A brecha foi relevada pelo jornal 'O Estado de S. Paulo', que apurou que as senhas permitiam acesso a dados de ao menos 16 milhões de pessoas, incluindo o presidente Jair Bolsonaro e outros membros do governo. Informações pessoais de pacientes com diagnósticos suspeitos ou confirmados de Covid-19 ficaram disponíveis na internet por quase um mês depois que senhas do Ministério da Saúde foram publicadas em uma plataforma aberta, segundo o jornal "O Estado de S. Paulo" em uma reportagem publicada nesta quinta-feira (26).
As senhas permitiam acesso a dados como CPF, endereço, telefone e doenças pré-existentes de pelo menos 16 milhões de pessoas em todo o país, segundo o jornal (veja detalhes mais abaixo).
Os dados foram publicados por um funcionário do Hospital Albert Einstein, em São Paulo, em um site de compartilhamento de códigos de programação usado por programadores e cientistas de dados, também de acordo com o "O Estado de S. Paulo".
Em nota divulgada na quarta-feira (25), o hospital disse que "tomou conhecimento" de que "um colaborador que presta serviços ao Ministério da Saúde teria arquivado informações de acesso a determinados sistemas sem a proteção adequada" (veja íntegra do texto ao final da reportagem).
Em comunicado, o Ministério da Saúde afirmou que o Einstein estava adotando medidas para "um possível vazamento de arquivos contendo login e senha para acesso das informações" por meio de um mecanismo de busca de dados aberto chamado Elastic Search.
Ainda de acordo com a pasta, o hospital informou que "uma planilha foi equivocadamente publicada em uma plataforma de hospedagem de código-fonte". (Veja íntegra do texto ao final da reportagem).
Nem o Einstein, nem o Ministério da Saúde confirmaram o número de pacientes cujas informações podem ter ficado expostas após a publicação das senhas.
Senhas e planilha
De acordo com o "O Estado de S. Paulo", com as senhas publicadas, era possível acessar registros relacionados à Covid-19 em dois sistemas do governo federal: um com notificações de casos suspeitos e confirmados da doença e outro com as internações por síndrome respiratória aguda grave (SRAG).
A SRAG pode ser causada por vários vírus respiratórios, mas, neste ano, quase 98% dos casos no Brasil têm o vírus da Covid-19 como causa, segundo dados da Fiocruz. Os dados das internações por SRAG têm sido usados para estimar com mais precisão o número de casos de Covid no país – que são subnotificados por causa da pouca testagem.
O jornal disse que recebeu uma denúncia com o link para página onde a senhas estavam disponíveis. Segundo a reportagem, a planilha com os dados foi publicada em 28 de outubro.
Na nota de quarta-feira (25), o Einstein disse que as informações "foram removidas e o fato comunicado ao Ministério da Saúde, para que fossem tomadas as medidas para assegurar a proteção das referidas informações".
Em nota divulgada na quarta-feira (25), o Einstein afirmou que "tomou conhecimento" que um funcionário do hospital que prestava serviços ao Ministério da Saúde "teria arquivado informações de acesso a determinados sistemas sem a proteção adequada".
O Ministério da Saúde informou que o Departamento de Informática do SUS (DataSUS) "revogou imediatamente todos os acessos dos logins e das senhas que estavam contidos na referida planilha".
Ainda de acordo com a Saúde, os bancos de dados "não são de fácil acesso, uma vez que apenas login e senha não são suficientes para se chegar às informações contidas nos bancos de dados - e sim um conjunto de fatores técnicos".
Dados de membros do governo
A reportagem afirma que o presidente Jair Bolsonaro e ao menos outros 7 ministros foram afetados pelo vazamento,– incluindo o ministro da Saúde, Eduardo Pazuello; o ministro da Cidadania, Onyx Lorenzoni; e a ministra da Mulher, Família e dos Direitos Humanos, Damares Alves.
Também tiveram os dados expostos o governador de São Paulo, João Doria (PSDB), e outros 16 governadores, além dos presidentes da Câmara, Rodrigo Maia (DEM-RJ), e do Senado, Davi Alcolumbre (DEM-AP), de acordo com o jornal.
Ainda segundo a reportagem, "tanto pacientes da rede pública quanto da privada tiveram seus dados expostos", porque a notificação de casos suspeitos e confirmados de Covid é obrigatória a todos os hospitais.
Nota do Hospital Albert Einstein (25/11):
"Prezados Senhores,
O Einstein tomou conhecimento na tarde de hoje que um colaborador que presta serviços ao Ministério da Saúde teria arquivado informações de acesso a determinados sistemas sem a proteção adequada.
Imediatamente estas informações foram removidas e o fato comunicado ao Ministério da Saúde, para que fossem tomadas as medidas para assegurar a proteção das referidas informações.
O Einstein reitera seu compromisso com a segurança das informações e a proteção de dados, bem como que tomará as medidas administrativas cabíveis.
Atenciosamente,
Edson Amaro Jr.
Superintendente de Ciência de Dados e Analytics da Sociedade Beneficente Israelita Brasileira
Albert Einstein"
Nota do Ministério da Saúde:
"O Ministério da Saúde informa que realizou reunião com o Hospital Israelita Albert Einstein – com quem tem parceria via Proadi -, para esclarecimento dos fatos. O profissional contratado atua no MS como cientista de dados e iniciou as atividades em 14/09/2020 e, no âmbito das medidas de segurança do ministério, em atendimento aos protocolos de compliance e confidencialidade, por meio de assinatura do termo de responsabilidade antes do acesso à base de dados do e-SUS Notifica.
O Hospital informou ao Ministério da Saúde que iniciou um processo de apuração dos fatos. A equipe de segurança cibernética do hospital está tomando todas as medidas para conter um possível vazamento de arquivos contendo login e senha para acesso das informações dos sistemas via Elastic Search. A instituição informou, também, que uma planilha foi equivocadamente publicada em uma plataforma de hospedagem de código-fonte. Este documento foi apagado e está sendo realizado o rastreamento de possíveis sites ou ciberespaços onde os dados podem ter sido replicados. O hospital confirmou que houve falha humana de um dos seus colaboradores - e não do sistema.
O Departamento de Informática do SUS (DataSUS) revogou imediatamente todos os acessos dos logins e das senhas que estavam contidos na referida planilha. É importante ressaltar que os dados não são de fácil acesso, uma vez que apenas login e senha não são suficientes para se chegar às informações contidas nos bancos de dados - e sim um conjunto de fatores técnicos,. O Ministério da Saúde ressalta que todos os técnicos que têm acesso aos seus sistemas de informação assinam termo de responsabilidade para uso das informações e todos estão cientes de que a divulgação de informações pessoais está sujeita a sanções penais e administrativas."
Vídeos: mais assistidos do G1 nos últimos 7 dias:
