Saúde: clínicas, hospitais e фармácia, ago/2026

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um declara sua base e seu critério de contagem, para que os números sejam conciliados entre módulos. São a leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir esta síntese.

Janela dos indicadores: 90 fatos datados em agosto de 2026. Os fatos de meses anteriores são usados apenas como marco comparativo na análise, nunca como volume deste período.

Resumo executivo

Agosto de 2026 deixou um cenário misto para saúde, clínicas, hospitais e farmacêuticas na América Latina: de um lado, se consolidou uma sequência de incidentes de fraude financeira e exposição de dados ligados a prestadores de saúde e a sistemas públicos de vigilância; de outro, surgiram novas alegações de ransomware contra hospitais e plataformas de saúde em vários países, embora com graus distintos de confirmação pública. O mês não foi dominado por uma única família de ameaças, e sim pela coexistência de três padrões: extorsão por ransomware com publicações em leak sites, fraude bancária ou golpes informáticos que atingiram instituições de saúde, e divulgação de bases expostas sem autenticação, que deixaram à mostra informações regulatórias e de pacientes.

O sinal mais claro e melhor documentado do período foi a base de dados exposta do sistema SISVISA, no Brasil, que deixou acessíveis 102.215 registros e aproximadamente 79 GB de material ligado à vigilância sanitária e licenciamento. A investigação publicada por Jeremiah Fowler mostrou que não se tratava de um arquivo isolado, mas de um conjunto com identificadores, dados fiscais, documentos regulatórios, pedidos de licenciamento, autorizações, relatórios de inspeção, documentação de conformidade, reclamações de cidadãos e backups compactados. Embora o acesso público tenha sido desativado pouco depois dos alertas responsáveis, a janela real de exposição não pôde ser determinada e não há confirmação oficial pública sobre a extensão total nem sobre possíveis acessos de terceiros. Para um CISO do setor de saúde, o caso é especialmente relevante porque mostra como um ambiente regulatório mal configurado pode virar um vetor de exposição tão sensível quanto uma brecha clínica, com impactos operacionais, reputacionais e de compliance.

Em paralelo, a EsSalud Lambayeque, no Peru, virou um dos casos mais ilustrativos de fraude financeira baseada em acesso remoto e falsificação técnica. As coberturas jornalísticas convergem no ponto de que pessoas que se passaram por suporte do Scotiabank obtiveram acesso remoto a equipamentos da entidade por meio de usuários e senhas fornecidos por pessoal da rede, e, a partir daí, foram feitas cinco transferências não autorizadas no total de S/ 1.406.991. O caso também levou a uma mudança processual: a promotoria descartou que se tratasse apenas de uma fraude externa e abriu investigação por suposto peculato contra quatro funcionários da EsSalud, indicando que a saída do dinheiro teria contado com intervenção direta de responsáveis pela conta. Esse detalhe é importante porque diferencia um simples golpe tecnológico de uma falha de controles internos, combinação que eleva a severidade e exige revisar não só a cibersegurança, mas também segregação de funções, validações fora de banda e governança de pagamentos.

Brasil e Chile também registraram incidentes relevantes na forma de alegações de ransomware. No Brasil, a Mobilemed apareceu em listas de monitoramento como suposta vítima do grupo Kazu, com uma suposta exfiltração de 23,5 TB e um resgate estimado em US$ 1,5 milhão, embora não tenha havido comunicação pública da empresa confirmando o alcance. O valor analítico do caso está menos no número, que vem de agregadores e do leak site, e mais na repetição de um padrão: o Kazu seguiu direcionando suas publicações para saúde e para fornecedores da cadeia de saúde, não apenas clínicas e hospitais, mas também plataformas de PACS, telemedicina, gestão de consultórios e outros serviços de software crítico para o atendimento. Nessa mesma linha, o Centro Médico Especializado OSI: Healthcare Solutions, no Peru, foi listado pelo Kazu como suposta vítima, também sem confirmação pública da clínica até o fim do período analisado.

