Os Serviços Partilhados do Ministério da Saúde (SPMS) confirmaram esta semana que o primeiro acesso indevido, ligado às credenciais de um médico, ocorreu a 19 de maio, mas a entidade só tomou conhecimento do problema cerca de dois dias depois. Em audição na comissão parlamentar de Saúde, o presidente dos SPMS explicou que o episódio evoluiu para consultas automatizadas que atingiram os registos de aproximadamente 100 mil utentes do Serviço Nacional de Saúde (SNS).
Segundo o testemunho prestado, o primeiro momento do incidente teve origem nas credenciais de um profissional de saúde que, de acordo com a entidade, não terá participado no acesso indevido. Numa fase posterior, as consultas passaram a ocorrer de forma automatizada, sem um padrão de comportamento que indicasse ação humana, o que dificultou a deteção imediata do problema.
Medidas adotadas e alcance dos dados
Em resposta ao incidente, os SPMS adotaram medidas de contingência que incluíram a retirada temporária do Registo de Saúde Eletrónico da internet, mantendo-o acessível apenas dentro da rede informática da saúde. Esta configuração perdurou até à implementação do duplo fator de autenticação em 1 de junho.
O presidente dos SPMS assegurou ainda que os dados acedidos eram de natureza administrativa, não tendo sido registado acesso a informações clínicas. Os sistemas geridos pelos SPMS, segundo foi afirmado na audição, são diariamente alvo de mais de 10 tentativas de ataque, com a grande maioria a ser bloqueada em fases iniciais.
“Tomámos conhecimento deste facto ao início da tarde do dia 21 de maio, na sequência de quatro pedidos de explicações por parte de utentes”, afirmou o responsável.
O registo de saúde eletrónico incorpora mecanismos que permitem notificar o utente quando os seus dados são consultados e identificar o consultante, uma funcionalidade que, segundo os responsáveis, facilita a deteção de acessos suspeitos pelos próprios utilizadores.
Implicações e pontos a vigiar
- Confiança e segurança: a descoberta tardia dos acessos levanta questões sobre a rapidez e a eficácia dos mecanismos de monitorização.
- Resposta e prevenção: a remoção temporária do sistema da internet e a introdução de autenticação em duas fases foram medidas imediatas, mas permanecem dúvidas sobre vetores de vulnerabilidade.
- Impacto nos utentes: foram notificados pelo menos quatro utentes que deram a alertar para acessos incompreensíveis, desencadeando a investigação.
| Data | Evento |
|---|---|
| 19 de maio | Primeiro acesso indevido, usando credenciais de um médico |
| 21 de maio | SPMS teve conhecimento do problema após notificações de utentes |
| 1 de junho | Implementação do duplo fator de autenticação |
A exposição de registos administrativos de um universo de cerca de 100 mil utentes coloca o foco na necessidade de fortalecer a vigilância dos sistemas de informação em saúde, melhorar a comunicação com os cidadãos e aprofundar a transparência sobre o tipo exacto de dados afectados. É igualmente crucial que as instituições clarifiquem as causas que permitiram a transição de acessos pontuais para um padrão automatizado e que demonstrem medidas sustentadas para prevenir recorrências.
À escala do SNS, este caso sublinha a tensão entre a digitalização de serviços essenciais e a exigência de salvaguardas tecnológicas robustas. As entidades responsáveis deverão agora consolidar lições, reforçar práticas de autenticação e monitorização e assegurar que os utentes sejam informados de forma clara sobre o que foi acedido e quais os riscos, sem alarmismos, mas com responsabilidade institucional.
