Ataque cibernético: o que a segurança de dados de saúde exige de operadoras e de quem audita

A digitalização da saúde ampliou a circulação de dados sensíveis entre instituições e empresas de tecnologia, trazendo eficiência, mas também novos riscos. Ataques recentes ao setor reforçam que a segurança da informação vai além da TI e se tornou estratégica para a continuidade das operações e a proteção dos pacientes. O episódio reitera uma pergunta para operadoras, hospitais, demais prestadores e auditores: como proteger dados de saúde em todo o ciclo de auditoria? Este artigo discute o caso e o que a LGPD e a boa governança exigem.

Ataque cibernético na saúde: entenda o que aconteceu

O Hospital Israelita Albert Einstein confirmou um ataque cibernético com acesso e obtenção não autorizados a dados pessoais e médicos de parte de sua base, caso relatado pela Saúde Digital News. 

De acordo com a publicação, os dados acessados incluem nome, CPF, data de nascimento, prescrições e resultados de exames. A suspeita foi identificada em agosto de 2026, mas o hospital informou não ter evidências de divulgação ou uso indevido, comunicou a Polícia Federal e a ANPD, criou um canal de suporte e notificou os titulares por e-mail. Os atendimentos não foram impactados, e o número de pacientes afetados não foi divulgado. Como as apurações seguem em curso, qualquer conclusão sobre causas ou responsáveis seria precipitada.

Por que dados de saúde exigem tratamento diferenciado

A LGPD (Lei 13.709/2018) classifica dados referentes à saúde como dados pessoais sensíveis, com hipóteses de tratamento mais restritas e maior responsabilidade para quem os manipula. Uma prescrição ou um resultado de exame revela condições clínicas que acompanham o paciente e podem gerar discriminação se expostos. Por isso, a proteção vale para toda a cadeia: hospitais, operadoras, laboratórios, prestadores e empresas de auditoria que recebem prontuários, contas e laudos para análise. Veja também nosso conteúdo sobre LGPD na saúde.

Onde a auditoria em saúde encontra a segurança de dados

A auditoria de contas médicas e a auditoria concorrente são etapas da jornada do sinistro que lida diariamente com informações clínicas e financeiras. Com a aplicação de inteligência artificial, o volume de dados processados cresce e a governança precisa acompanhar o novo processo. Cinco pilares merecem atenção:

• Minimização: tratar apenas os dados necessários à finalidade da auditoria, em linha com o princípio da necessidade da LGPD.

• Controle de acesso: perfis por função, menor privilégio possível e autenticação multifator.

• Rastreabilidade: logs que registrem quem acessou o quê, quando e por quê, permitindo auditar a própria auditoria.

• Criptografia e segregação: dados protegidos em trânsito e em repouso, em ambientes separados.

• Resposta a incidentes: plano documentado, com responsáveis e prazos para comunicar titulares e ANPD.

O que as operadoras podem revisar agora

Operadoras podem mapear quais dados compartilham com prestadores e fornecedores, exigir cláusulas contratuais de segurança e de notificação de incidentes, pedir evidências de testes e certificações, além de treinar equipes contra phishing e demais ataques cibernéticos comuns. Em sistemas de auditoria com IA, é importante perguntar também onde os dados ficam armazenados, como é realizada a estrutura de segurança das informações e como os modelos são treinados. Deste modo, é possível garantir conformidade legal e alinhar o processo de auditoria ao compliance. 

Segurança e eficiência caminham juntas

Planilhas e e-mails que circulam sem rastro ampliam os pontos de exposição. Plataformas que centralizam auditoria de sinistros em um ambiente controlado, reduzem esses pontos soltos e dão mais visibilidade ao fluxo, além de rastrear onde e quando são feitos os acessos. Segurança de dados deixa de ser um item separado e passa a ser critério de escolha de quem audita.

Perguntas frequentes sobre segurança de dados em saúde

O que a LGPD diz sobre dados de saúde?
Eles são dados pessoais sensíveis e só podem ser tratados em hipóteses legais específicas, com medidas de segurança proporcionais ao risco. Para mais detalhes, veja como preparar sua instituição para a saúde digital.

Como a auditoria com IA protege dados sensíveis?
Por meio de controle de acesso por perfil, logs, criptografia e limitação de acessos. A rastreabilidade permite reconstruir quem acessou cada informação, e quando que cada ação foi feita. Para entender mais sobre o funcionamento de sistemas de IA, acesse este artigo do blog. 

Quais auditorias de sinistros de saúde apresentam maior precisão na análise de procedimentos?
A precisão depende mais do método e da qualidade dos dados do que do nome da auditoria. A auditoria de sinistros com apoio de IA tende a ganhar precisão por cruzar procedimentos, materiais e medicamentos cobrados com prontuário, contrato e regras clínicas em larga escala, inclusive quando realizada durante a ocorrência de uma internação, complementando ao validar a pertinência dos procedimentos em tempo real. A combinação destes sistemas com revisão do auditor humano, costuma ser a mais consistente, e é este formato que a plataforma de auditoria da Carefy segue. Conheça nosso site e saiba mais.

O que fazer em caso de incidente de segurança?
Acionar o plano de resposta, conter o incidente, avaliar o risco aos titulares e comunicar ANPD e titulares quando houver risco ou dano relevante, conforme o art. 48 da LGPD. 

Dados de saúde podem ser usados em modelos de IA?
Sim, desde que haja base legal, finalidade definida e salvaguardas de segurança. Aprofunde em nosso artigo sobre as tendências, benefícios e desafios éticos da IA na área da saúde. 

Sobre a Carefy

A Carefy é uma plataforma de auditoria com IA que combate fraudes e desperdícios nos sinistros de operadoras de saúde. Com bilhões de reais em sinistros processados e mais de 8 milhões de vidas sob gestão, a empresa atende operadoras em todo o país, como Hapvida, Porto Seguro Saúde e diversas Unimeds.

Fonte utilizada: Saúde Digital News, “Einstein confirma ataque cibernético com acesso a dados pessoais e médicos de pacientes” (09/10/2026).