Acompanhe toda a atualidade informativa em 24noticias.sapo.pt

A associação CpC — Cidadãos pela Cibersegurança denunciou esta sexta-feira um alegado incidente de segurança envolvendo o acesso indevido a fichas clínicas de menores através do portal SNS24 e do Registo de Saúde Electrónico (RSE).
Segundo a organização, os primeiros alertas começaram a circular na madrugada de quinta-feira, 21 de maio, em grupos privados de WhatsApp de pais e encarregados de educação.

De acordo com os elementos reunidos até ao momento, terão sido utilizadas credenciais profissionais associadas a um médico, anteriormente ligado ao Centro de Saúde de Miranda do Corvo, para consultar um número ainda indeterminado, mas potencialmente elevado, de processos clínicos de crianças entre os quatro e os cinco anos de idade.

Os acessos terão incidido sobretudo sobre menores das regiões Centro e Norte, incluindo os distritos de Braga e Porto, sem que existisse qualquer relação clínica ou terapêutica que justificasse essas consultas. A CpC sublinha que os adultos pertencentes aos mesmos agregados familiares não registaram acessos semelhantes, o que poderá indicar uma seleção deliberada por faixa etária.

O Centro de Saúde de Miranda do Corvo confirmou entretanto que o médico cujas credenciais foram utilizadas já não exerce funções naquela unidade “há vários anos”, mas que os acessos ao sistema nunca chegaram a ser revogados.

Segundo informações avançadas pelo Expresso e pelo Correio da Manhã, as autoridades estarão a investigar a hipótese de roubo de credenciais através de phishing, não estando em causa, para já, uma atuação voluntária do médico.

A Ordem dos Médicos confirmou ter recebido várias queixas relacionadas com o caso. Já a Polícia Judiciária admitiu estar a avaliar a situação e a apurar se existem investigações formais em curso.
A SPMS — Serviços Partilhados do Ministério da Saúde — recusou comentar directamente o incidente, limitando-se a afirmar que “a protecção dos acessos digitais depende muito da adopção de boas práticas de cibersegurança por parte de todos os utilizadores”.
Entretanto, o portal mySNS encontrava-se inacessível no momento da divulgação do documento da CpC.

Na análise jurídica divulgada, a CpC considera que os dados clínicos em causa são “dados de categoria especial” ao abrigo do Regulamento Geral sobre a Protecção de Dados (RGPD), estando sujeitos a obrigações reforçadas de segurança.
A organização identifica quatro falhas principais no sistema.
A primeira diz respeito à ausência de autenticação multifactor obrigatória para profissionais de saúde com acesso ao RSE. Segundo a associação, a SPMS promovia apenas a utilização de MFA como “boa prática recomendada”, sem carácter obrigatório.

“A MFA deve ser tecnicamente imposta, não sugerida”, defende a CpC, recordando que a Segurança Social tornou obrigatória a autenticação de dois factores apenas dez dias antes deste incidente.
A segunda falha apontada prende-se com a manutenção de credenciais activas de ex-profissionais, considerada uma violação elementar das boas práticas de gestão de acessos.

A terceira refere-se à inexistência de mecanismos automáticos capazes de detectar padrões anómalos de consulta de processos clínicos, nomeadamente acessos massivos a crianças sem ligação à unidade de saúde do profissional autenticado.
Por fim, a associação critica a ausência de comunicação institucional estruturada, considerando que a informação chegou primeiro aos cidadãos através das redes sociais e não por comunicação oficial da SPMS, Ministério da Saúde ou Comissão Nacional de Protecção de Dados (CNPD).

A organização considera que poderão estar em causa incumprimentos dos artigos 33.º e 34.º do RGPD, que obrigam à notificação da autoridade de controlo no prazo de 72 horas após o conhecimento de uma violação de dados pessoais e à comunicação directa aos titulares afectados sempre que exista elevado risco para os seus direitos.

A CpC afirma não ter confirmação de que a SPMS tenha já comunicado formalmente o incidente à CNPD. No documento agora divulgado, a associação pede à Comissão Nacional de Protecção de Dados que confirme se recebeu a notificação obrigatória e que abra um inquérito caso isso não tenha acontecido.
Além disso, solicita que a CNPD avalie a conformidade da ausência de MFA obrigatória e da manutenção de credenciais activas de antigos profissionais de saúde com as exigências do RGPD.

Perante o incidente, a CpC recomenda a todos os pais e encarregados de educação que verifiquem o histórico de acessos aos processos clínicos através da Área Pessoal do SNS, utilizando Chave Móvel Digital ou Cartão de Cidadão.
A associação aconselha ainda a activação de notificações por email sempre que um profissional de saúde consulte dados clínicos no portal SNS24.

Quem detetar acessos indevidos deverá guardar provas, incluindo capturas de ecrã com data e hora, e apresentar queixa junto da Polícia Judiciária e da CNPD.
A organização deixa também um apelo para que o nome do médico associado às credenciais não seja difundido nas redes sociais enquanto não for esclarecido se o próprio foi igualmente vítima do ataque.

Entre as medidas imediatas exigidas pela CpC ao Ministério da Saúde e à SPMS estão a revogação urgente de credenciais de profissionais que já não exercem funções no SNS, a implementação obrigatória de autenticação multifactor para todos os profissionais com acesso ao RSE,  a criação de sistemas automáticos de detecção de acessos anómalos e a publicação de um relatório público detalhado sobre o incidente.

A associação afirma que irá remeter formalmente o documento à CNPD, ao Ministério da Saúde, à SPMS e à Ordem dos Médicos, reservando-se o direito de actualizar a informação à medida que novos factos sejam conhecidos.

___

A sua newsletter de sempre, agora ainda mais útil

Com o lançamento da nova marca de informação 24notícias, estamos a mudar a plataforma de newsletters, aproveitando para reforçar a informação que os leitores mais valorizam: a que lhes é útil, ajuda a tomar decisões e a entender o mundo.

Assine a nova newsletter do 24notícias aqui.