Saúde, clínicas, hospitais e farmacêuticas, Set/2026

Ameaças e campanhas ativas

Ransomware e extorsão com impacto confirmado ou provável

Em setembro, surgiram 16 casos com ransomware ou extorsão como eixo principal, mas só um teve criptografia de ativos confirmada, segundo o material fornecido. O restante se dividiu entre menção em leak site e tipificação não determinável, o que exige separar com cuidado os eventos com dano técnico comprovado das simples reivindicações de atores ou do monitoramento de terceiros.

A diferença é decisiva para a saúde. Um leak site pode pressionar a reputação sem haver evidência de impacto operacional. Uma menção sem arquivos publicados pode sustentar extorsão ou tentativa de monetização. Já um caso com criptografia confirmada muda por completo o perfil de resposta, porque afeta a disponibilidade clínica e a continuidade do atendimento.

Entre os casos do mês, AmorSaúde, Grupo Hospifar e o Hospital Clínico da Universidade do Chile ficaram na zona cinzenta de atribuição ou confirmação parcial, enquanto o caso do Hospital Santa Marta pertence a um episódio judicializado de 2022, e não a uma campanha nova de setembro. Já o ataque ao Hospital Clínico da Universidade do Chile aparece como incidente confirmado, com acesso não autorizado e vazamento, embora o material não o enquadre como criptografia.

Fraude e phishing

Não houve casos de fraude ou phishing documentados no material de setembro. A ausência de fatos nessa categoria não deve ser lida como ausência de risco regional, e sim como falta de casos verificados dentro do corpus analisado para o mês.

Esse vazio também tem sua leitura. Em saúde, o phishing costuma funcionar como vetor de acesso inicial ou como complemento de campanhas de ransomware, mas nem sempre gera cobertura pública separada. Se o relatório mensal não o registra, isso não significa necessariamente que não tenha ocorrido, mas que não houve documentação suficiente ou que o caso ficou absorvido por outro tipo de incidente.

APT e hacktivismo

Também não houve fatos de APT ou hacktivismo documentados como eixo principal no período. O mais próximo disso foram alertas preventivos sobre publicações em fóruns, reivindicações de atores e um aviso de possível defacement contra sites da Superintendência de Saúde do Paraguai, mas sem confirmação independente do acesso nem da autoria.

Para o leitor operacional, isso indica que o mês não mostrou campanhas de persistência avançada sobre saúde no material recebido, embora tenha deixado uma ampla superfície de exposição atribuída a grupos de extorsão e a atores de publicação oportunista. A fronteira entre hacktivismo e criminalidade segue difusa na narrativa pública, mas o corpus de setembro não traz provas sólidas para classificar esses casos como APT.

Vulnerabilidades críticas

Setembro voltou a colocar as vulnerabilidades críticas na agenda do setor de saúde regional. O material reuniu 11 CVEs críticos mencionados, vários deles com exploração ativa, advisories oficiais ou inclusão em catálogos de vulnerabilidades exploradas. Não se trata de uma lista de falhas de saúde puras, mas de software e dispositivos que podem afetar serviços clínicos, sistemas de gestão ou infraestrutura conectada.

A leitura defensiva é direta. Nem todas essas falhas são do setor de saúde, mas várias impactam componentes que costumam estar presentes em hospitais, clínicas e laboratórios, como balanceadores, gateways, stacks de rede e middleware de integração. Isso significa que a prioridade não é apenas corrigir sistemas clínicos visíveis, e sim revisar camadas de rede e passarelas que sustentam a operação diária.

Em particular, o material da CISA sobre lwIP é relevante para ambientes com dispositivos conectados ou equipamentos embarcados. Não houve exploração pública específica reportada nos advisories citados, mas o simples fato de o setor Healthcare and Public Health figurar como infraestrutura crítica relevante obriga a tratar essas vulnerabilidades como potencialmente aplicáveis a ecossistemas sanitários com telemetria, sensores ou equipamentos médicos conectados.

