Analisamos um incidente real e público não como uma reprodução de notícia, mas a partir da pergunta "como você se defenderia disto?". Este é um texto explicativo baseado em registros públicos (o relatório oficial do comitê de investigação e a imprensa). As fontes estão listadas no final; não incluímos instruções de ataque nem dados pessoais identificáveis. Nomes de terceirizados e fornecedores não são o foco, por isso os descrevemos pela função, sem citar nomes.
- Alvo
- Osaka General Medical Center (Osaka Prefectural Hospital Organization). Sistemas do hospital, incluindo o EMR
- Detecção
- Madrugada de 31 de outubro de 2022 (falha no sistema da terceirizada, seguida da falha do EMR do hospital)
- Entrada (segundo o relatório)
- Um dispositivo VPN de manutenção remota no servidor da empresa de serviço de refeições, sem atualização e acessível com credenciais vazadas. Como hospital e terceirizada estavam conectados o tempo todo, os atacantes chegaram ao hospital por meio da terceirizada
- Por que se espalhou (segundo o relatório)
- Senhas compartilhadas entre servidores e PCs, direitos de administrador amplos, ausência de antivírus nos servidores EMR, segmentação fraca e a crença de que a “rede fechada é segura”
- Impacto
- EMR fora do ar; atendimento ambulatorial, cirurgias programadas e admissão de emergência restringidos. A recuperação completa levou mais de dois meses. Segundo informações, o hospital não pagou o resgate
- Principais correções
- Mapear as conexões de terceirizados e atualizar as VPNs expostas à internet / acabar com o reaproveitamento de credenciais e usar privilégio mínimo / segmentar / EDR e monitoramento / BCP médico (procedimento em papel, backups offline, recuperação ensaiada)
O que aconteceu (em termos simples)
Ransomware criptografa sistemas para torná-los inutilizáveis e exige pagamento para restaurá-los. Neste caso, o primeiro ponto violado não foi o próprio hospital, mas a conexão de uma terceirizada. No servidor da empresa que fornecia as refeições dos pacientes havia um dispositivo VPN para manutenção remota. Segundo o relatório do comitê, esse dispositivo não havia sido atualizado e podia ser acessado com credenciais vazadas anteriormente.
O EMR do hospital e o sistema da terceirizada estavam conectados o tempo todo para trocar dados, como a contagem de refeições. Assim, se a terceirizada fosse invadida, o atacante podia alcançar o interior do hospital. A fraqueza da terceirizada era a fraqueza do hospital. Uma vez lá dentro, o relatório explica por que o dano se espalhou por todo o EMR: as credenciais de login eram compartilhadas, muitos usuários tinham direitos de administrador, os servidores críticos não tinham antivírus e a rede não estava adequadamente segmentada. Depois que os atacantes entraram em um ponto, pouca coisa impediu a propagação, e a criptografia se espalhou rapidamente. O atendimento ambulatorial parou, cirurgias programadas foram canceladas, a admissão de emergência foi restringida e a recuperação completa do EMR levou mais de dois meses.
“Rede fechada é segura” é uma crença falsa; a conexão de um terceirizado faz parte da sua superfície de ataque
Uma constatação central foi a crença de que uma rede isolada do exterior é intrinsecamente segura. Na realidade, sempre existem conexões da rede fechada com o exterior: VPNs de manutenção, vínculos constantes com terceirizados, suporte remoto. Mesmo com apenas uma dessas conexões e sem segmentação interna, um atacante que entra uma vez pode alcançar tudo. A conexão de um terceirizado ou de um prestador de manutenção pode, no papel, pertencer a outra empresa, mas em termos de segurança ela faz parte da sua superfície de ataque e deve ser inventariada como tal.
Cada etapa do ataque e como interrompê-la
Também aqui a cadeia tinha um ponto de parada em cada etapa. Leia não como passos de ataque, mas como onde ela poderia ter sido quebrada.
① Entrada pela VPN de manutenção sem atualização do terceirizado + credenciais vazadas
Uma VPN de manutenção exposta à internet não foi atualizada e podia ser acessada com credenciais vazadas anteriormente.
