Foi demitido nesta quinta-feira (26) o funcionário do Hospital Albert Einstein, de São Paulo, que expôs os dados de 16 milhões de brasileiros com suspeita ou confirmação da COVID-19 durante um mês, informou o jornal O Estado de São Paulo.
Em nota, o Einstein afirmou que o funcionário foi demitido por ter infringido normas internas adotadas para garantir proteção e segurança de dados. O hospital disse também que assim que tomou conhecimento do fato, nesta quinta-feira (26), removeu as informações da Internet e comunicou o Ministério da Saúde sobre o caso. A pessoa não divulgou diretamente os dados dos pacientes, e sim informações de login e senha para acesso.
"O Einstein ressalta que não houve divulgação de quaisquer dados pelo empregado e que o hospital não tem acesso a eles. Eles ficam arquivados em uma base de dados do Ministério da Saúde e são usados em um programa de monitoramento da pandemia da COVID-19. O colaborador estava inclusive locado em Brasília", argumentou o hospital.
As senhas de acesso a informações privadas dessas pessoas foram vazadas na Internet e dados como endereço, telefone e condições de saúde tornaram-se públicas.
Wagner Santos, cientista de dados do Einstein, divulgou as informações de login e senha para acesso a informações do Ministério da Saúde na plataforma "github". Com isso, vieram a público os dados de pacientes de 27 unidades da federação, incluindo os de autoridades como o presidente Jair Bolsonaro, a primeira-dama, Michelle Bolsonaro, e o ministro da Saúde, Eduardo Pazuello, entre outros.
O Einstein tem acesso a essas informações por uma parceria com o Ministério da Saúde dentro do Programa de Apoio ao Desenvolvimento Institucional do Sistema Único de Saúde (PROADI-SUS).
O órgão afirmou que revogou o acesso aos logins e senhas imediatamente após ser informado do vazamento e que o Einstein iniciou a apuração dos fatos.
Segundo o Ministério, a planilha publicada pelo funcionário em outro site foi apagada e a equipe de segurança cibernética do Einstein está realizando o rastreamento de possíveis sites onde os dados possam ter sido replicados.
"O Departamento de Informática do SUS (DataSUS) revogou imediatamente todos os acessos dos logins e das senhas que estavam contidos na referida planilha. É importante ressaltar que os dados não são de fácil acesso, uma vez que apenas login e senha não são suficientes para se chegar às informações contidas nos bancos de dados - e sim um conjunto de fatores técnicos", afirmou a pasta em nota.
O maior vazamento do país
Para o presidente da ONG SaferNet Brasil, Thiago Tavares, o vazamento de dados de 16 milhões de pacientes com COVID-19 é o maior em termos de informações sensíveis do país. Ele afirma que o conteúdo é extremamente valioso para empresas e mostra que é preciso investir em novos protocolos de segurança.
"Eles têm, por exemplo, valor para uma seguradora. Uma informação de que determinado usuário fez um teste da COVID-19, tem comorbidade ou doença preexistente, é extremamente valiosa para alimentar sistemas de precificação de risco. O usuário pode sentir isso, por exemplo, na recusa de um plano de saúde ou se tiver dificuldade de fazer um seguro de vida. É o maior vazamento de dados sensíveis do país", comentou Tavares.
Para ele, os dados das pessoas estão sob risco.
"Muito provavelmente esse arquivo foi visto por outras pessoas, que fizeram cópias, acessaram os dados e muito provavelmente copiaram esses dados. Os dados da população não estão seguros e esse incidente é a prova disso. Um sistema como esse, que armazena dados sensíveis, precisa ser protegido por diversas camadas de segurança", completou o presidente da ONG que reúne cientistas da computação, professores, pesquisadores e bacharéis em Direito com o objetivo de defender e promover os direitos humanos na Internet.