O clique que custou 872 milhões de dólares (e quase 200 milhões de vidas expostas)
Em 21 de fevereiro de 2024, um hospital não perdeu apenas dados. Perdeu a capacidade de emitir receitas, processar exames, autorizar cirurgias e cobrar planos de saúde, tudo de uma hora para outra, em todo um país.
O responsável foi o grupo de ransomware BlackCat/ALPHV, e o alvo foi a Change Healthcare, subsidiária da UnitedHealth Group. A empresa processa mais de 15 bilhões de transações por ano, cerca de um terço de todos os registros de pacientes dos Estados Unidos. Bastou a ausência de autenticação de dois fatores em um portal de acesso remoto para paralisar o atendimento de 131 milhões de pacientes e quase 67 mil farmácias. O senador americano Ron Wyden resumiu bem o episódio: esse ataque poderia ter sido evitado com segurança cibernética básica.
Por que hospitais viraramo alvo favorito dos cibercriminosos
Não é coincidência. Segundo o relatório Cost of a Data Breach 2024, da IBM em parceria com o Ponemon Institute, o setor de saúde é a indústria mais cara do mundo para se recuperar de uma violação de dados, e ocupa esse topo pelo 14º ano consecutivo. O custo médio de um vazamento na área da saúde foi de US$ 9,77 milhões em 2024, contra US$ 6,08 milhões no setor financeiro, o segundo colocado.
Os motivos são conhecidos por quem atua na linha de frente da cibersegurança. Prontuários eletrônicos concentram dados extremamente sensíveis, como histórico médico, informações genéticas e dados de convênio, que valem muito mais no mercado clandestino do que um simples número de cartão de crédito. Some a isso uma infraestrutura que costuma rodar sobre sistemas legados, dispositivos médicos conectados e integrações complexas entre prontuário eletrônico, laboratórios e faturamento, e você tem uma superfície de ataque enorme e difícil de blindar por completo.
Mas o principal motivo é outro: hospitais não podem simplesmente sair do ar para investigar um incidente com calma. Cada minuto de indisponibilidade tem impacto direto na vida de um paciente, o que torna a pressão para pagar um resgate muito maior do que em qualquer outro setor.
Quando o prejuízo passa de dinheiro e vira risco de vida
O caso da Change Healthcare acabou custando à UnitedHealth Group US$ 872 milhões só no primeiro trimestre de 2024, com valor acumulado de US$ 2,457 bilhões até o terceiro trimestre, mesmo após o pagamento de US$ 22 milhões em resgate. O pagamento, aliás, não resolveu nada: os dados roubados acabaram nas mãos de um segundo grupo criminoso, que abriu uma nova tentativa de extorsão em cima do mesmo material.
Do outro lado do Atlântico, a Irlanda viveu seu próprio pesadelo em maio de 2021, quando o grupo Conti derrubou toda a infraestrutura de TI do Health Service Executive, o sistema público de saúde do país. Hospitais voltaram a usar papel e caneta, consultas foram canceladas e a recuperação completa levou meses, com custo total estimado em torno de US$ 600 milhões.
Mas o dado mais alarmante de toda essa história não é financeiro, é clínico. Um estudo publicado na JAMA Network Open mostrou que, entre pacientes já internados no momento em que um ataque de ransomware começa, a mortalidade hospitalar aumenta entre 34% e 38%. Outra análise, baseada em dados do Medicare, estimou que a taxa de mortalidade em hospitais atacados subiu de cerca de 3 para 4 em cada 100 pacientes, o equivalente a dezenas de mortes adicionais evitáveis ao longo de poucos anos. O efeito nem fica restrito ao hospital atacado: a mesma pesquisa mostrou que hospitais vizinhos sentem o impacto na pele, com aumento de 15% na chegada de pacientes de emergência, 48% no tempo de espera, 81% em paradas cardíacas registradas e 75% em suspeitas de AVC.
Em resumo, um ataque cibernético a um hospital não pode mais ser tratado apenas como um incidente de TI. A literatura científica internacional já trata esses eventos como disrupções regionais, muito próximas do que se esperaria de um desastre natural.
O problema não é apenas detectar. É responder na velocidade necessária
A maioria das instituições de saúde já investe em ferramentas importantes de segurança, como EDR, SIEM, SOAR e feeds de threat intelligence. O desafio, na prática, raramente é ausência de tecnologia.
O problema costuma estar na fragmentação.
Muitas operações de SOC convivem com ferramentas desconectadas, excesso de alertas, baixo contexto investigativo, poucos analistas e tempo de resposta incompatível com a velocidade dos ataques modernos. Em ambientes hospitalares, essa lacuna pesa ainda mais, porque atraso de resposta pode significar indisponibilidade operacional em momentos críticos.
É nesse ponto que uma camada adicional de inteligência e orquestração passa a fazer diferença.
EvalMind Shield: segurança agêntica aplicada à operação real do SOC
O EvalMind Shield é uma plataforma brasileira de segurança agêntica desenhada para operações de SOC. No contexto de hospitais e instituições de saúde, onde tempo, contexto e rastreabilidade têm impacto direto na continuidade operacional, a proposta da plataforma é atuar sobre uma lacuna específica: transformar detecção dispersa em resposta coordenada.