⊘ Parar: atualizar rapidamente as VPNs expostas à internet; mapear as conexões de terceirizados; MFA; revogar credenciais vazadas
② Hospital e terceirizado conectados o tempo todo → acesso à rede interna
Um vínculo constante para dados de refeições significava que uma invasão na terceirizada alcançava o interior do hospital.
⊘ Parar: isolar o vínculo com o terceirizado em um segmento próprio; minimizar o tráfego entre segmentos; monitorar a fronteira
③ Senhas compartilhadas, admin geral, segmentação fraca → propagação para todos os servidores
Credenciais compartilhadas e direitos amplos permitiram que a criptografia chegasse rapidamente aos servidores EMR.
⊘ Parar: acabar com o reaproveitamento de credenciais; privilégio mínimo; segmentar a rede; monitoramento de login e bloqueio
④ Antivírus/EDR fraco e preparação de recuperação insuficiente → EMR parado por muito tempo
Os servidores críticos tinham defesas limitadas, e a recuperação levou tempo, de modo que o atendimento ficou restringido por semanas.
⊘ Parar: EDR/antivírus; backups offline e recuperação ensaiada; BCP médico (procedimento em papel)
Linha do tempo divulgada
2022-10-31
Falha no sistema da terceirizada na madrugada, seguida da falha do EMR do hospital. Confirmado como ransomware; os sistemas foram desligados para conter a propagação.2022-11
O atendimento ambulatorial foi praticamente interrompido, cirurgias programadas foram canceladas e a admissão de emergência ficou restrita a casos graves. O atendimento continuou em papel.2022-12
Os sistemas centrais foram reiniciados em etapas; o atendimento ambulatorial foi retomado progressivamente.2023-01-11
Os sistemas, incluindo o EMR, foram em grande parte totalmente restaurados — mais de dois meses até a recuperação completa.2023-03-28
O comitê de investigação do incidente de segurança da informação publicou seu relatório, citando o caminho de entrada, os fatores que permitiram a propagação e a crença de que “rede fechada é segura”.
Causa raiz: não apenas o ponto de entrada, mas a supervisão de terceirizados e a forma como o dano se espalhou
Atribuir o caso apenas a “a VPN do hospital foi atingida” não capta o essencial. Os atacantes entraram pela terceirizada, mas o que espalhou o dano por todo o EMR foi a configuração interna: credenciais compartilhadas, direitos excessivos e segmentação fraca. A pergunta real é se os danos poderiam ter sido contidos depois que alguém entrou.
Fraquezas identificadas no relatório (na época)
- Entrada pela VPN de manutenção sem atualização do terceirizado + credenciais vazadas
- Hospital e terceirizada conectados o tempo todo, de modo que a fraqueza da terceirizada alcançou o interior
- Senhas compartilhadas em servidores e PCs e direitos de administrador amplos para usuários
- Ausência de antivírus nos servidores EMR críticos; segmentação fraca
- A crença de que a “rede fechada é segura”, que enfraqueceu as defesas
Uma configuração defendida (prevenção)
- Inventariar as conexões de terceirizados; atualizar rapidamente as VPNs expostas à internet; MFA
- Segmentar a conexão com o terceirizado e minimizar seu tráfego
- Acabar com o reaproveitamento de credenciais; privilégio mínimo; monitoramento de login e bloqueio
- EDR/antivírus nos servidores críticos; segmentação de rede
- BCP médico: procedimentos de contingência em papel, backups offline e recuperação ensaiada
BCP médico: mesmo se os sistemas pararem, o atendimento deve continuar
Para uma empresa comum, “serviço fora do ar” pode ser o fim da questão; para um hospital, a questão é a continuidade do cuidado. Por isso, um BCP médico precisa supor que o EMR ficará fora do ar por muito tempo e preparar, em períodos normais, procedimentos de contingência em papel para continuar tratando pacientes, fluxos alternativos para exames, medicação e faturamento, além de backups offline/versionados e recuperação ensaiada. Pagar o resgate não garante nem a recuperação nem que os dados não serão vazados. Conte com segmentação, backups e BCP preparados com antecedência. (Relacionados: o incidente da Capcom, em que uma VPN/dispositivo de rede antigo foi a porta de entrada; e o incidente da KADOKAWA, em que a segmentação fraca espalhou o dano por toda a empresa.)
