Ransomware no Tsurugi Handa Hospital (2021) — uma VPN sem correção e backups criptografados junto com a produção

Analisamos um incidente real e público não como a repetição de uma notícia, mas a partir da pergunta “como você se defenderia disso?”. Este é um texto explicativo baseado em registros públicos (o relatório oficial da comissão de peritos e reportagens). As fontes estão listadas no final; não incluímos instruções de ataque nem detalhes que identifiquem pessoas. Os nomes de fornecedores e terceirizados não são o foco, por isso os descrevemos pelo papel que desempenham, sem citar nomes.

O que aconteceu (em termos simples)

Ransomware criptografa sistemas para torná-los inutilizáveis e exige pagamento para restaurá-los. A entrada aqui não foi um zero-day sofisticado. Em um dispositivo VPN que o hospital expunha à internet havia uma vulnerabilidade pública desde 2019 (CVE-2018-13379), ainda sem correção. Pior, essa falha já havia permitido o vazamento de credenciais, e o dispositivo do hospital estava na lista de credenciais vazadas. Uma vulnerabilidade pública sem correção por muito tempo somada a credenciais vazadas que nunca foram revogadas facilitou a entrada do atacante.

Uma vez dentro, o relatório explica por que o ataque se espalhou: senhas curtas, ausência de bloqueio de login e usuários com direitos de administrador. Depois que uma máquina foi comprometida, o ataque pôde se espalhar por todo o hospital com privilégios de administrador. E a pior parte: o sistema principal e seu backup estavam na mesma rede, e ambos foram criptografados. O backup que deveria existir foi criptografado junto com a produção e não pôde ser usado para a recuperação. O EMR ficou fora do ar, e o atendimento normal só foi retomado após cerca de dois meses.

Cada etapa do ataque e como interrompê-la

Esta também foi uma cadeia com um ponto de interrupção em cada etapa. Leia não como passos de ataque, mas como onde ela poderia ter sido quebrada.

Cronologia publicada

1. 2021-10-31

   No início da manhã, impressoras imprimiram notas de resgate; o EMR e os sistemas de faturamento ficaram fora do ar. Uma coletiva de imprensa foi realizada no mesmo dia.

2. 2021-11

   O atendimento continuou em papel. Tiveram início a investigação e o apoio à recuperação; relatou-se que a restauração dos dados era viável.

3. 2021-12

   A restauração dos dados do EMR foi confirmada; o trabalho de recuperação avançou por etapas.

4. 2022-01-04

   Os sistemas voltaram a funcionar e o atendimento normal foi retomado — cerca de dois meses após a infecção.

5. 2022-06

   A comissão de peritos publicou seu relatório de investigação, citando a via de entrada (uma vulnerabilidade de VPN sem correção), o desenho dos backups e a crença de que “uma rede fechada é segura”.

Causa raiz: não só o ponto de entrada, mas a falta de controles básicos

Atribuir o caso apenas a “a VPN do hospital foi invadida” deixa passar o essencial. Foi usada uma vulnerabilidade conhecida e pública, não um ataque novo e sofisticado. A entrada, a propagação e a falha na recuperação decorreram de fundamentos negligenciados: correções, credenciais e isolamento de backups. O relatório critica duramente a venda e a operação de um sistema muito vulnerável sem mantê-lo atualizado (não citamos o fornecedor). Mas o ponto que permanece é este: mesmo quando você terceiriza a operação, o risco continua sendo seu.

Evitando a repetição no seu ambiente

Isso se aplica bem além de hospitais, a qualquer organização com dispositivos expostos à internet e backups. Em ordem de prioridade:

Onde isso se relaciona com os princípios de design deste site

O ponto central é que fundamentos negligenciados, e não um ataque sofisticado, determinaram o dano: corrigir CVEs conhecidas, gerenciar credenciais adequadamente e isolar backups. Nada disso é novo ou difícil. Isso é o oposto dos princípios deste próprio site: corrigir vulnerabilidades conhecidas rapidamente, não reutilizar credenciais e manter uma configuração recuperável. Em particular, “temos um backup, mas ele está no mesmo lugar da produção” traz o mesmo perigo de uma única chave de API que alcança todos os conjuntos de dados. Corrija os dispositivos expostos à internet, gerencie credenciais com rigor e isole os backups e teste a recuperação. Essas são defesas que qualquer organização pode implementar, independentemente do porte ou do setor.

Fontes (registros públicos)

Os fatos aqui se baseiam nas informações públicas a seguir. Não incluímos instruções de ataque, detalhes que identifiquem pessoas nem nomes de fornecedores ou terceirizados — apenas as lições defensivas.

• Tsurugi Handa Hospital — “Expert Committee Investigation Report on the computer-virus infection incident” (publicado em 2022) — handa-hospital.jp
• Reportagens e análises (entrada por uma vulnerabilidade de VPN sem correção, CVE-2018-13379; backup na mesma rede; a crença de que “uma rede fechada é segura”; e a recuperação, 2021–2022) — com base no relatório oficial da comissão

Leia a seguir

• Hospitais em 2026: atendimento interrompido por ataques cibernéticos (EUA, Bélgica, Japão) e procedimentos de contingência
• Quando a VPN é a porta de entrada: dispositivos VPN são a maior porta de entrada — defesa do acesso remoto após a invasão à Digital Agency
• Glossário: o que é ransomware (como funciona e como evitar pagar) / o que é uma CVE (gestão de vulnerabilidades conhecidas)
• Prática: noções básicas de backup (a regra 3-2-1) / guia de correção de CVEs / a base de segurança organizacional
• Casos: ransomware em hospital de Osaka (2022) (VPN de um terceirizado e BCP médico) / ransomware na Capcom (2020) (um dispositivo VPN antigo foi a porta de entrada) / ransomware na KADOKAWA (2024) (segmentação insuficiente permitiu a propagação por toda a empresa)