Regulação e conformidade

Não houve movimentos regulatórios documentados no material de setembro. Isso não quer dizer que o mês tenha passado sem efeitos legais ou institucionais, porque houve uma sentença relevante no Brasil e uma queixa-crime no Chile. A diferença é que esses fatos entram aqui como incidentes ou respostas judiciais, não como mudanças normativas.

A decisão sobre o Hospital Santa Marta mostra como a judicialização pode encerrar o ciclo de um ataque anos depois. A queixa do Hospital Clínico da Universidade do Chile, por sua vez, segue outro caminho: a instituição transforma o incidente em ação penal enquanto a agência de cibersegurança notifica o evento. Ambos os processos reforçam a expectativa de rastreabilidade e preservação de evidências na área da saúde.

Do ponto de vista de conformidade, o mês deixa um recado simples. As instituições não precisam apenas responder ao incidente, mas também documentar acessos, separar contas comprometidas, preservar logs e decidir quando notificar reguladores, pacientes ou autoridades. O material de setembro mostra que, quando essa sequência falha, a discussão vai parar nos tribunais ou no monitoramento externo de terceiros.

Países e subsegmentos mais afetados

Chile

O Chile concentrou dois tipos de sinal. De um lado, o caso confirmado do Hospital Clínico de la Universidad de Chile, com acesso não autorizado a informações médicas e posterior queixa-crime. De outro, alertas preventivos e publicações não confirmadas sobre a Clínica Universidad de los Andes, que puxaram a conversa para uma possível exposição de dados clínicos estruturados.

O subsegmento mais atingido foi o hospitalar, especialmente imagemologia e sistemas de consulta. A relevância do Chile não está no volume bruto de fatos, mas na qualidade da evidência: há confirmação direta, notificação oficial e uma narrativa pública clara sobre acesso a dados médicos. Isso dá ao país um peso desproporcional diante de outros casos mais ambíguos.

Brasil

O Brasil trouxe dois sinais distintos. O primeiro foi judicial, com a manutenção das condenações no caso do Hospital Santa Marta. O segundo foi operacional, com o incidente em Farmanguinhos que afetou a produção e a expedição de insumos. Um toca a dimensão penal do ransomware e da extorsão; o outro, a continuidade industrial de um ator farmacêutico.

O subsegmento farmacêutico merece atenção especial porque o caso de Farmanguinhos mostra que um incidente cibernético pode atingir a cadeia de suprimentos sem necessidade de um comunicado de ransomware. Esse tipo de evento costuma demorar a ficar visível para o público, mas tem potencial para desorganizar cronogramas, estoques e entregas.

Colômbia

A Colômbia foi o país com maior densidade de leitura contextual, embora não tenha reunido mais casos pontuais confirmados no mês. O Portafolio reportou 410 ataques e reivindicações de ransomware contra prestadores e empresas de saúde no primeiro semestre de 2026, com 247 afetando hospitais, clínicas e outros prestadores diretos. Outras coberturas do mesmo núcleo temático insistiram que 60% dos ciberataques reportados foram direcionados à saúde.

Esse material não deve ser confundido com telemetria pura nem com incidentes verificados de setembro, mas ajuda a explicar por que o país aparece repetidamente nas conversas regionais. Para a saúde colombiana, o problema não é só a frequência, e sim a persistência de um modelo de ataque que combina pressão reputacional, extorsão e exposição de prontuários ou plataformas de atendimento.

Paraguai

O Paraguai apareceu em setembro com alertas preventivos sobre o Ministério de Saúde Pública e Bem-Estar Social e sobre a Superintendência de Saúde. O material fala de uma suposta publicação de 10,5 GB, de uma possível campanha de defacement e de uma base de dados de subdomínios, mas, em todos os casos, a fonte ou o monitoramento esclarecem que não há confirmação independente.

O valor do caso está no padrão: atores ou fóruns usam nomes de órgãos de saúde para impor pressão, mesmo quando a evidência continua difusa. Para uma equipe de segurança em um ministério ou regulador de saúde, isso obriga a monitorar não apenas a infraestrutura interna, mas também a exposição pública de subdomínios, painéis de administração e repositórios de download.