Evitando a repetição no seu ambiente
Isto se aplica bem além dos hospitais, a qualquer organização com conexões de terceirizados ou de manutenção. Em ordem de prioridade:
Inventarie as conexões de terceirizados e de manutenção como sua própria superfície de ataque
Mapeie quem, qual dispositivo e qual caminho se conecta a você. Mantenha os dispositivos VPN expostos à internet atualizados como prioridade máxima e feche as conexões que você não usa. Exija o mesmo padrão de atualização e autenticação dos terceirizados, no contrato e na prática.
Acabe com o reaproveitamento de credenciais; adote privilégio mínimo
Aposente as senhas compartilhadas em servidores e PCs, separe as contas e retire os direitos de administrador generalizados em nome do privilégio mínimo. Aplique autenticação multifator onde for possível, adicione bloqueio e monitoramento de login e revogue as credenciais vazadas.
Segmente a rede por importância
Coloque as conexões de terceirizados, o EMR e os sistemas administrativos em segmentos separados e minimize o tráfego entre segmentos. Uma rede fechada não é automaticamente segura, por isso segmente também dentro da rede fechada. Inclua isso na sua linha de base de segurança organizacional.
Proteja os servidores críticos e monte o BCP médico e a recuperação
Instale EDR/antivírus em servidores críticos como o EMR. Decida, em períodos normais, como continuar atendendo pacientes e operando se os sistemas centrais ficarem parados por muito tempo — com procedimentos em papel, backups offline e recuperação ensaiada. Prepare-se como se o pagamento não fosse restaurar nada.
Onde isso se relaciona aos princípios de design deste site
A conclusão é que sua defesa não termina na sua própria organização: a conexão de um terceirizado ou de manutenção passa a fazer parte da sua superfície de ataque. Isso é o oposto dos princípios deste próprio site: limitar até onde o dano pode se espalhar se uma parte for violada, isolar o que é importante e manter conexões e privilégios no mínimo. “Rede fechada é segura” traz o mesmo perigo de uma senha compartilhada alcançando todos os servidores, ou de um ponto único de falha. Inventarie o que se conecta a você, acabe com o reaproveitamento, segmente por importância e prepare-se para continuar funcionando quando as coisas param. São defesas que qualquer organização pode implementar, independentemente do porte ou do setor.
Fontes (registros públicos)
Os fatos aqui se baseiam nas informações públicas abaixo. Não incluímos instruções de ataque, dados pessoais identificáveis nem nomes de terceirizados ou fornecedores — apenas as lições defensivas.
- Osaka Prefectural Hospital Organization, Osaka General Medical Center — “Information Security Incident Investigation Committee Report” (publicado em 28 de março de 2023) — gh.opho.jp
- Imprensa (entrada pela VPN de manutenção do terceirizado, senhas compartilhadas, a crença de que a “rede fechada é segura” e a recuperação, 2022–2023) — com base no relatório oficial do comitê
Leia a seguir
- Hospitais em 2026: atendimento interrompido por ataques cibernéticos (EUA, Bélgica, Japão) e procedimentos de contingência
- Quando a VPN é a porta de entrada: dispositivos VPN são a maior porta de entrada — defesa do acesso remoto após a violação na Agência Digital
- Glossário: o que é ransomware (como funciona e como evitar pagar) / o que é EDR (detecção em endpoints e servidores)
- Prática: noções básicas de backup (a regra 3-2-1) / a linha de base de segurança organizacional (segmentação, privilégio mínimo)
- Casos: ransomware no Handa Hospital (2021) (uma CVE de VPN sem atualização e isolamento de backups) / ransomware na KADOKAWA (2024) (segmentação fraca espalhou o ataque por toda a empresa) / ransomware na Capcom (2020) (um dispositivo VPN antigo foi a porta de entrada) / cadeia de suprimentos Codecov (2021) (abuso de um caminho confiável)