Ataque ransomware expõe dados de 500 mil pacientes e ANPD investiga
No dia 8 de julho de 2026, a ANPD (Agência Nacional de Proteção de Dados) instaurou um processo de sanção contra o Instituto Saúde e Cidadania (ISAC), organização social que administra unidades públicas de saúde em seis estados brasileiros. O motivo: um ataque de ransomware ocorrido em 2025 que sequestrou os dados de 500 mil pacientes.
O número impressiona. Mas o que realmente preocupa não é só a escala. É o que esse caso revela sobre o estado da segurança digital no Brasil e, mais importante, o que pode acontecer com qualquer empresa que trata dados de clientes.
O que aconteceu
O ISAC é uma organização social que gerencia unidades de saúde em Alagoas, Bahia, Goiás, Piauí, Rio Grande do Sul e Tocantins. Em 2025, sofreu um ataque de ransomware, um tipo de malware que criptografa os arquivos da vítima e exige pagamento para liberá-los.
Os dados comprometidos incluem:
| Tipo de dado | Exemplos |
|---|---|
| Identificação pessoal | Nome, data de nascimento |
| Histórico médico | Exames, prontuários, diagnósticos |
| Atendimentos | Internações, procedimentos, prescrições |
Entre os afetados estão 78.772 crianças e adolescentes e 47.921 idosos. Dados de saúde são considerados sensíveis pela LGPD e merecem proteção extra.
O que a ANPD está investigando
A ANPD abriu o Processo Administrativo Sancionador (PAS) de número 00261.003381/2026-55. As infrações apuradas incluem:
- Falta de medidas de segurança técnicas e administrativas para proteger os dados
- Comunicação inadequada às pessoas afetadas (o ISAC só publicou um aviso genérico no site)
- Ausência de informações sobre o encarregado de dados (DPO)
- Descumprimento dos princípios de prevenção e prestação de contas
O ISAC, em sua defesa, afirma que o ataque não resultou em vazamento de dados. Segundo a instituição, os invasores criptografaram arquivos de sistemas administrativos e contratos encerrados, mas as cópias de segurança permitiram recuperar tudo sem perda de informações.
A ANPD, no entanto, aponta que o ISAC não apresentou comprovações técnicas dessa alegação mesmo depois de repetidos pedidos. Além disso, a comunicação às vítimas foi considerada insuficiente , a LGPD exige que cada titular seja informado individualmente sobre incidentes que envolvam seus dados.
As possíveis consequências
Se condenado, o ISAC pode enfrentar sanções que vão de advertência a multa de até 2% do faturamento (limitada a R$ 50 milhões), além da suspensão ou proibição de tratar dados pessoais.
Mas o impacto real vai além da multa. Para uma organização que administra unidades de saúde, perder a confiança dos pacientes e dos governos estaduais contratantes é um dano que nenhum valor recupera.
O caso também serve de alerta para outras empresas. A ANPD está em modo fiscalização ativa desde 2025 e o número de processos só aumenta. Dados do relatório IBM Cost of a Data Breach 2025 mostram que o custo médio de um incidente de segurança no Brasil é de R$ 7,19 milhões, considerando multas, paralisação e danos reputacionais.
Por que sua empresa precisa se preocupar
Talvez você pense: "mas eu não sou um instituto de saúde com 500 mil pacientes". É verdade. Mas a LGPD não faz distinção entre grande e pequeno quando o assunto é proteger dados.
Dados da ANPD mostram que multas, embora ainda tímidas em valores absolutos (cerca de R$ 14 mil aplicados até o início de 2026), estão crescendo. E o risco não é só financeiro. A exposição pública de um processo da ANPD mancha a reputação de qualquer negócio.
No Brasil, 494 organizações foram vítimas de ransomware apenas no primeiro semestre de 2026, segundo o Ransomware.live. O setor de saúde é o principal alvo, respondendo por 17% de todos os ataques (dados da Veriti Security).
O que sua empresa pode fazer hoje
A boa notícia é que proteger dados de clientes não exige um orçamento de multinacional. Exige atenção ao básico bem feito.
1. Tenha backups funcionais
O ISAC afirmou que recuperou os dados das cópias de segurança. Essa é a prática certa. Mas o backup precisa ser testado periodicamente. Não adianta ter cópia se na hora do resgate ela estiver corrompida.
Siga a regra 3-2-1: três cópias dos dados, em duas mídias diferentes, com uma cópia fora do ambiente da empresa.