Argentina e República Dominicana

Esses dois países aparecem ligados à discussão sobre Hospifar, mas com uma ressalva importante: o material não permite fixar com certeza a geografia do incidente. Um registro o classifica como Argentina, enquanto DeXpose o descreve como uma organização de saúde da República Dominicana. Essa discrepância invalida qualquer leitura definitiva por país.

Ainda assim, o caso serve para lembrar que a atribuição geográfica é uma etapa crítica da análise. Se ela não for resolvida corretamente, o relatório pode superestimar ou subestimar o risco país. Aqui, a única conclusão sólida é que houve uma reivindicação de ransomware sobre um ator do setor de saúde ou farmacêutico, sem evidência pública suficiente para fechar localização ou impacto.

Tendências e sinais a monitorar

A primeira tendência do mês é a queda do volume em relação a agosto, combinada com aumento na proporção de incidentes sem tipificação. O período anterior havia sido dominado por ransomware, enquanto setembro passou a ser dominado por incidentes. Isso sugere menos clareza pública e mais diversidade de situações, não necessariamente menos risco real.

A segunda sinalização é a redução de casos de fraude e phishing a zero no material analisado. Não convém tratar isso como melhora estrutural. Parece mais uma ausência documental no corpus mensal. Em saúde, essas campanhas costumam aparecer como acesso inicial ou como parte de campanhas maiores, e nem sempre são publicadas como fatos autônomos.

A terceira sinalização é a alta de CVEs críticos, de 2 para 11 em comparação com o mês anterior. Esse salto não deve ser lido como uma onda de exploração em hospitais latino-americanos, mas sim como um lembrete de que a superfície técnica está ativa. Os alertas da CISA e da Check Point mostram que a janela de exposição pode surgir em software de rede, gateways e ferramentas de integração que sustentam serviços clínicos.

A quarta sinalização é a persistência de reivindicações sem confirmação, especialmente em casos de clínicas, hospitais e ministérios. Hospifar, AmorSaúde, a Clínica Universidad de los Andes e o Paraguai compartilham um padrão: atores ou trackers publicam alertas antes de haver validação oficial. Para equipes de segurança, isso obriga a diferenciar o ruído do impacto real, sem ignorá-lo. Muitas vezes a alegação antecipa uma negociação ou uma divulgação posterior.

A comparação com agosto também deixa um dado útil. Havia mais ransomware reportado no mês anterior, mas em setembro o sinal mais estável foi o de incidentes e confirmações parciais. Em outras palavras, o risco não desapareceu, mas migrou para uma mistura menos visível de acesso não autorizado, vazamento e continuidade afetada.

Recomendações para equipes de segurança

As prioridades do mês são práticas e bastante concretas. Primeiro, reforçar a visibilidade sobre sistemas de imagem, portais de consulta, middleware de integração e gateways que conectam ambientes clínicos a serviços externos. O caso do Hospital Clínico de la Universidad de Chile mostra que uma conta comprometida em imagenologia pode bastar para expor informações médicas sensíveis e obrigar a interrupção de serviços.

Segundo, revisar credenciais e sessões ativas associadas a domínios públicos, fornecedores e plataformas de atendimento. Os casos de AmorSaúde e Hospifar mostram que publicações de terceiros costumam misturar contas, credenciais e dados de usuários com evidências incompletas. A resposta correta não é assumir que todo o conjunto pertence a um ransomware, e sim cortar acessos, rotacionar segredos e verificar se houve reutilização de credenciais.

Terceiro, priorizar patches e mitigações para os componentes mencionados nos advisories de setembro. Não basta olhar o software clínico visível. É preciso revisar balanceadores, gateways, stacks embutidas e soluções de integração como Mirth Connect, porque ali se concentram falhas que podem abrir caminho para execução remota ou negação de serviço.

Quarto, preparar a resposta legal e forense antes que o incidente escale. A sentença sobre o Hospital Santa Marta e a querela do Hospital Clínico de la Universidad de Chile mostram que a evidência digital acaba sendo central. Se uma instituição não preserva logs, não congela contas nem documenta bem a cadeia de custódia, perde capacidade de defesa e de atribuição.

