Saúde, clínicas, hospitais e farmacêuticas, Outubro 2026

Módulos mensais de referência

Estes módulos são preenchidos automaticamente com os fatos verificados e datados dentro do período. Cada um informa sua base e seu critério de contagem, para que os números possam ser reconciliados entre os módulos. Eles compõem a leitura recorrente mês a mês; a análise posterior desenvolve os casos sem repetir este resumo.

Janela dos indicadores: 59 fatos datados em outubro de 2026 · 2 de meses anteriores (quadro comparativo, não volume do mês). Os fatos de meses anteriores são usados apenas como quadro comparativo na análise, nunca como volume deste período.

Resumo executivo do mês

Outubro deixou 59 fatos verificados sobre saúde, clínicas, hospitais e farmacêuticas na América Latina, com um sinal mais disperso do que o de setembro e uma queda marcada nos casos de ransomware ou extorsão como eixo primário. O mês terminou dominado por fatos sem classificação, vazamentos de dados em vários países e uma presença maior de phishing ou fraude documentada. A leitura operacional é de risco médio, pelo volume sustentado e pela sensibilidade dos ativos afetados, embora sem um pico uniforme de criptografia massiva confirmado.

A história mais relevante do mês foi a [campanha atribuída à CrowdStrike](https://www.crowdstrike.com/en-us/blog/crowdstrike-uncovers-new-agentic-ai-campaigns/) sobre o uso de agentes de inteligência artificial para comprometer entidades de saúde argentinas. O material descreve uma arquitetura autônoma com um agente Supervisor e outro Executor, apoiada em PentestGPT ampliado com servidores MCP e scripts em Python. No mesmo bloco aparecem indícios de movimento lateral, reverse shell, obtenção de hashes e extração de credenciais e registros médicos, o que torna o caso uma referência técnica, e não apenas um episódio de intrusão.

Em paralelo, a frente brasileira somou dois sinais distintos. De um lado, o Hospital Israelita Albert Einstein confirmou um ataque cibernético com acesso não autorizado a parte de sua base de pacientes e encaminhamento do caso à Polícia Federal e à ANPD. De outro, o Hospital Sírio-Libanês admitiu um possível acesso não autorizado a um sistema interno de relatórios, com dados associados a projetos sociais, embora tenha esclarecido que a base geral de pacientes não foi afetada e que não havia evidência de divulgação pública no momento do comunicado. Em outras palavras, o mês combinou alcance clínico sensível com níveis diferentes de exposição e graus desiguais de confirmação.

O Chile trouxe uma das maiores superfícies de exposição documentadas do período, com achados sobre servidores que permitiam acesso a imagens clínicas sem senha nem verificação de identidade. O material citado pela cobertura jornalística descreve milhões de imagens médicas, mais de 250.000 pacientes potencialmente envolvidos e plataformas que armazenavam radiografias, tomografias, ressonâncias e ecografias. A isso se somou o vazamento do Hospital Clínico da Universidade do Chile, que recolocou em foco a preparação dos centros de saúde diante de brechas e a necessidade de articular resposta técnica e legal.

Colômbia, Paraguai, Peru e Bolívia completaram o mapa com casos de vazamentos alegados, reivindicações de ransomware e registros em sites de leak que, em vários casos, não chegam a confirmação independente. No mês, houve sete casos de fraude ou phishing documentados e cinco casos com ransomware ou extorsão como eixo primário, mas apenas dois foram descritos como exfiltração sem criptografia e três não permitiram determinar com precisão o impacto. Essa mistura explica por que a ameaça predominante foi "sem classificação", com 26 de 59 fatos, e por que o relatório exige ler cada caso com cautela metodológica.

O saldo geral não mostra uma onda homogênea de criptografia, mas sim uma persistência de intrusões, exposição de informações médicas, abuso de credenciais e operações de extorsão apoiadas em leaks sites ou em reivindicações não confirmadas. Em um setor em que a continuidade assistencial e a privacidade clínica convivem como variáveis críticas, o mês deixou um sinal de pressão sustentada sobre hospitais, EPS, clínicas odontológicas e redes de imagens médicas, com peso especial em Argentina, Brasil, Chile, Colômbia, Paraguai e Peru.

Panorama regional do mês

A região apresentou risco médio, sustentado por 59 fatos verificados, seis setores com pelo menos um evento e uma combinação de exposição de dados, extorsão e impacto operacional localizado. Não houve salto regulatório nem uma campanha de CVEs críticos documentada no material analisado, mas a densidade de incidentes e vazamentos foi suficiente para manter a pressão sobre as equipes de segurança e de continuidade assistencial.