O Chile concentrou outra das peças mais sensíveis do mês com a aparição do Hospital Clínico Universidad de Chile no portal de extorsão atribuído ao Direwolf. Aqui convém ser preciso: as fontes disponíveis descrevem uma alegação de leak site e um rastreamento automatizado, não uma validação independente do hospital, de um CERT ou de um regulador. Ainda assim, o caso merece atenção por duas razões. A primeira é a velocidade da detecção informada pela infraestrutura de monitoramento, que chegou a identificar o caso em uma janela de menos de 20 minutos, segundo a marca temporal divulgada pela HookPhish. A segunda é o contexto da campanha: análises de terceiros associaram o Direwolf a outras vítimas publicadas em um intervalo de 24 horas, entre elas organizações do setor de saúde e uma empresa de tecnologia, o que sugere um padrão de ofensiva multivítima e multirregional. Para uma equipe de resposta, o valor desse tipo de observação não é definir culpa de forma definitiva, mas ajustar priorização, monitoramento de leak sites e preparo de comunicações de crise.

A fotografia de agosto também inclui sinais de pressão regulatória e operacional em outros países. No Paraguai, a narrativa pública sobre ciberataques à saúde apareceu tanto em declarações parlamentares quanto em entrevistas com especialistas, embora com pouca informação técnica verificável. O caso mais concreto foi o do Sanatorio San José de Ciudad del Este, onde a investigação documentou duas transferências não autorizadas de 250 milhões e 100 milhões de guaranis, feitas como operações lançadas manualmente com o usuário de uma funcionária sem poderes para aprovar pagamentos, e depois devolvidas pelo banco após a intervenção do Ministério Público e do Departamento de Cibercrimen. Embora a instituição bancária tenha negado violação de seus sistemas e atribuído os fatos a ataques voltados a enganar usuários, a cobertura em massa consolidou a ideia de uma conta "hackeada", reforçando a percepção pública de risco sobre prestadores privados de saúde.

Em termos de leitura regional, agosto mostrou uma cadeia de dependências que amplia o impacto do risco: clínicas que dependem de plataformas de PACS na nuvem, sanatórios que dependem de bancos e tokens, hospitais que dependem de portais de vigilância sanitária, e redes assistenciais que dependem de ferramentas de acesso remoto ou de suporte legítimo que depois podem ser abusadas. O denominador comum não foi uma única família técnica, e sim a exposição de fluxos críticos de informação e pagamentos em ambientes onde se misturam usuários clínicos, administrativos e fornecedores externos. A recomendação para CISOs é clara: segmentar acessos, reforçar aprovações fora de banda, eliminar software de acesso remoto não gerenciado, auditar contas privilegiadas e preparar procedimentos para responder tanto a ransomware quanto a fraude financeira e exposição regulatória.

Panorama

Agosto de 2026 mostra que o setor de saúde na América Latina continua sendo um alvo atrativo não só pelo valor dos dados clínicos, mas pela superfície de ataque complexa: redes internas fragmentadas, vários fornecedores, integrações com bancos, portais de licenciamento, sistemas de imagem e ferramentas de telemedicina. Essa combinação faz com que uma mesma organização possa enfrentar, em momentos diferentes, exposição de dados sensíveis, fraude administrativa e extorsão por publicação de informações, sem que todos os eventos compartilhem o mesmo vetor nem o mesmo nível de impacto.

Do ponto de vista defensivo, o mês deixa duas lições especialmente importantes. A primeira é que o setor ainda apresenta fragilidade em controles básicos de configuração e exposição pública. O caso SISVISA não exigiu exploração avançada, e sim uma base desprotegida ligada ao portal de vigilância sanitária e licenciamento do governo brasileiro. Em outras palavras, o problema não foi uma vulnerabilidade zero-day, mas uma falha de higiene operacional e de gestão de ativos. A segunda lição é que os esquemas de fraude que atingem clínicas e sanatórios nem sempre passam por ransomware ou por intrusão direta no core da organização. O caso EsSalud Lambayeque, assim como o do Sanatorio San José no Paraguai, se apoiou em engenharia social, acesso remoto e manipulação de fluxos de autorização. Isso obriga a ampliar a conversa de cibersegurança para fraude, continuidade financeira e controles contábeis.

