Ciberataque ao NHS no Reino Unido causa danos permanentes e expõe fragilidades na segurança digital da saúde

Um ciberataque que paralisou hospitais e clínicas em Londres no ano passado causou danos a dezenas de pacientes, resultando em prejuízos permanentes ou de longo prazo à saúde em pelo menos dois casos, segundo dados obtidos pela Bloomberg News.

Em junho de 2024, um grupo de hackers russos atacou a Synnovis, uma empresa contratada para fornecer serviços de testes de sangue, transfusões e outros serviços de patologia para o Serviço Nacional de Saúde do Reino Unido (NHS). O incidente mergulhou os prestadores de cuidados de saúde do sudeste de Londres em uma crise.

A violação incapacitou a Synnovis, causando meses de interrupções em dezenas de hospitais e consultórios médicos. Mais de 10 mil consultas foram adiadas e mais de 1.700 procedimentos eletivos foram cancelados, conforme informou o NHS.

Profissionais de saúde de pelo menos quatro distritos de Londres registraram dois casos de danos graves, 11 casos de danos moderados e mais de 120 casos de danos leves como consequência direta do ataque, de acordo com os dados. Os detalhes específicos sobre os danos à saúde dos pacientes não foram divulgados devido à confidencialidade.

Danos graves foram definidos como impactos “permanentes ou de longo prazo na função física, mental ou social, ou redução da expectativa de vida”. Danos moderados incluíram impactos de médio prazo nessas funções, enquanto danos leves causaram prejuízos breves e de menor gravidade.

“Esses números são substanciais e mostram que um ciberataque pode ser catastrófico e transformar vidas”, afirmou Saif Abed, ex-médico do NHS e especialista em cibersegurança e saúde pública. Ele acrescentou que o número de pacientes afetados pode ser ainda maior, uma vez que os efeitos de atrasos no tratamento podem surgir meses ou anos após o incidente. Em alguns casos, pacientes em diálise tiveram tratamentos interrompidos, e os serviços de testes de sangue caíram para 10% da capacidade imediatamente após o ataque.

Ataques de ransomware aumentaram em cerca de 300% na última década, com o setor de saúde sendo um dos mais atingidos, segundo a Microsoft. O NHS já foi alvo de ciberataques anteriormente. Em 2017, o ransomware WannaCry paralisou hospitais e clínicas no Reino Unido, levando ao cancelamento de cerca de 19 mil consultas.

No caso de 2024, algumas vulnerabilidades digitais nos hospitais londrinos afetados já eram conhecidas há anos, de acordo com a Bloomberg.

Nos EUA, um relatório de 2024 do Escritório do Diretor de Inteligência Nacional alertou que ataques a organizações de saúde americanas atrasaram procedimentos médicos e interromperam cuidados aos pacientes devido a interrupções prolongadas.

É raro que organizações de saúde publiquem dados sobre os danos causados por ataques cibernéticos. Em um ataque devastador aos hospitais da Irlanda em 2021, executivos de saúde declararam não possuir números específicos sobre os danos aos pacientes, apesar do adiamento de tratamentos para câncer e outras condições graves.

Parte dos dados sobre o ataque à Synnovis foi fornecida à Bloomberg pelo sistema integrado de saúde do sudeste de Londres, que representa prestadores de serviços financiados pelo governo. As informações incluíram serviços de atenção primária em Greenwich, Lambeth, Lewisham e Southwark, além de dados fornecidos por dois grandes hospitais afetados: Guy’s and St Thomas’ NHS Foundation Trust e King’s College Hospital NHS Foundation Trust.

Um porta-voz do NHS South East London confirmou a gravidade do impacto, afirmando que a capacidade de testes foi significativamente reduzida. No entanto, ressaltou que procedimentos para lidar com incidentes foram implementados, incluindo auxílio mútuo de parceiros externos.

O grupo criminoso russo Qilin assumiu a responsabilidade pelo ataque e exigiu um resgate de US$ 50 milhões para desbloquear os computadores. Posteriormente, os hackers divulgaram na internet registros médicos confidenciais roubados, incluindo documentos de biópsias e pedidos de exames de sangue.

Um porta-voz da Synnovis declarou que “quase todos os serviços” foram restaurados, mas que ainda há trabalho em andamento para corrigir sistemas administrativos que não são críticos para as operações de saúde. “Estamos cientes de que este período foi extremamente desafiador e, às vezes, angustiante para pacientes, usuários dos serviços e colegas da linha de frente do NHS. Pedimos desculpas sinceras pelo inconveniente e transtorno causados por este ataque criminoso.”

Via - Bloomberg