Explicador da Rádio Observador, um hacker, um pirata informático pode ter se apoderado de credenciais de um médico e conseguiu, dessa forma, aceder a dados administrativos e clínicos de utentes do Serviço Nacional de Saúde, segundo avança hoje o jornal "Expresso". As autoridades estarão também, segundo aquele jornal, a seguir pistas de ataque informático. O alerta surgiu quando vários pais perceberam que havia acessos aos dados dos filhos, o que fez soar os alarmes, e que poderão ter sido usadas credenciais de um médico que saiu da ULS de Miranda do Corvo há oito anos. Ora, quando os médicos mudam, por exemplo, de ULS, mudam as credenciais de acesso. Aparentemente, a avaliar pelo que sabemos, as antigas não foram canceladas como devia acontecer e terão sido agora usadas para acesso indevido a dados que, como se compreende, são muito sensíveis. Eu sou o Ricardo Conceição e comigo está a Judite França.

E o nosso convidado, Rodrigo Adão da Fonseca, especialista em cibersegurança. Bem-vindo, obrigada por estar conosco. Faz sentido esta hipótese, credenciais que deviam ter sido anuladas e não foram, e a intrusão ser possível por aí?

Certo. Boa tarde. Obrigado pelo convite para falar sobre um tema que é realmente muito importante. Ou seja, infelizmente, há muitas situações onde credenciais antigas não são canceladas por quem deveria cancelá-las. No caso concreto das credenciais no Serviço Nacional de Saúde, convém recordar que a primeira coima aplicada pela CNPD após a entrada em vigor do RGPD visou precisamente o Hospital do Barreiro por uma situação semelhante. Não só de cancelamento de credenciais, mas de falta de segregação de acessos, onde se descobriu que, entre outras coisas, havia médicos que saíam e profissionais de saúde que saíam do Hospital do Barreiro e as suas credenciais permaneciam ativas. Não é sequer uma situação perfeitamente nova. Portanto, sim, em tese, estamos a falar em tese. Infelizmente, há várias situações de não cancelamento de acessos quando as pessoas abandonam as suas posições ou responsabilidades ou são movidas. E é perfeitamente possível que essas credenciais tenham sido capturadas, algo que poderia acontecer com um profissional no ativo, ou seja, está no ativo, digamos assim, mas ambas as teses são possíveis e bastante prováveis.

Rodrigo Adão da Fonseca, este médico terá saído da ULS de Miranda do Corvo há oito anos. Este processo de cancelamento das credenciais já poderia ou deveria ser, nessa altura, automático, ou isto ainda obriga a que venha alguém à mão cancelar aquelas credenciais?

Há vários processos. Há sempre uma componente humana que é fundamental, que a pessoa sai e alguém tem de fazer esse cancelamento. Isso pode ser acionado pelo próprio, por uns recursos humanos, não conheço a estrutura da ULS. É um processo simples, que acontece todos os dias nas organizações e sem dificuldade nenhuma. Muita gente costuma criticar a burocracia. A burocracia é ótima. A existência de um processo previsível, sempre idêntico e que possa ser divulgado em larga escala, é fundamental nestas coisas. Se não houvesse esse processo, se esse processo não estiver previsto, é muito provável que as coisas depois não aconteçam. Outra coisa é que poderá haver um processo que não está suficientemente socializado e que, portanto, estas coisas acabam por acontecer. Agora, também digo que com oito anos, há aqui uma segunda falha, que é a revisão de credenciais não ativas. O que eu quero dizer com isto? Qualquer responsável que tiver segurança, além de ter o cancelamento, deve regularmente olhar para a lista de credenciais e para a sua atividade. E credenciais como estas, provavelmente, tiveram um período de inatividade muito grande que não foi sinalizado. Há uma dupla falha, não só no momento da saída, mas também no processo de revisão periódica das credenciais e da sua atividade, que permite perfeitamente identificar estas situações. Claramente, o que se verifica aqui é que parece haver uma falta de burocracia, o que não deixa de ser irônico, como está.

Sabemos que não há sistemas 100% seguros, mas estamos a falar de dados do Serviço Nacional de Saúde. Que confiança é que podemos ter no sistema?

Não há falhas. Não há sistemas sem falhas. Isso parece-me evidente e há coisas que correram bem neste processo. Uma delas é que os pais souberam, por uma funcionalidade que existe no sistema, de que quando o sistema dos seus filhos é acedido, eles são notificados.