2. Implemente medidas básicas de segurança
Um plano de segurança para pequenas empresas pode ser simples e eficaz:
| Medida | Custo estimado |
|---|---|
| Autenticação em dois fatores (2FA) em todos os sistemas | Gratuito |
| Gerenciador de senhas (Bitwarden, LastPass) | Gratuito a R$ 20/mês |
| Firewall básico e antivírus | Gratuito a R$ 50/mês |
| Atualizações automáticas ativadas | Gratuito |
| Rede Wi-Fi separada para funcionários e visitantes | Gratuito |
3. Tenha um encarregado de dados (DPO)
A LGPD exige que empresas que tratam dados pessoais tenham um encarregado de dados acessível ao público. Pode ser um funcionário treinado ou um serviço terceirizado. O importante é que exista um canal para os titulares exercerem seus direitos.
4. Crie um plano de resposta a incidentes
Quando (não se) um incidente acontecer, sua equipe precisa saber exatamente o que fazer. A ANPD exige que incidentes de segurança com dados pessoais sejam comunicados em prazo razoável. Ter um plano evita o pânico e reduz danos.
5. Documente tudo
Um dos problemas do ISAC foi não conseguir comprovar suas alegações perante a ANPD. A LGPD exige que as empresas demonstrem conformidade. Guarde registros de treinamentos, políticas de segurança, logs de acesso e medidas adotadas.
O caso do ISAC como lição
O ataque ao ISAC não aconteceu porque a organização era negligente. Aconteceu porque segurança digital é uma área complexa e que muda rápido. Mas o que levou ao processo da ANPD não foi o ataque em si. Foi a resposta inadequada depois dele.
A diferença entre uma empresa que sobrevive a um incidente e uma que quebra com ele é a preparação. Ter backups, ter um plano de comunicação, ter medidas técnicas comprováveis , tudo isso transforma um desastre potencial em um problema contornável.
Para pequenos negócios, clínicas, consultórios e prestadores de serviço, o recado é claro: proteger dados de clientes não é mais opcional. A lei exige. Os clientes esperam. E os criminosos não escolhem alvo por tamanho.
⚡ PUBLICIDADE
Se você tem uma clínica, consultório ou pequeno negócio e quer proteger os dados dos seus clientes com um site seguro e adequado à LGPD, a AH Digital Solutions pode ajudar. Criamos sites, landing pages e sistemas de automação que seguem as boas práticas de segurança desde o início. Bate uma ideia com a gente.
Como se preparar para a fiscalização da ANPD
O processo contra o ISAC mostra que a ANPD não está mais só publicando guias e recomendações. Ela está aplicando a lei. Empresas de todos os portes precisam se adequar.
Algumas perguntas que todo dono de negócio deveria fazer hoje:
- Se um ransomware atingir meu sistema amanhã, quanto tempo eu levo pra voltar a operar?
- Eu sei exatamente que dados dos meus clientes estão armazenados e onde?
- Meus funcionários sabem identificar um e-mail de phishing?
- Eu tenho um canal para clientes solicitarem a exclusão dos dados deles?
- Minha empresa tem um encarregado de dados nomeado e acessível?
Se a resposta para qualquer dessas perguntas for "não" ou "não tenho certeza", existe trabalho a fazer.
O que esperar da ANPD em 2026
A agência está expandindo sua capacidade de fiscalização. O Regulamento de Dosimetria (que define o valor das multas) já está em vigor e a ANPD tem publicado sanções com frequência crescente.
Para pequenas e médias empresas, o risco real não é a multa máxima de R$ 50 milhões (improvável para um negócio pequeno). É a sanção de bloqueio de dados , a ANPD pode proibir a empresa de tratar dados pessoais, o que na prática significa paralisar operações que dependem de cadastro de clientes, emissão de notas fiscais e comunicação com pacientes.
A multa por si só já é ruim. Mas ficar impedido de operar é fatal para qualquer negócio.
📚 Leia também
📖 Guia de segurança digital para pequenos negócios , Um passo a passo prático para proteger sua empresa sem gastar fortunas.
📦 Produto recomendado
Se você quer garantir que os dados da sua empresa estejam protegidos mesmo em caso de ataque, ter um backup externo confiável é o primeiro passo. Um HD externo portátil permite manter uma cópia offline dos seus arquivos, fora do alcance de ransomwares.
👉 Ver preço de HD Externo na Amazon
Fonte: Canaltech | ANPD (gov.br) | CNN Brasil
💡 Recomendados
Links de afiliado. Compro uma pizza de vez em quando sem custo extra pra você.
André Henrique
Engenheiro de Software em formação e criador da AH Digital Solutions. Obsessivo por automatizar processos, explorar IA e construir negócios digitais que façam sentido. Escrevo sobre o que aprendo no caminho — tecnologia real, sem marketing fake.