a existência de backup. Em saúde, a recuperação precisa incluir turnos, portais, prontuário, impressão, integrações de laboratório e comunicação com pacientes. Um backup que não restitui a operação clínica completa serve pouco.

Sexto, reforçar a gestão de comunicação e compliance. Se o incidente envolver dados sensíveis, a notificação individual, a linguagem jurídica e a coordenação com reguladores devem ser preparadas em paralelo à contenção técnica. O caso Isac mostra que essa camada pode virar a frente principal do episódio.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para julho de 2026 e com o recorte temático de saúde, clínicas, hospitais e farmacêuticas na América Latina. Não foram usadas fontes externas nem dados da internet. Os fatos sem data confirmada foram excluídos dos indicadores do período e só foram usados, quando cabível, como contexto qualitativo com essa ressalva explícita.

A janela temporal dos indicadores é a declarada no material, 51 fatos com data em julho de 2026 e 16 sem data confirmada, estes últimos excluídos das contagens. Os indicadores reproduzidos acima devem ser lidos exatamente como foram fornecidos, sem recalcular bases nem redistribuir categorias.

Um indicador em zero não significa que esse fenômeno não tenha existido na região. Em particular, os 0 casos de fraude ou phishing documentados significam apenas que não apareceram fatos desse tipo no material analisado para este período. O mesmo vale para CVEs se o material não tivesse registrado nenhum, embora neste caso tenham sido citados 9 CVEs críticos. A ausência no corpus não equivale à ausência real de vulnerabilidades ou incidentes na América Latina.

Também ficaram fora do volume os números de telemetria agregada, porque correspondem a tentativas, bloqueios, varreduras ou detecções de vendors, e não a intrusões com impacto confirmado. Quando mencionados, apareceram apenas como contexto e sempre diferenciados de incidentes. Por fim, o material excluiu redes sociais de consumo e conteúdo patrocinado, por isso não foram usados como evidência.

Limitações do material

Este relatório foi elaborado exclusivamente com o material fornecido para julho de 2026 e com o recorte temático de saúde, clínicas, hospitais e farmacêuticas na América Latina. Não foram usadas fontes externas nem dados da internet. Os fatos sem data confirmada ficaram fora dos indicadores do período e só foram usados, quando cabia, como contexto qualitativo, com essa ressalva explícita.

A janela temporal dos indicadores é a declarada no material, 51 fatos com data em julho de 2026 e 16 sem data confirmada, estes últimos excluídos das contagens. Os indicadores reproduzidos acima devem ser lidos exatamente como foram fornecidos, sem recalcular bases nem redistribuir categorias.

Um indicador em zero não significa que esse fenômeno não tenha existido na região. Em particular, os 0 casos de fraude ou phishing documentados significam apenas que não apareceram fatos desse tipo no material analisado para este período. O mesmo vale para CVEs se o material não tivesse registrado nenhum, embora neste caso tenham sido mencionados 9 CVEs críticos. A ausência no corpus não equivale a ausência real de vulnerabilidades ou incidentes na América Latina.

Também ficaram fora do volume os números de telemetria agregada, porque correspondem a tentativas, bloqueios, varreduras ou detecções de vendors, e não a intrusões com impacto confirmado. Quando citados, foram usados só como contexto e sempre diferenciados de incidentes. Por fim, o material excluiu redes sociais de consumo e conteúdo patrocinado, de modo que eles não foram usados como evidência.