A plataforma se integra ao stack de segurança já existente, como EDR, SIEM, SOAR e fontes de threat intelligence, sem exigir substituição das ferramentas atuais. Seu papel é adicionar uma camada operacional de correlação, priorização e resposta.
Essa atuação é estruturada em três frentes:
SYNC
O SYNC concentra a ingestão e o enriquecimento automatizado de dados. Ele consolida informações de múltiplas fontes e correlaciona eventos com contexto técnico e operacional, podendo apoiar investigações até a origem da mudança quando integrado ao ecossistema do cliente. Em ambientes complexos, isso reduz a visão fragmentada que normalmente dificulta investigações e retarda decisões.
FOCUS
O FOCUS atua na priorização contextual orientada por risco. Seu objetivo é reduzir ruído operacional e apoiar o time na distinção entre volume e criticidade. Isso ajuda a mitigar alert fatigue, reduzir falsos positivos e direcionar a capacidade analítica para aquilo que realmente representa maior impacto para a operação.
ACT
O ACT é a camada de resposta orquestrada, com abordagem alinhada a princípios de governança e Zero Trust. Ele permite automatizar ações com rastreabilidade, validação contínua e maior controle operacional. Dependendo da integração existente no ambiente, isso pode incluir desde enriquecimento automático e acionamento de fluxos de resposta até execução coordenada de playbooks, reduzindo o tempo entre detecção e ação.
Em saúde, velocidade com governança não é luxo
Em um ambiente hospitalar, a diferença entre detectar e agir rápido pode influenciar diretamente a continuidade do atendimento. Por isso, a discussão já não é apenas sobre ter mais ferramentas, mas sobre fazer com que o stack existente opere com mais contexto, menos ruído e maior capacidade de resposta.
É nessa lógica que plataformas de segurança agêntica ganham relevância: não como substitutas automáticas do que o cliente já possui, mas como uma camada de inteligência operacional capaz de integrar sinais, priorizar riscos e acelerar decisões com governança.
No setor de saúde, isso deixou de ser apenas uma discussão de eficiência do SOC. Cada vez mais, passa a ser também uma discussão de resiliência operacional.
Seu stack detecta. O EvalMind Shield ajuda a operar.
Se a sua instituição já investe em detecção, mas ainda enfrenta excesso de alertas, baixa correlação e demora na resposta, vale avaliar como uma camada de segurança agêntica pode fortalecer a operação sem substituir o stack atual.
Quer discutir esse cenário com o time da Eval? Entre em contato.
Referências
IBM Security & Ponemon Institute. Cost of a Data Breach Report 2024. IBM, 2024. Disponível em: https://www.ibm.com/think/insights/cost-of-a-data-breach-healthcare-industry
CBS News. UnitedHealth says Change Healthcare cyberattack cost it $872 million. Abril de 2024. Disponível em: https://www.cbsnews.com/news/unitedhealth-cyberattack-change-healthcare-hack-ransomware/
UnitedHealth Paid Hackers $22 Million, Fixes Will Soon Cost Billions. Abril de 2024. Disponível em: https://www.forbes.com/sites/noahbarsky/2024/04/30/unitedhealths-16-billion-tally-grossly-understates-cyberattack-cost/
Understanding the Change Healthcare Breach and Its Impact on Security Compliance. 2024. Disponível em: https://hyperproof.io/resource/understanding-the-change-healthcare-breach/
The Record (Recorded Future News). Ransomware attack has cost UnitedHealth $872 million; total expected to surpass $1 billion. Abril de 2024. Disponível em: https://therecord.media/ransomware-unitedhealth-costs-billions-still-climbing
HIPAA Journal. Nebraska AG’s Lawsuit Against Change Healthcare Survives Motion to Dismiss. 2025. Disponível em: https://www.hipaajournal.com/change-healthcare-responding-to-cyberattack/
Irish Ransomware Attack Recovery Cost Estimate: $600 million. Junho de 2021. Disponível em: https://www.bankinfosecurity.com/irish-ransomware-attack-recovery-cost-estimate-600-million-a-16931
Krebs on Security. Inside Ireland’s Public Healthcare Ransomware Scare. Dezembro de 2021. Disponível em: https://krebsonsecurity.com/2021/12/inside-irelands-public-healthcare-ransomware-scare/
Dameff, C. et al. Ransomware Attack Associated With Disruptions at Adjacent Emergency Departments in the US. JAMA Network Open, 2023;6(5):e2312270. Disponível em: https://jamanetwork.com/journals/jamanetworkopen/fullarticle/2804585
Security Scientist. Does Ransomware on Hospitals Actually Harm Patients?. Disponível em: https://www.securityscientist.net/blog/ransomware-kills-patients/
Healthcare Dive. Hospital emergency visits, inpatient admissions decrease after ransomware attack. Maio de 2024. Disponível em: https://www.healthcaredive.com/news/hospital-ransomware-attack-emergency-visits-inpatient-admissions-jama/717526/