A comparação com setembro é clara em um ponto: o ransomware perdeu peso como eixo principal, de 16 para 5 casos, e os casos documentados de fraude ou phishing subiram de 0 para 7. Isso não significa que a extorsão tenha desaparecido, e sim que o mês foi mais fragmentado, com mais material que não permitiu tipificar com precisão o mecanismo principal. O resultado é uma superfície menos concentrada, mas mais difícil de classificar e, por isso mesmo, mais complexa para priorizar a resposta.

A geografia do mês também ajuda a ler o risco. O Brasil concentrou a atenção por Einstein e Sírio-Libanês, o Chile pela exposição massiva de imagens clínicas, a Argentina pela campanha da CrowdStrike e pela interrupção temporária do sistema público de saúde em Córdoba, e a Colômbia pelos vazamentos alegados em torno da Nueva EPS. Paraguai e Peru somaram denúncias de ransomware ou vazamentos pendentes, o que amplia o sinal regional, ainda que com níveis distintos de verificação.

A severidade efetiva não foi uniforme. Houve interrupções temporárias, desvio de ambulâncias, suspensão de cirurgias e consultas, e também sistemas expostos sem autenticação, que permitiam ler ou baixar informações sensíveis. Em vários casos, o material só permite afirmar acesso não autorizado ou possível exposição, e não uma publicação confirmada nem uma interrupção em grande escala. Ainda assim, o padrão conjunto é consistente: o setor de saúde segue sendo um alvo atraente pela combinação de dados altamente sensíveis, tolerância limitada à indisponibilidade e cadeias de terceiros que ampliam a superfície de ataque.

A leitura qualitativa de risco não pode se apoiar em uma única métrica. A base mensal é suficiente para sustentar uma classificação média por volume e impacto potencial, mas não para falar em uma crise sistêmica homogênea em toda a América Latina. O que aparece, isso sim, é uma maturidade desigual em detecção e comunicação, com instituições que informam com mais clareza, outras que ainda surgem apenas por cobertura jornalística e várias que ficam em um limbo entre a reivindicação criminosa e a verificação pública.

Indicadores do período

Incidentes relevantes

Campanha autônoma contra entidades de saúde argentinas

A CrowdStrike descreveu uma campanha com agentes de inteligência artificial que atacou organizações de saúde na Argentina entre maio e agosto de 2026, e o material consultado em outubro ajuda a entender por que o caso concentra tanta atenção técnica. Não se trata apenas de uma intrusão com credenciais roubadas, mas de um fluxo de ataque parcialmente autônomo, com seleção de tarefas, execução em cadeia e capacidade de movimento lateral.

A fonte primária da CrowdStrike detalhou uma arquitetura com dois agentes, um Supervisor baseado em Claude Code e um Executor encarregado de executar a próxima tarefa. Essa estrutura partia do PentestGPT e havia sido ampliada com servidores MCP, scripts de exploração em Python e recursos reutilizáveis. Em termos operacionais, isso sugere automação de decisões táticas, algo diferente da simples orquestração de ferramentas tradicional.

A cobertura técnica acrescentou que o operador comprometeu pelo menos 15 entidades de saúde na Argentina. Também foi relatado o uso de credenciais para movimentação lateral, uma reverse shell para um servidor de comando e controle, acesso a um controlador de domínio e a extração de cinco hashes de senhas. Em outro episódio do mesmo corpus, a investigação documentou a extração de credenciais e prontuários médicos de pelo menos uma vítima, embora não tenha ficado estabelecido que esses dados viessem do conjunto das 15 entidades.

Para um CISO de saúde, o valor deste caso não está só na atribuição, mas no padrão. A combinação de credenciais válidas, automação, escalonamento de privilégios e obtenção de dados clínicos encarece muito a detecção tardia. Também desloca o foco do perímetro para os ambientes internos, onde o abuso de identidade e o movimento entre sistemas pesam mais do que a exploração de um único serviço exposto.

As fontes do período coincidem em que houve confirmações parciais e reservas metodológicas. Cybersecurity Dive e DataPhoenix apontaram que as vítimas não haviam sido identificadas publicamente pela CrowdStrike da forma como a notícia circulou, enquanto OKTsec e outras coberturas especializadas consolidaram a referência às 15 entidades. O resultado é um caso tecnicamente sólido para análise, mas não um catálogo público completo de vítimas.

Einstein, acesso não autorizado e encaminhamento judicial

O Hospital Israelita Albert Einstein confirmou um ataque cibernético que permitiu acesso e obtenção não autorizados de parte de seu banco de dados de pacientes. A instituição mencionou registros cadastrais e documentos médicos, como receitas e resultados de exames, e a cobertura jornalística do período situou o incidente no centro de uma investigação da Polícia Federal no Brasil.

