Acesso Indevido a Dados do Serviço Nacional de Saúde: Riscos, Falhas Estruturais e Responsabilidades Públicas

António Ferro, 26 de Maio de 2026

O incidente recentemente confirmado pela Polícia Judiciária, envolvendo o acesso indevido a dados de mais de cem mil utentes do Serviço Nacional de Saúde, representa um dos mais graves episódios de exposição de informação sensível registados em Portugal.
Segundo a investigação, o ataque foi realizado através da utilização de credenciais comprometidas de um médico e decorreu em poucos dias, permitindo extrair um volume de informação que anteriormente exigiria meses — um indicador claro de possível utilização de ferramentas de inteligência artificial para automatizar a recolha de dados .

Este caso ultrapassa a dimensão técnica: expõe fragilidades profundas na arquitetura de segurança do Estado, coloca em risco direto os cidadãos e levanta questões de responsabilidade funcional e política que não podem ser ignoradas.

Riscos Reais e Imediatos para os Utentes

A informação acedida inclui dados administrativos de utentes espalhados por todo o território nacional, incluindo ilhas. Embora ainda não esteja esclarecido se foram acedidos dados clínicos, a simples exposição de dados pessoais já representa riscos significativos.

1. Fraudes e engenharia social altamente credível

Com dados reais e atualizados, os atacantes podem construir esquemas de burla sofisticados, contactar cidadãos em nome de entidades públicas ou privadas e manipular vítimas vulneráveis.

2. Roubo de identidade e criação de perfis falsos

Dados de saúde e identificação são especialmente valiosos no mercado negro, podendo ser utilizados para abertura de contas, pedidos fraudulentos ou criação de identidades sintéticas.

3. Comercialização ilícita de dados

A Polícia Judiciária admite que o roubo pode servir objetivos comerciais, incluindo venda de dados para publicidade ou segmentação abusiva, ou fins maliciosos ainda não identificados .

4. Perda de confiança no Serviço Nacional de Saúde

A confiança dos cidadãos é um pilar essencial da saúde pública. A perceção de vulnerabilidade dos seus dados pode comprometer a relação médico‑utente e a adesão a programas de saúde.

Responsabilidades Funcionais e Políticas

O incidente revela falhas em vários níveis da cadeia de responsabilidade.

Serviços Partilhados do Ministério da Saúde

Responsáveis pela plataforma de dados e pela arquitetura de acessos, deveriam garantir mecanismos de prevenção, deteção precoce e resposta eficaz. A desativação das credenciais e recolha de máquinas, embora necessária, é uma medida reativa.

Unidades Locais de Saúde

A Unidade Local de Saúde do Alto Minho confirmou que as credenciais foram utilizadas por terceiros, afastando a hipótese de autoria do médico. Isto demonstra falhas na gestão de credenciais, ausência de monitorização de acessos e inexistência de alertas automáticos para padrões anómalos .

Ministério da Saúde

A tutela tem responsabilidade política direta pela governação da segurança digital do setor. A escala do incidente evidencia falta de auditorias regulares, ausência de políticas robustas de segurança e subinvestimento estrutural.

Governo e tutela da cibersegurança

A articulação entre o Serviço Nacional de Saúde, os Serviços Partilhados do Ministério da Saúde e o Centro Nacional de Cibersegurança não produziu mecanismos eficazes de defesa. A dependência de sistemas legados e a falta de modernização tornam estes incidentes previsíveis.

---

Violação do Regulamento Geral sobre a Proteção de Dados

O incidente configura uma violação grave do Regulamento Geral sobre a Proteção de Dados, nomeadamente:

Integridade e Confidencialidade (Artigo 5.º)

Falhou a proteção contra acesso não autorizado.

Proteção de Dados desde a Concepção (Artigo 25.º)

A arquitetura do sistema não impediu o abuso de credenciais nem limitou o volume de consultas.

Segurança do Tratamento (Artigo 32.º)

Faltaram medidas técnicas adequadas, como autenticação multifator, monitorização comportamental e segregação de acessos.

Notificação de Violação (Artigo 33.º)

A detecção ocorreu por queixas de utentes, não por mecanismos internos — um sinal de falha grave de supervisão.

O que Falhou

1. Falhou a prevenção

• Ausência de autenticação multifator.
• Perfis de acesso demasiado amplos.
• Inexistência de limites de velocidade e volume de consultas.
• Falta de testes de intrusão e auditorias regulares.

2. Falhou a detecção

• O sistema não identificou acessos anómalos.
• Não existiam alertas automáticos.
• A descoberta dependeu de notificações aos utentes.

3. Falhou a resposta

• Reação tardia.
• Comunicação inicial insuficiente.
• Falta de plano de crise.

Medidas Necessárias para Evitar Repetição

Medidas imediatas

• Autenticação multifator obrigatória para todos os profissionais.
• Rotação forçada de todas as credenciais.
• Limites de consulta e bloqueio de acessos massivos.
• Auditoria forense completa a acessos e sistemas.
• Notificação individual aos utentes afetados.

Medidas de médio prazo

• Revisão dos perfis de acesso e segregação por função.
• Criação de um Centro de Operações de Segurança dedicado ao setor da saúde.
• Auditorias regulares e independentes.
• Formação obrigatória em segurança digital para profissionais.

Medidas estruturais

• Adoção de uma arquitetura de confiança zero.
• Modernização tecnológica e eliminação de sistemas legados.
• Reforço legislativo para obrigar entidades públicas a padrões mínimos de segurança.
• Criação de um plano nacional de proteção de dados em saúde.

Conclusão: O incidente que expôs dados de mais de cem mil utentes do Serviço Nacional de Saúde não é um episódio isolado: é o sintoma de um sistema que necessita de reforma profunda.

A proteção dos dados de saúde — os mais sensíveis que o Estado administra — deve ser tratada como prioridade nacional.
Sem medidas estruturais, incidentes semelhantes não só poderão repetir‑se, como tenderão a aumentar em escala e gravidade.

  #SegurançaDigital #ProteçãoDeDados #CibersegurançaNacional #ServiçoNacionalDeSaúde #GovernançaDigital #ResponsabilidadePública #ConfiançaNasInstituições #ProteçãoDeDadosEmSaúde #ReformaEstrutural  #CyberLusa17