O Hospital for Sick Children, conhecido como SickKids, informou que dados pessoais de alguns funcionários atuais e ex-funcionários, além de candidatos a vagas, foram expostos em um incidente de cibersegurança. Segundo a instituição, a brecha teve origem em uma falha em um software de terceiros.
De acordo com o hospital pediátrico de Toronto, os sistemas clínicos e os registros de pacientes não foram afetados, mas o site público de Carreiras ficou temporariamente fora do ar.
O SickKids divulgou o caso nesta semana e afirmou que o incidente resultou em acesso não autorizado a dados de funcionários.
Em comunicado, o hospital atribuiu a exposição a uma vulnerabilidade em um aplicativo de terceiros que, segundo a instituição, é usado pelo SickKids e por outras organizações.
A descrição sugere a possibilidade de uma campanha mais ampla contra usuários do mesmo produto, embora o hospital não tenha informado o nome do fornecedor, do aplicativo ou da CVE envolvida.
O site externo de Carreiras foi afetado de forma temporária e, desde então, foi restaurado com segurança, segundo a nota.
Os sistemas clínicos e as informações dos pacientes não foram impactados, e o atendimento continuou normalmente, informou o SickKids.
Ao tomar conhecimento do incidente, o hospital iniciou uma investigação com apoio de especialistas externos em cibersegurança.
As apurações indicam que informações pessoais de funcionários atuais e ex-funcionários do SickKids, do Boomerang, uma clínica pediátrica pertencente ao hospital, e da SickKids Foundation, além de candidatos a vagas, podem ter sido expostas.
O hospital não informou quais categorias de dados foram envolvidas, quantas pessoas foram afetadas nem quando a intrusão ocorreu.
A análise do material impactado ainda está em andamento, e as pessoas confirmadas como afetadas serão notificadas diretamente.
Enquanto isso, o SickKids afirma ter alertado todos os possíveis envolvidos por excesso de cautela e oferece 24 meses de monitoramento de crédito e proteção de identidade gratuitos.
Portais de candidatura a vagas são alvos especialmente valiosos para ladrões de dados. Candidatos costumam fornecer nomes completos, endereços residenciais, números de telefone, históricos profissionais e, em algumas jurisdições, identificadores emitidos pelo governo. Essas informações são úteis tanto para fraude de identidade quanto para criar pretextos convincentes de engenharia social contra funcionários do hospital.
Este não é o primeiro incidente de segurança publicamente conhecido a atingir a instituição nos últimos anos.
Em dezembro de 2022, o SickKids foi alvo de um ataque de ransomware que interrompeu sistemas internos, linhas telefônicas do hospital e seu site, além de provocar atrasos em resultados de exames laboratoriais e de imagem.
Depois, o grupo de ransomware LockBit publicou um raro pedido público de desculpas, dizendo que o afiliado responsável havia violado suas regras contra a criptografia de instituições médicas, e entregou um decryptor gratuito, embora isso só tenha ocorrido depois de o hospital passar quase duas semanas restaurando os sistemas por conta própria.
Em setembro de 2023, o SickKids estava entre os prestadores de saúde de Ontário afetados por uma brecha em uma organização de terceiros com a qual compartilha dados perinatais e de saúde infantil. O incidente, decorrente da exploração em massa do zero-day do MOVEit Transfer, identificado como
CVE-2023-34362
, expôs informações de 3,4 milhões de pessoas, incluindo nomes, endereços residenciais, datas de nascimento e números do cartão de saúde.
A área da saúde continua entre os setores mais visados por grupos de ransomware e por organizações de extorsão de dados.
Hospitais pediátricos, em particular, concentram décadas de registros sensíveis, o que os mantém como alvos atraentes para atacantes, independentemente das linhas éticas que operações criminosas afirmem seguir.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...