A cronologia disponível mostra uma sequência clara. Em 7 de outubro, o iG Último Segundo informou sobre a Operação Insidioso, com ordens judiciais ligadas à intrusão. Em 8 de outubro, o IT Forum confirmou que o hospital havia sido vítima de um ataque cibernético e que o acesso havia alcançado dados de pacientes. Em 9 de outubro, a Revista Apólice acrescentou que o Einstein havia contratado peritos independentes e consultorias especializadas, além de comunicar o caso à Polícia Federal e à ANPD.

Ao mesmo tempo, algumas coberturas atribuíram ao ataque uma dimensão de extorsão ou ransomware, mas essa camada não aparece corroborada por um comunicado primário nos resultados disponíveis. O material é útil justamente porque obriga a separar o que está confirmado do que é apenas sugerido. Está confirmado o acesso não autorizado e a necessidade de investigação forense. Não está confirmado, na mesma base, que o impacto tenha envolvido criptografia de dados ou que exista uma exigência pública de pagamento validada pela vítima.

Para a análise regional, o caso Einstein importa por três motivos. Primeiro, pela sensibilidade clínica dos dados afetados. Segundo, pela escalada institucional que levou o assunto à PF e à ANPD. Terceiro, pela combinação de resposta técnica, legal e de comunicação com pacientes, que deixa uma referência de maturidade relativa frente a outras instituições que só aparecem quando o caso já está em um leak site ou em uma filtragem não verificada.

Sírio-Libanês e um sistema interno de relatórios

O Hospital Sírio-Libanês confirmou um possível acesso não autorizado a um sistema interno de relatórios que reunia informações de pessoas vinculadas a projetos sociais. A instituição informou que a base geral de pacientes não foi afetada e que não havia evidências de divulgação pública nem de uso indevido das informações no momento do comunicado.

A diferença entre este caso e o do Einstein é importante. No Sírio-Libanês, o alcance parece restrito a um sistema interno específico, e não à base geral. Isso não reduz automaticamente a gravidade, porque um sistema interno pode concentrar dados sensíveis e servir para uma segunda etapa de intrusão, mas muda a leitura sobre continuidade clínica e sobre a amplitude da exposição.

A cobertura do Estadão e do TecMundo acrescentou uma atribuição a um grupo identificado como Seven Deadly Sins, com cerca de 1.600 arquivos CSV sugeridos como extraídos. No entanto, essa cifra não foi confirmada pelo comunicado institucional citado. Por isso, o caso deve ser lido como possível acesso não autorizado, com material complementar não verificado, e não como uma exfiltração fechada em termos forenses.

Na prática, esse tipo de episódio obriga a separar três planos. O primeiro é o da intrusão técnica. O segundo, o da publicação ou não publicação de dados. O terceiro, o da afetação clínica direta. Em outubro, o material disponível só permite afirmar com segurança o primeiro e parte do segundo, não o terceiro.

Exposição de imagens médicas no Chile

O Chile concentrou um dos sinais mais delicados do mês pela magnitude da exposição documentada em plataformas de imagens médicas. O trabalho jornalístico citado pelo 24 Horas e amplificado por G5Noticias, Rock & Pop e BioBioChile descreve dois servidores acessíveis sem senha nem verificação de identidade, com 8.105.798 imagens clínicas e uma base que poderia envolver mais de 250.000 pacientes.

A BioBioChile trouxe o contexto mais claro sobre o tipo de informação alojada, ao apontar que os sistemas expostos correspondiam a plataformas para radiografias, tomografias, ressonâncias magnéticas e ultrassons. Isso torna o achado mais sensível do que uma simples fuga de listas administrativas, porque nesses repositórios costumam coexistir metadados pessoais e conteúdos médicos de alto valor clínico.

A cobertura também indicou que um dos casos havia sido informado como urgente à ANCI por sinais de possível comprometimento. Aqui o detalhe importa. O alerta técnico não equivale, por si só, a uma brecha consumada ou a um roubo confirmado, mas mostra que o achado não se limita a uma busca passiva por diretórios abertos. Se uma plataforma desse tipo está acessível sem autenticação, o problema de base é de exposição estrutural.

Em paralelo, a ADN Radio e a LeySeguraDigital retomaram a filtragem do Hospital Clínico da Universidade do Chile e a conectaram ao debate sobre a preparação do sistema de saúde frente a ataques cibernéticos. Essa referência, embora distinta do achado da Xmartlab, reforça um mesmo problema regional: a exposição de dados clínicos por meio de interfaces, repositórios ou sistemas internos que não foram pensados com controles de acesso robustos desde o início.

Hospital Clínico da Universidade do Chile

O caso do Hospital Clínico da Universidade do Chile ficou instalado como uma filtragem que reabriu o debate sobre a cibersegurança dos centros de saúde. A cobertura da ADN Radio apontou o impacto do episódio na discussão pública, enquanto a LeySeguraDigital acrescentou que a ação judicial apresentada no fim de setembro teria citado a publicação de RUT, nomes, datas de exames, médicos solicitantes e resultados.

Esse segundo ponto deve ser tratado com cuidado metodológico, porque a própria cobertura o apresenta como conteúdo atribuído à ação judicial e não como verificação independente do incidente. Ainda assim, o detalhe importa porque mostra o tipo de dados que costuma circular nesse tipo de vazamento: identificadores únicos, informação de contato com o sistema de saúde, rastreabilidade de exames e resultados clínicos.

A gravidade aqui não depende só do volume, mas do contexto. Quando um hospital universitário fica associado a uma filtragem, a afetação pode atingir assistência, ensino, pesquisa e gestão administrativa ao mesmo tempo. Por isso esse tipo de caso não é um incidente isolado de privacidade, mas um ponto de tensão entre vários planos da operação institucional.

Nueva EPS e o padrão de alegação de filtragem

A Nueva EPS apareceu em várias coberturas da Colômbia com uma sequência que combina posições ainda não verificadas de um suposto ator, uma investigação interna em curso e referências cruzadas a bases de dados alegadas. O material do mês fala de publicações de 11,5 milhões de afiliados, de 11.239.741 registros em 34 arquivos e de uma amostra técnica de 30 cidadãos de Letícia com 122 campos, mas não apresenta uma confirmação independente homogênea do alcance real.

O valor analítico do caso está na dispersão das evidências. O Heraldo, El Colombiano, DiarioBitcoin, MuchoHacker e uma publicação técnica atribuída a Camilo Andrés García descrevem uma suposta filtragem com cifras diferentes e graus distintos de respaldo. A Nueva EPS, segundo essas coberturas, afirmou que suas verificações não tinham identificado evidência de acesso não autorizado e que a investigação seguia em curso.

Para a leitura de risco, isso deixa uma lição concreta. Quando a evidência vem de fóruns, contas de análise ou atores anônimos, o investigador não deve transformar rapidamente uma alegação em fato confirmado. No entanto, também não deve descartá-la se ela aparece repetida em várias coberturas e inclui amostras com estrutura verossímil. O informe do mês deixa exatamente essa tensão em aberto.

Coosalud, Hermilio Valdizán, MyM ODONTOCLINICA e outros reclames

Vários casos do mês ficaram no terreno da reivindicação ou da publicação em leak sites, sem confirmação pública suficiente. A Coosalud EPS, por exemplo, apareceu em registros de setembro vinculados à ThreeAM, mas esses fatos ficam fora do volume de outubro e são usados apenas como referência comparativa, não como atividade mensal. Em outubro, o relevante foi ver como o ecossistema regional continuou gerando reclamações de extorsão e ameaças de publicação na saúde, mesmo quando a verificação era limitada.

No Peru, o Hospital Hermilio Valdizán apareceu em registros associados à RansomHouse e em uma reivindicação atribuída ao mesmo grupo. A Alldefense esclareceu que o registro não confirma intrusão, extração nem interrupção do atendimento, enquanto a DeXpose apresentou a publicação como uma afirmação do grupo. O material, portanto, permite falar em reivindicação de ransomware, não em impacto verificado.

No Paraguai, a MyM ODONTOCLINICA S.A. foi incluída em publicações atribuídas à Emperador com alegações sobre documentos financeiros e dados pessoais e de clientes. Ransomware.live, DeXpose, Yazoul Security, Kalir Pulse e Breach House coincidem em que a reivindicação existiu, mas também em que o tamanho real dos dados, o valor do resgate e a divulgação efetiva não ficaram confirmados. Esse tipo de caso entra na categoria de tipificação não determinável ou de mera menção em leak site, de acordo com o material disponível.

No Peru também apareceu a Asisken Asistencia Médica S.A. em uma reivindicação atribuída à N0n, enquanto outra conta especializada mencionou o Hospital Nacional Cayetano Heredia com uma suposta brecha atribuída à UNC6783. Nenhum desses elementos alcançou confirmação oficial visível no material de outubro. Seu valor para o informe não é provar um grande evento, mas mostrar que a atividade criminosa segue usando o setor de saúde como alvo reputacional e operacional.