O acesso indevido a dados de utentes do SNS através de credenciais de um médico fez mais de 100.000 vítimas em Portugal, anunciou a Polícia Judiciária. O arranque de uma complexa investigação tecnológica coloca as autoridades em alerta máximo face à dimensão de uma quebra de segurança no sistema de saúde pública. A Polícia Judiciária (PJ) adiantou esta segunda-feira, dia 25 de maio, que o acesso indevido a dados de utentes do Serviço Nacional de Saúde (SNS), através de credenciais comprometidas de um clínico, afetou pelo menos 100 mil pessoas e admitiu o provável uso de ferramentas de inteligência artificial. Ciberataque de grande escala recorreu a velocidade inédita O volume de dados extraído em poucos dias surpreendeu as equipas de investigação criminal. José Ribeiro, diretor da Unidade Nacional de Combate ao Cibercrime e Criminalidade Tecnológica (UNC3T), explicou em conferência de imprensa na sede da PJ que o ataque informático permitiu recolher “um grande volume” de informação num curto espaço de tempo, sublinhando que a técnica utilizada permitiu extrair informação que “há poucos meses levaria três meses” a obter. Face a esta celeridade, a PJ admite e receia o recurso a inteligência artificial, um fator que, segundo o diretor da unidade, “vai tornar o trabalho muito mais complexo”. Nesta fase, a investigação foca-se na recolha de dados e no seguimento de pistas informáticas, não havendo ainda suspeitos identificados, embora José Ribeiro tenha salvaguardado que “dificilmente poderemos dizer que o médico [a quem pertencem as credenciais comprometidas] foi o autor” do ataque. Vítimas espalhadas por Portugal e dados clínicos sob avaliação O alcance geográfico do intruso afetou cidadãos de todas as regiões. As mais de 100.000 vítimas estão distribuídas por todo o território nacional, incluindo as regiões autónomas, tendo o diretor da UNC3T esclarecido que as indicações iniciais de que o roubo incidia de forma expressiva sobre crianças foram feitas “de forma precipitada”. O caso teve origem na Unidade Local de Saúde (ULS) do Alto Minho, que já havia esclarecido que “o compromisso das credenciais do médico terá resultado no acesso indevido a registos administrativos, não clínicos, de diversos utentes, entre os quais crianças”, afastando a hipótese de o ato ter sido praticado pelo profissional de saúde. A PJ tenta agora esclarecer se, além dos dados administrativos, houve o roubo de informação clínica. Os utentes detetaram as intrusões sobretudo através de notificações ativadas no portal do SNS por via da Chave Móvel Digital. Segurança reforçada e apelo urgente à classe médica No plano operacional de contenção, as autoridades governamentais e policiais já aplicaram medidas estritas para travar a fuga de informação. Os utentes afetados não necessitam de adotar ações diretas, uma vez que a gestão da plataforma é da responsabilidade dos Serviços Partilhados do Ministério da Saúde. De acordo com a PJ, as credenciais comprometidas foram imediatamente desativadas, a exfiltração de dados foi estancada, foram recolhidas máquinas para análise pericial e decorrem medidas adicionais de reforço de segurança. Ainda assim, o diretor da unidade de cibercrime deixou um forte apelo preventivo a toda a classe médica nacional para que altere com urgência as suas credenciais de acesso às plataformas de saúde. José Ribeiro revelou ainda que, embora a PJ continue a receber queixas de cidadãos lesados, estas já não são estritamente necessárias para o inquérito em curso, uma vez que não trazem dados novos para o processo titulado pelo DIAP do Porto. Quanto às motivações por trás do ataque, a Polícia Judiciária mantém várias linhas de inquérito em aberto. Avaliam-se cenários que vão desde “objetivos maliciosos” a “objetivos comerciais” de venda de bases de dados para publicidade, lembrando que os dados pessoais “são de grande riqueza”. Confrontado com a possibilidade de espionagem ou interferência de um país terceiro, o responsável da UNC3T foi direto: “neste momento, tudo é possível”. Redação