Também se observa uma maturação da extorsão sobre saúde como ecossistema e não apenas como um conjunto de hospitais isolados. Kazu, por exemplo, aparece como um ator que não se limita a instituições assistenciais, mas persegue plataformas de PACS em nuvem, software de reabilitação, telemedicina, consultórios e serviços de gestão clínica. Esse enfoque faz sentido do ponto de vista criminal: ao comprometer um fornecedor da cadeia, o atacante pode alcançar vários clientes ou forçar negociações de maior valor, mesmo que a vítima direta não seja uma grande rede hospitalar. Direwolf, por sua vez, foi observado publicando várias vítimas em uma mesma janela temporal, incluindo hospitais e tech, o que sugere pressão por volume e visibilidade em seu leak site. Para os defensores, a mensagem é que a superfície de risco se estende para além do perímetro institucional e deve incluir terceiros, SaaS, armazenamento em nuvem e fornecedores de suporte.

Um segundo padrão que se repete é a fragilidade na gestão de credenciais e sessões. No caso de EsSalud Lambayeque, os atacantes teriam se valido de acesso remoto e do uso de usuários e senhas fornecidos por pessoal interno, além de se passarem por suporte legítimo. No Paraguai, o banco envolvido insistiu que a fraude se baseou em engano ao usuário e em sites falsos, não em violação de seu core. Em ambos os cenários, a defesa técnica pura não basta se os processos de autenticação, validação de identidade e confirmação de pagamentos continuam dependendo demais da confiança operacional. Em saúde, onde o tempo aperta e as urgências clínicas podem pressionar a equipe, esse tipo de manipulação é especialmente eficaz.

A situação regulatória também não é homogênea. O Brasil mostrou capacidade de detecção por parte de pesquisadores e resposta rápida para retirar o acesso público, mas sem uma comunicação oficial robusta que encerrasse dúvidas sobre a duração da exposição. O Peru, por outro lado, combinou denúncia formal, ações legais e pressão pública sobre o banco para recuperar os fundos, mas o debate acabou derivando para a possível participação de funcionários internos. Chile e Argentina se moveram mais no plano de monitoramento de leak sites e análise de inteligência de ameaças, com menor confirmação institucional visível. Essa disparidade implica que o analista regional deve ler cada caso com cautela: o que em um país aparece como "incidente" em um feed de ransomware pode ser, em outro, apenas uma reclamação não verificada; e o que em um país é classificado como fraude bancária pode esconder problemas de identidade, de processo ou de controle interno.

Indicadores

• Incidentes de ransomware e extorsão com menção ou reivindicação no período: múltiplas reivindicações sobre saúde e serviços sanitários, com diferentes níveis de confirmação pública.
• Exposições de bancos de dados ou documentos sensíveis do setor de saúde: ao menos um caso de grande volume no Brasil com 102.215 registros e ~79 GB expostos.
• Fraudes financeiras com impacto em prestadores de saúde: um caso maior no Peru com S/ 1.406.991 e um caso no Paraguai com 350 milhões de guaraníes repostos ao sanatório.
• Casos com confirmação oficial limitada ou ausente: várias reivindicações de ransomware sobre hospitais e clínicas sem validação pública independente.
• CVEs críticas observadas no material analisado do período: 1 vulnerabilidade destacada por aviso oficial do CTIR Gov, vinculada ao SQL Server e ao catálogo KEV da CISA.

Incidentes

Brasil: exposição massiva no SISVISA e pressão sobre a vigilância sanitária

O caso SISVISA está entre os mais sólidos do mês em termos probatórios, porque não depende da narrativa de um grupo de extorsão nem de um vazamento em portal clandestino, mas de uma descoberta técnica de base de dados exposta. Jeremiah Fowler, da ExpressVPN, encontrou uma base ligada ao portal de vigilância sanitária e licenciamento do governo brasileiro que deixou acessíveis 102.215 documentos e cerca de 79 GB de informações. A Security Affairs detalhou que a base continha identificadores, dados fiscais e documentos regulatórios sem autenticação, enquanto o Computer Weekly Brasil acrescentou um inventário mais amplo: pedidos de licenciamento, autorizações, relatórios de inspeção, documentação de conformidade, reclamações de cidadãos e dois arquivos compactados de backup.

A relevância do caso não está apenas no volume. Em saúde pública e regulação sanitária, documentos de inspeção, processos de licenciamento e reclamações de cidadãos podem revelar relações entre empresas, estabelecimentos, fiscais e processos de conformidade. Ou seja, não se trata só de dados pessoais isolados, mas de um mapa operacional do ecossistema de saúde. Para um adversário, isso pode servir para reconhecimento, extorsão reputacional, fraude documental ou preparação de campanhas posteriores contra prestadores e autoridades. Para o setor público, a exposição também traz risco à confiança institucional: um sistema que deveria certificar e fiscalizar acabou exposto por falhas de configuração, enfraquecendo a mensagem regulatória.

Um ponto central da cronologia é a resposta após o alerta responsável. A Security Affairs informou que o acesso público foi desativado pouco depois do envio de alertas a várias agências, mas não houve resposta pública oficial e não se sabe por quanto tempo a base ficou exposta nem se terceiros acessaram os arquivos. Essa falta de precisão é relevante porque impede uma avaliação completa do dano. Em cibersegurança defensiva, o tempo de exposição importa quase tanto quanto a natureza da informação: uma base visível por minutos, horas ou dias muda radicalmente o risco. O caso, portanto, deve ser lido como um alerta sobre governança de ativos expostos, revisão de permissões, segregação entre ambientes operacionais e remediação verificável.

Bahia Notícias acrescentou uma dimensão extra ao apontar que a descoberta do SISVISA também continha informações de saúde de uma prefeitura do interior da Bahia, incluindo registros de atendimento, pacientes e profissionais. Esse dado amplia o impacto potencial porque sugere que o conjunto exposto não se limitava à documentação regulatória genérica, mas podia incluir informação clínica ou assistencial de âmbito municipal. Embora a fonte não permita quantificar quantos registros desse tipo havia, ela reforça a necessidade de tratar a exposição como um incidente de alto valor sensível. Operacionalmente, a lição é direta: qualquer sistema conectado à vigilância sanitária, licenciamento ou inspeção deve ser tratado como ativo crítico e submetido a controles equivalentes aos de um prontuário eletrônico ou de uma plataforma laboratorial.

Brasil: Mobilemed e o padrão de Kazu contra a cadeia de saúde

A Mobilemed apareceu em vários monitores de inteligência como vítima do grupo Kazu. A Ransomware.live a listou com uma suposta exfiltração de 23,5 TB e um resgate estimado em US$ 1,5 milhão, enquanto a Dexpose.io relatou que o Kazu teria atacado a empresa sem que, até o momento de sua cobertura, houvesse comunicado público confirmando ou detalhando o alcance do incidente. A natureza do caso segue sendo uma alegação não verificada de forma independente, mas o padrão é consistente com o comportamento do grupo ao longo de agosto: publicação de múltiplos alvos do setor de saúde em um mesmo dia e foco em serviços que sustentam a operação clínica.

A Mobilemed é descrita como fornecedora brasileira de PACS em nuvem para imagens médicas. Esse detalhe é crucial porque um PACS não é só um repositório técnico, mas parte do fluxo diagnóstico. Se uma plataforma desse tipo é comprometida, o impacto potencial atinge a continuidade assistencial, a disponibilidade de imagens para os médicos e a integridade de informações radiológicas. Mesmo quando o incidente não foi confirmado publicamente, a simples inclusão da fornecedora no leak site obriga os clientes a revisar relações contratuais, acordos de notificação, cópias de segurança e capacidade de failover. Para uma rede hospitalar, depender de um PACS externo significa que uma extorsão ao fornecedor pode se traduzir em atrasos diagnósticos ou na necessidade de acionar processos manuais.

O valor analítico do caso aumenta quando ele é observado junto a outras vítimas listadas pelo Kazu no mesmo dia. A Security Arsenal informou que, em 23 de agosto, o grupo publicou nove vítimas no total, das quais sete eram organizações de saúde ou plataformas SaaS ligadas à saúde. A Medrisk.io acrescentou que entre elas houve entidades de diferentes países e tipos de serviço: Instituto Ferrero de Neurologia e Sono, Brazil Mobilemed, Meducar, ConsultorioMovil, Centro Médico Especializado OSI e outros serviços de gestão de saúde. Isso sugere uma campanha ampla, com foco no ecossistema e não apenas em grandes prestadores. Em termos de defesa, o desafio não é só proteger o hospital, mas também mapear o fornecedor de agendamento, o de telemedicina, o de imagem e o de suporte remoto.

Brasil: o alerta do CTIR Gov sobre SQL Server e a necessidade de patch imediato

O CTIR Gov publicou o ALERTA 76/2026 sobre uma vulnerabilidade crítica do SQL Server, recomendando identificar versões vulneráveis e aplicar imediatamente os patches do fabricante. O aviso também menciona que a falha está no catálogo KEV da CISA e tem EPSS de 44,66%. Para o setor de saúde, isso é particularmente relevante porque o SQL Server costuma sustentar sistemas de prontuário, laboratórios, faturamento, ERP e repositórios auxiliares. Em outras palavras, não se trata de uma peça de infraestrutura distante do negócio, mas de um componente potencialmente central.

A publicação de um alerta oficial desse tipo no mesmo mês em que foram relatadas exposições e reivindicações de ransomware obriga a interpretar o risco como cumulativo. Não se trata apenas de existir uma CVE crítica, mas de que os ambientes de saúde costumam combinar versões heterogêneas, janelas de manutenção difíceis e dependências de terceiros. Quando um aviso oficial aponta KEV e EPSS elevado, a prioridade defensiva deve ser imediata. Isso não significa que todo SQL Server na região esteja comprometido; significa que as equipes precisam inventariar, verificar exposição, revisar segmentação e confirmar a aplicação real dos patches, e não apenas sua aprovação administrativa.

Peru: EsSalud Lambayeque, fraude financeira e colisão entre cibersegurança e controle interno

O caso de EsSalud Lambayeque é um dos mais complexos do período porque não se encaixa na narrativa típica de ransomware ou de vazamento de dados, mas em uma fraude financeira mediada por acesso remoto e simulação de suporte. A denúncia formal apresentada pela EsSalud à Polícia Nacional do Peru e ao Ministério Público indicou que cinco transferências bancárias não autorizadas desviaram S/ 1.406.991 de uma conta da Red Prestacional Lambayeque. O fato ocorreu em 14 de agosto, depois que pessoas que se fizeram passar por suporte do Scotiabank obtiveram acesso remoto a equipamentos da entidade por meio de usuários e senhas entregues por pessoal da rede.

O Infobae Perú acrescentou que o modus operandi incluiu o uso de programas de acesso remoto como AnyDesk e UltraViewer, além da simulação de suporte do Scotiabank para capturar senhas e token bancário. El Machete e La República documentaram que foram identificadas cinco ordens bancárias não reconhecidas, lançadas por diferentes mecanismos de transferência, e que dez pessoas físicas e jurídicas foram denunciadas à Divincri de Chiclayo. Do ponto de vista operacional, o caso mostra uma combinação de vetores: engenharia social por telefone ou digital, abuso de ferramentas legítimas de administração remota e enfraquecimento do controle de aprovação no fluxo de pagamentos.

A cobertura ficou ainda mais dura quando a Segunda Fiscalía Provincial Penal Corporativa de Chiclayo decidiu investigar quatro funcionários da EsSalud por suposto peculato, considerando que a saída do dinheiro teria contado com intervenção direta de responsáveis pela conta. Essa decisão é crucial porque desloca o foco de um incidente puramente externo para uma possível conivência interna ou, ao menos, para uma falha grave de segregação de funções. Para CISOs e auditores, a lição é que segurança técnica não pode ficar separada da gestão de permissões, do princípio de dupla aprovação e da rastreabilidade nas autorizações. Se um atacante convence um operador a facilitar acesso remoto e depois executa operações financeiras, a organização não precisa só de antivírus ou EDR, precisa de processos de verificação humana fora de banda, de proibição ou controle rigoroso de software de acesso remoto e de alertas por comportamento anômalo em pagamentos.

Há um segundo ponto relevante: o caso se desenrolou em um ambiente de disputa pública com o banco. O Itaú Paraguai esclareceu, em outro incidente relacionado, que seus sistemas não foram vulnerados e que as fraudes decorriam de ataques voltados a enganar usuários. No caso da EsSalud, a instituição afetada cobrou explicações do Scotiabank por falhas nos mecanismos de segurança e pediu o congelamento das contas receptoras. Ou seja, as responsabilidades se distribuem entre banco, usuário, pessoal interno e processos de controle. Esse tipo de atrito é comum em fraudes financeiras, mas também revela uma fragilidade de governança: quando não há clareza prévia sobre quem valida o quê, a resposta ao incidente vira negociação posterior e não mecanismo preventivo.

Peru: Centro Médico Especializado OSI e a campanha do Kazu sobre serviços clínicos

Centro Médico Especializado OSI: Healthcare Solutions, com sede em Lima e especializado em medicina física, reabilitação, fisioterapia, quiropraxia e medicina alternativa, apareceu no leak site atribuído ao Kazu. A Medrisk.io contextualizou o caso dentro de uma jornada em que o grupo publicou oito alvos do setor de saúde; a Security Arsenal ampliou depois o mapa para nove vítimas no total, das quais sete eram de saúde ou SaaS ligados à saúde. A Dexpose.io informou que o grupo teria ameaçado divulgar dados médicos sensíveis caso as negociações não avançassem, enquanto a ransomware.live registrou um resgate de US$ 250.000 para o caso.

Embora a instituição não tivesse emitido comunicado público no momento da cobertura, o caso é importante pelo tipo de ator e pelo tipo de vítima. A OSI não é apenas uma clínica isolada: o boletim da ransomware.mx a descreveu como provedora de saúde com múltiplas clínicas na região metropolitana de Lima, especializada em serviços de reabilitação e medicina física. Se um grupo de extorsão reivindica acesso a esse ambiente, o impacto potencial não se limita a dados administrativos. Pode atingir agendas de pacientes, diagnósticos, tratamentos de longo prazo e relações com seguradoras ou encaminhamentos. Além disso, por ser uma fornecedora multissede, uma interrupção pode gerar efeito cascata sobre várias clínicas e sobre o fluxo de pacientes na capital.

O ponto central é que o Kazu parece privilegiar alvos que permitam extorsão escalável. Ao atacar telemedicina, PACS, gestão de consultórios e centros especializados, o grupo mira elos que concentram informação, credenciais e continuidade operacional de vários clientes ou unidades. Para um CISO de saúde, isso significa que a avaliação de risco precisa incluir não só a própria organização, mas também os parceiros de digital health. Se o fornecedor da plataforma cai, a clínica fica exposta mesmo sem ter sido invadida diretamente. A estratégia defensiva deve incorporar inventário de SaaS críticos, exigência de MFA, segregação de ambientes, cópias offline e cláusulas contratuais de notificação antecipada.

Paraguai: Sanatorio San José, desvio de fundos e disputa pela narrativa do incidente

O caso do Sanatorio San José de Ciudad del Este mostra bem como a mesma situação pode ser narrada de formas distintas conforme a fonte. O Diario Vanguardia informou que Joaquín Andrés Duarte Ojeda foi detido em Areguá no âmbito da investigação pelo desvio de 350 milhões de guaranis das contas corporativas da instituição, sob suspeita de fraude informática e acesso indevido a sistemas. A denúncia apresentada em 31 de julho detalhou duas transferências não autorizadas, uma de 250 milhões e outra de 100 milhões, usando o usuário de uma funcionária sem poderes para aprovar pagamentos por token transacional. O veículo acrescentou que o sistema bancário registrou as operações como lançadas manualmente e que os diretores autorizados não receberam alertas nem códigos de verificação.

