Ataque de hackers ao Ministério da Saúde, site está fora do ar

O site do Ministério da Saúde está fora do ar desde às 3h da manhã desta sexta-feira, 10, depois de que hackers postaram uma mensagem na página anunciando um ataque ao redor da 1h.

O portal Conect Sus, responsável pela emissão do Certificado Nacional de Vacinação Covid-19, e de interação com Sistema Único de Saúde (SUS), ligado ao Ministério da Saúde, também foi afetado, saiu do ar e exibiu a mesma mensagem.

De acordo com a mensagem, trata-se de um ataque de ransomware. Cerca de 50 terabytes de dados do Ministério da Saúde teriam sido copiados e excluídos dos sistemas do governo.

O Ministério da Saúde ainda não se pronunciou sobre o assunto.

Usuários do aplicativo ConecteSUS relatam nas redes sociais que o aplicativo não mostra mais comprovantes de vacinação.

Renan Brites Peixoto, um jornalista da Globo, entrou em contato com hackers por meio do endereço do aplicativo de mensagens instantâneas Telegram deixado na página.

“O Ministério da Saúde tem sido pirateado por nós. Mais de 50tb de dados são copiados da nuvem e dos sistemas da intranet nas últimas semanas e foram apagados dos sistemas do Ministério da Saúde”, afirmou um dos supostos hackers.

A mensagem enviada deixa ainda um e-mail de contato hospedado no Ctemplar, um serviço reconhecido pela privacidade pedindo um contato do Ministério da Saúde para “devolução dos dados e para evitar fugas”, agregando ainda que está disponível para “entrevistação” de jornalistas.

Pelo forma como as mensagens estão escritas, dá para deduzir que se trata ou de alguém não muito familiarizado com o português brasileiro, ou se fazendo passar por alguém não muito familiarizado com o português brasileiro.

Outra característica chamativa é a disposição para falar com jornalistas, que não costuma ser muito comum no caso de ataques com motivação exclusivamente financeira.

HISTÓRICO DE ATAQUES

Caso se confirme nos termos anunciados pelos hackers, o roubo de dados pode ser o mais grave de uma série de ataques ao Ministério da Saúde, além de de incidentes que demonstram um descontrole interno.

Em janeiro, o Ministério da Saúde teve sua rede invadida por um hacker.

O invasor publicou uma mensagem singela no FormSUS, serviço de criação de formulários do DataSUS que coleta dados de pacientes acolhidos pela rede pública: “Este site está um lixo!”.

Semanas antes, uma falha no no e-SUS Notifica, sistema de notificações sobre COVID-19 mantido pelo órgão, permitiu que dados sigilosos de mais de 243 milhões de brasileiros ficassem expostos na internet por pelo menos seis meses.

O vazamento incluiu dados como nome completo, endereço, telefone e CPF, inclusive de pessoas mortas, o que justifica o número superior ao da população atual do país.

O problema foi causado por um tratamento inadequado de senhas, não por vulnerabilidades sistêmicas. Credenciais (login e senha) de acesso ao sistema foram inseridos no código-fonte do site e podiam ser acessados a partir do modo de inspeção existente nos navegadores.

PROBLEMA VAI ALÉM DA ÁREA TÉCNICA

Outro ataque, apesar de aparentemente menos grave, mostra que os problemas do Ministério da Saúde vão além de fragilidades técnicas, incluindo também aspectos organizacionais.

Em julho, uma pessoa com autorização para acessar o cadastro no Sistema Único de Saúde (SUS) decidiu fazer diversas alterações nos dados de Guilherme Boulos (PSOL), incluindo colocar o ator pornô Kid Bengala como pai do político.

O próprio Ministério da Saúde revelou que as alterações foram feitas por “uma pessoa credenciada para utilizar o sistema” e que “já foi solicitado o bloqueio da credencial usada nestas ações”.

As alterações no cadastro de Boulos aconteceram depois de a presidente do PT, Gleisi Hoffmann, ter tido baixa por óbito no mesmo cadastro do SUS.

O cadastro dos ex-presidentes Luiz Inácio Lula da Silva e Dilma Rousseff (PT) e da ex-deputada federal Manuela d’Ávila (PCdoB) também foram alterados. Nesses casos, ainda não se sabe quem é o autor.

Em qualquer caso, as alterações mostram um grave problema de segurança de informação e privacidade de dados no Ministério da Saúde, com acessos indevidos a perfis, uso inadequado de autorizações por terceiros, pura falta de noção ou tudo junto ao mesmo tempo.

Baguete