Quinto, treinar a continuidade operacional com cenários de impacto parcial, não apenas criptografia total. Farmanguinhos é um bom exemplo de interrupção produtiva que não necessariamente se encaixa no molde do ransomware clássico. A indústria farmacêutica e hospitalar deve ensaiar o que acontece se cair um sistema de expedição, uma plataforma de imagens ou um componente de receita eletrônica.

Perguntas frequentes

Que tipo de eventos dominou setembro entre incidentes, ransomware e vazamentos?

Predominaram os incidentes sem tipificação, com 20 fatos em uma base de 53 verificados. Isso supera os 16 casos com ransomware ou extorsão como eixo principal e desloca a leitura do mês para intrusões, interrupções e exposições parciais. Veja também as seções Resumo executivo do mês e Indicadores do período.

Quais casos ficaram melhor confirmados e quais continuaram na zona cinzenta?

O caso melhor confirmado foi o do Hospital Clínico da Universidade do Chile, com acesso não autorizado e exposição de informações médicas. Na zona cinzenta ficaram AmorSaúde, Hospifar, a Clínica Universidad de los Andes e vários alertas sobre o Paraguai, porque o material traz apenas denúncias, monitoramento ou publicações não verificadas. Veja Incidentes relevantes e Ameaças e campanhas ativas.

O que a comparação com agosto revela sobre o risco regional?

Ela mostra menos volume total, menos ransomware e menos phishing documentado, mas mais CVEs críticos mencionados e mais incidentes sem tipificação. Ou seja, o mês não foi mais tranquilo, apenas menos legível. O risco continuou alto pela sensibilidade dos ativos, embora a forma visível da ameaça tenha mudado. Veja Panorama regional do mês e Tendências e sinais a monitorar.

Quais países concentraram o sinal mais útil para defesa neste mês?

O Chile trouxe a melhor confirmação de impacto clínico, a Colômbia agregou o maior contexto de pressão sobre a saúde, o Brasil combinou um caso judicial e um operacional, e o Paraguai apresentou alertas preventivos sobre organismos sanitários. Argentina e República Dominicana ficaram sujeitas a uma atribuição geográfica não resolvida no caso Hospifar. Veja Países e subsegmentos mais afetados.

Quais vulnerabilidades os times de saúde devem revisar primeiro?

Primeiro, as que tiveram exploração ativa ou advisories da CISA e da Check Point, como CVE-2026-94127, CVE-2026-85102 e CVE-2026-93616. Depois, as de lwIP e as que afetaram Mirth Connect e outras plataformas de integração. O critério não é só a gravidade técnica, mas a exposição em redes hospitalares e farmacêuticas. Veja Vulnerabilidades críticas.

Limitações do material

Este relatório foi construído exclusivamente com o material fornecido para setembro de 2026 e com as fontes disponíveis para citação. Não foi usado internet nem incorporada telemetria fora do listado. Os fatos sem data confirmada foram usados apenas como contexto e não entram nos indicadores do período.

Um indicador em 0, especialmente em CVEs, significa que não houve registros no material analisado para este mês, não que não tenham existido vulnerabilidades críticas ou exploração na região. O mesmo vale para fraude, phishing ou regulação. A ausência no corpus não equivale à ausência real de atividade.

A janela temporal declarada para os indicadores é de 54 fatos com data em setembro de 2026 e 1 sem data confirmada excluído dos indicadores. Os dados comparativos com o mês anterior foram reproduzidos exatamente como fornecidos e não foram recalculados. Nos casos em que o material não permitiu determinar o tipo exato de impacto, manteve-se a classificação como não determinável.

Também ficaram excluídas da interpretação como incidentes as cifras de telemetria agregada, tentativas ou bloqueios automatizados e medições de detecção. Essas referências podem ajudar a contextualizar a exposição, mas não comprovam intrusão nem impacto confirmado. Além disso, foram evitadas fontes fora da lista autorizada, incluindo redes sociais não permitidas e material promocional que não sirva como base independente de tendência.