La Nación noticiou a detenção e afirmou que a conta do sanatório teria sido "hackeada", o que levou o caso à conversa pública como exemplo de comprometimento de uma entidade privada de saúde. No entanto, o Itaú Paraguai divulgou um comunicado esclarecendo que seus sistemas de segurança não foram vulnerados e que os fatos correspondiam a ataques informáticos voltados a enganar usuários para obter credenciais de acesso. Essa declaração não elimina o incidente, apenas redefine o vetor e desloca o foco para o usuário e para o processo de validação.

A cobertura posterior acrescentou que o caso fazia parte de um suposto esquema mais amplo de esvaziamento de contas bancárias que envolvia pelo menos duas empresas enganadas por um total aproximado de 356 milhões de guaranis. Esse dado sugere uma operação de fraude financeira reutilizável, e não um ataque isolado contra uma instituição de saúde. Para o setor, a implicação é clara: as áreas administrativas devem ser tratadas como superfície de risco de primeira linha. Não basta proteger prontuários. É preciso proteger contas corporativas, acessos ao internet banking, fluxos de pagamento a fornecedores e procedimentos de recuperação de conta. Uma clínica ou sanatório pode ter boa proteção de perímetro e ainda assim perder recursos se um funcionário autoriza sessões remotas ou se um atacante consegue induzir o lançamento manual de transferências.

Paraguai: sinais de ciberincidentes em saúde e pressão política

Além do caso concreto do Sanatorio San José, o Paraguai registrou em agosto uma conversa pública mais ampla sobre cibersegurança em saúde. Em entrevista publicada em 24 de agosto, um especialista afirmou que, ao longo do último ano, houve incidentes envolvendo o Instituto de Previsión Social, dados médicos, informações de medicina pré-paga em vários sanatórios, serviços de diagnóstico por imagem em Ingavi e empresas privadas, seguradoras e cooperativas. A fonte não trouxe detalhes técnicos nem datas específicas, então não pode ser usada para contagem de incidentes do mês, mas reflete uma percepção crescente de exposição transversal no ecossistema sanitário paraguaio.

A isso se somou a deputada Rocío Vallejo, que em uma nota de 18 de agosto mencionou ataques recentes a instituições privadas de saúde e a entidades do Estado como argumento para impulsionar a lei de cibersegurança. A parlamentar também denunciou o roubo de cerca de 5.800 dólares de sua conta bancária, com a Polícia Nacional atribuindo o fato a um possível malware operado remotamente. Embora esse último caso não pertença à saúde, ajuda a entender o clima de ameaça que cerca as fraudes financeiras no país e por que o debate legislativo sobre segurança digital ganha força.

Para um CISO do setor de saúde paraguaio, a lição é dupla. Primeiro, que a exposição não se limita a ransomware visível, também há fraude de contas, uso abusivo de acesso remoto e possível malware bancário. Segundo, que a conversa política está evoluindo para uma expectativa maior de diligência institucional. Se a narrativa pública começar a associar saúde a fragilidade digital, os prestadores terão mais pressão para demonstrar controles concretos, e não apenas declarações de conformidade.

Chile: Hospital Clínico Universidad de Chile no leak site da Direwolf

O Hospital Clínico Universidad de Chile foi listado pela Direwolf como vítima em seu portal de vazamentos, segundo vários monitores de inteligência de ameaças. O registro da Ransomware.live o situa como vítima do grupo Direwolf com data estimada de ataque em 30 de agosto de 2026, 240 GB supostamente exfiltrados e 1.633 usuários comprometidos; a HookPhish atribuiu o domínio redclinica.cl e datou a brecha em 30 de agosto, com descoberta poucos minutos depois; a Ransom-DB acrescentou a identificação do hospital como instituição universitária pública localizada em Independencia, Santiago, e apontou o domínio hospital.uchile.cl. A Security Arsenal, por sua vez, analisou a atividade da Direwolf ao longo de 24 horas e encontrou o Hospital Clínico Universidad de Chile entre três vítimas publicadas nesse intervalo, duas delas do setor de saúde.

