Instituto que administra unidades de saúde em Araguaína é investigado por possível falha na proteção de dados de pacientes

ANPD apura ataque cibernético que pode ter afetado cerca de 500 mil registros; organização nega vazamento de informações

O Instituto Saúde e Cidadania (ISAC), responsável pela administração de unidades de saúde em Araguaína e em outros estados brasileiros, passou a ser investigado pela Agência Nacional de Proteção de Dados (ANPD) por supostas falhas na proteção de dados pessoais de pacientes após um ataque cibernético registrado em 2025.

O processo administrativo foi instaurado para apurar se a organização adotou medidas suficientes para proteger informações sensíveis de aproximadamente 500 mil pacientes atendidos em unidades sob sua gestão. Entre os registros potencialmente afetados estariam nomes, datas de nascimento, prontuários médicos, exames, diagnósticos e outros dados protegidos pela Lei Geral de Proteção de Dados (LGPD).

Segundo a ANPD, do total de registros envolvidos no incidente, cerca de 78 mil pertencem a crianças e adolescentes e quase 48 mil são de idosos.

Ataque do tipo ransomware motivou investigação

De acordo com a autoridade, o incidente ocorreu por meio de um ataque do tipo ransomware, modalidade em que criminosos bloqueiam sistemas e arquivos para exigir pagamento pelo restabelecimento do acesso.

A investigação aponta que tanto os sistemas principais quanto os backups armazenados em nuvem teriam sido comprometidos, provocando indisponibilidade temporária dos serviços.

Além disso, a ANPD identificou indícios de que o instituto não possuía mecanismos considerados essenciais de segurança, como registros automáticos de atividades (logs), fundamentais para rastrear acessos e identificar possíveis invasões.

Outro ponto analisado é a forma como o instituto comunicou o incidente aos titulares dos dados, o que também pode configurar descumprimento da LGPD.

ISAC terá prazo para apresentar defesa

Com a abertura do processo, o Instituto Saúde e Cidadania terá dez dias para apresentar defesa à ANPD.

Caso as irregularidades sejam confirmadas, as penalidades previstas vão desde advertência até multas de até 2% do faturamento da instituição, limitadas a R$ 50 milhões, além da possibilidade de restrições relacionadas ao tratamento de dados pessoais.

Instituto afirma que não houve vazamento de dados

Em nota, o ISAC informou que o ataque provocou apenas a indisponibilidade temporária dos sistemas e negou qualquer vazamento de informações dos pacientes.

Segundo a instituição, análises técnicas não identificaram evidências de extração ou divulgação indevida dos dados. O instituto também afirmou que restaurou os sistemas por meio de backups, sem perda de informações, comunicou espontaneamente o incidente à ANPD e reforçou seus mecanismos de segurança após o ocorrido.

Prefeitura de Araguaína diz que não foi notificada

No Tocantins, o ISAC administra quatro unidades de saúde em Araguaína, incluindo hospital, Unidade de Pronto Atendimento (UPA), ambulatório e pronto atendimento.

A Prefeitura de Araguaína informou que não foi oficialmente notificada sobre eventual vazamento de dados envolvendo pacientes atendidos nas unidades administradas pelo instituto.

O município destacou que, caso seja comprovado qualquer comprometimento das informações, adotará as medidas administrativas e legais cabíveis para apurar responsabilidades e garantir a proteção dos dados dos usuários do sistema de saúde.