Por regra, recebemos um e-mail a dizer que a pessoa tal acedeu aos dados.

Exatamente. Isto aconteceu aqui, de outra forma não se teria sabido, se calhar. E se calhar, isto foi ótimo para se saber em tempo e para se poder mitigar muitos dos danos potenciais que podem estar associados a este tipo de intrusão. Nem tudo é mau. Houve aqui essa cautela adicional, que é um desenvolvimento muito interessante. Permitiu não só o alerta social, como a intervenção, provavelmente ao nível do Ministério da SaúdeE também da Polícia Judiciária. Portanto, nem tudo é mau. É o novo normal, ou seja, nós todos os dias tratamos milhões de dados, temos nós próprios centenas de operações que ocorrem à volta da nossa própria pessoa, e por vezes o sistema falha. Claro que não é interessante que falhe numa coisa tão sensível como os nossos dados de saúde. Isso merece particular atenção de todos. Desde o alerta social, que eu acho que é fundamental neste caso, até à pressão sobre as autoridades, até à investigação policial. Agora, não há sistemas sem falhas e claramente este é um sistema que falhou. O que me parece é que falhar pelas razões que parece que falharam, é que parece muito pouco interessante em 2026.

É amador.

Eu não sei se é amador, porque talvez não seja essa a palavra certa, mas é particularmente grave do ponto de vista da due diligence, da responsabilidade, que este tipo de situações ocorram neste tipo de entidades. Eu não vejo como é que é possível que credenciais com oito anos permaneçam, não só por cancelar pelos próprios, como permaneçam adormecidas sem essa limpeza. É uma coisa que me faz alguma espécie a mim e a qualquer pessoa que trabalhe nesta área. Erros há sempre, dificuldades há sempre, coisas que muitas vezes são difíceis de resolver nas organizações também. Eu trabalho com muitas organizações de vária matiz e há muitas dificuldades. Todos sofremos e vivemos num ambiente de muita fragilidade. Eu acho que uma das coisas que quem trabalha em cibersegurança tem, é que ter uma grande humildade e uma grande sensibilidade para o risco.

Deixe-me só perguntar, lhe faz sentido não haver uma segunda autenticação quando se está a tratar de dados tão importantes?

Tem que haver uma segunda autenticação. Agora, aqui neste caso, sendo uma credencial tão antiga, provavelmente mesmo que haja autenticação já para os novos, e é uma coisa que eu admito que já exista, ela tem que ter sido assinada. E, portanto, nunca ninguém que tenha uma conta inativa há oito anos teria o MFA ativo. Porque isto é algo que implica um envolvimento ativo da própria pessoa. E isso a ter ocorrido, eu não sei, nem quero pensar que as contas dos médicos no Serviço Nacional de Saúde não têm MFA em 2026.

O que é isso, Rodrigo? Já agora, porque nem todos estamos familiarizados com esse tipo de siglas.

É um duplo fator de autenticação. É como se eu tivesse uma porta que tem uma dupla fechadura. Eu tenho uma primeira fechadura que abre com uma chave e depois tenho uma segunda fechadura que abre com outra chave, que pode ser um código, pode ser biometria. Todos nós sentimos isso quando acedemos às aplicações bancárias, que é vista a nossa íris, é vista eventualmente a nossa impressão digital, ou recebemos um código por SMS ou por e-mail, ou até numa aplicação que temos no telemóvel em que vamos buscar um código. Temos assim uma segunda camada de segurança que por não ser remota, por estar associada à pessoa que nós somos, digamos assim, é mais difícil de capturar por um hacker.

Rodrigo Adão da Fonseca, só uma última pergunta complicada para uma resposta que se pede breve: o Estado tem capacidade e conhecimento para garantir a segurança dos nossos dados?

Sim, há muitos polos de competência no Estado. Outra coisa é que o Estado é muito grande e como todas as organizações, terá também as suas vulnerabilidades e as suas falhas. Mas não podemos pegar na árvore e fazer disto a floresta. Existem muitas organizações que estão a funcionar tão bem ou melhor que muitos privados. Neste aspeto, o mal é distribuído pelas aldeias e as virtudes também.

Obrigado, Rodrigo. Rodrigo Adão da Fonseca, especialista em cibersegurança.