É importante destacar o que não sabemos. Nenhuma dessas fontes traz confirmação pública do hospital, nem reguladores, nem empresas de cibersegurança, nem a própria instituição haviam validado oficialmente a acusação no momento da análise. Também não há evidência técnica pública que permita determinar se houve criptografia, apenas exfiltração ou mera reivindicação no leak site. Ainda assim, o caso é útil do ponto de vista operacional porque mostra a dinâmica de monitoramento que as equipes de resposta precisam seguir. Quando um hospital aparece em um portal de extorsão, mesmo sem confirmação, a resposta mínima inclui revisão de logs, análise de acessos, validação de integridade, comunicação com parceiros de resposta e monitoramento de publicações subsequentes.

A janela temporal reportada pela HookPhish é particularmente interessante: uma marca de "date of breach" às 14:35:36 UTC e uma descoberta às 14:53:50 UTC do mesmo dia. Essa proximidade não prova rapidez de detecção interna, mas a capacidade de um sistema de rastreamento registrar o post do leak site quase em tempo real. Para a defesa estratégica, o relevante é que o monitoramento externo de ransomware virou um sinal complementar de alerta precoce. Se um hospital tem acordo de inteligência de ameaças, deveria usar esse tipo de feed para acionar revisão imediata quando o nome institucional aparecer em um site de extorsão.

Argentina: Sanatorio Modelo de Caseros e a expansão regional da Qilin

Embora as menções ao Sanatorio Modelo de Caseros apareçam no material como uma reivindicação de ransomware atribuída ao Qilin e sem confirmação pública, o caso ajuda a dar contexto regional porque se soma a uma sequência de alvos de saúde no Cone Sul. A MedRisk indicou que, em 26 de agosto, o Qilin acrescentou o sanatório privado da Grande Buenos Aires ao seu site de vazamentos, afirmando ter roubado dados internos; Hendry Adrian descreveu um incidente de ransomware com criptografia de arquivos críticos e interrupção das operações, embora sem comunicado oficial do sanatório no momento da cobertura. Como a fonte principal é de inteligência de ameaças e não de validação institucional, o caso deve ser lido como uma reivindicação não confirmada.

Ainda assim, a coincidência temporal com outros eventos de saúde em agosto é útil para leitura de tendência. Quando um ator como o Qilin inclui sanatórios privados em sua lista, fica confirmado que hospitais e centros assistenciais argentinos seguem no radar dos grupos de extorsão, mesmo sem dominar as manchetes nacionais. Para os CISOs da região, o ponto operacional é não esperar confirmação pública para revisar exposição. A simples aparição em um leak site já exige vigilância de credenciais, rotação de chaves e verificação de backups.

McKesson: incidente em nuvem e alcance transfronteiriço da cadeia farmacêutica

A McKesson informou que, em 25 de agosto de 2026, detectou um incidente de cibersegurança que incluiu acesso não autorizado e extração de dados de contas hospedadas na nuvem, confirmando a intrusão e a exfiltração enquanto seguia investigando o alcance das informações afetadas. Embora a cobertura citada não venha de uma fonte latino-americana, o caso é relevante para o relatório pela cadeia de suprimento farmacêutica e pelo impacto potencial em mercados internacionais. O DiarioBitcoin informou ainda que um grupo de hackers afirmava ter roubado milhões de registros de pacientes por meio da intrusão em várias contas corporativas na nuvem; esse número não foi confirmado pela empresa e deve ser tratado como uma reivindicação dos atacantes.

A importância para a América Latina está no fato de que fornecedores globais de distribuição e serviços farmacêuticos podem se conectar a operações regionais, logística, compras ou apoio de dados. Quando uma empresa desse porte confirma exfiltração a partir de contas cloud, a lição para farmacêuticas locais é óbvia: a nuvem não é inerentemente segura só porque é administrada por terceiros. Controles de identidade, monitoramento de sessão, segmentação por privilégio e detecção de atividade anômala continuam sendo responsabilidade compartilhada.