Na primavera de 2025, um novo incidente de segurança dominou as manchetes na Alemanha: a Prontidão Eletrónica do Paciente (ePA), um elemento central da digitalização no setor da saúde, voltou a ser alvo de ataques informáticos. Este incidente lança luz sobre os problemas massivos que acompanham a introdução generalizada da ePA e levanta a questão de quão seguros estão realmente os dados de saúde sensíveis de milhões de cidadãos.
A Prontidão Eletrónica do Paciente: Um projeto ambicioso
A ePA foi introduzida como um marco na digitalização da saúde no âmbito da Lei de Digitalização (DigiG). Desde 29 de abril de 2025, está disponível a nível nacional para cerca de 73 milhões de segurados legalmente, após a conclusão de uma fase piloto em regiões modelo como Hamburgo, Francónia e partes da Renânia do Norte-Vestfália. O objetivo da ePA é armazenar centralmente e digitalmente dados de saúde como cartas médicas, resultados de laboratório, planos de medicação e radiografias. Os segurados podem aceder aos seus dados através de uma aplicação da sua caixa de seguro de saúde, gerir os direitos de acesso e introduzir documentos. Médicos, hospitais e farmácias devem assim ter acesso mais rápido a informações relevantes para tornar o atendimento mais eficiente e seguro.
A utilização da ePA é voluntária, mas baseia-se num princípio de exclusão (opt-out): quem não se opuser, receberá automaticamente uma pasta. Isto levou a que cerca de 95% dos segurados utilizassem a ePA – um sucesso para a estratégia de digitalização do Ministério Federal da Saúde, mas também uma enorme responsabilidade para proteger os dados sensíveis.
O ataque informático: Um golpe direcionado contra a infraestrutura telemática
Já antes da introdução generalizada da ePA, o Chaos Computer Club (CCC) alertou em dezembro de 2024 para graves falhas de segurança. Investigadores de segurança demonstraram como, com um esforço relativamente pequeno, conseguiam aceder a dados de pacientes, por exemplo, através de cartões de saúde falsificados ou cartões de consultório comprometidos. Embora estas vulnerabilidades tenham sido abordadas antes do início da fase piloto em janeiro de 2025, em abril de 2025 o CCC voltou a dar o alarme: apesar das medidas de proteção adicionais, os hackers continuaram a conseguir consultar dados sensíveis isolados.
O incidente mais recente mostrou que os atacantes exploraram uma vulnerabilidade nas chamadas declarações de substituição eletrónicas (eEB). Estas permitem que os médicos acedam a dados de pacientes mesmo sem o cartão de saúde físico, por exemplo, se um segurado se esquecer do seu cartão. Investigadores de segurança demonstraram que os contextos de tratamento podiam ser falsificados através desta interface, o que deu aos potenciais atacantes acesso a pastas de pacientes individuais. Particularmente explosivo: tais ataques não requeriam acesso físico a um cartão de saúde e podiam ser parcialmente realizados à distância.
Embora não tenha sido comprovada uma fuga de dados generalizada, o risco é considerável. Um único acesso comprometido a um consultório poderia, teoricamente, permitir o acesso a até 1.500 registos de pacientes. Numa época em que o cibercrime se torna cada vez mais sofisticado, tais vulnerabilidades são um prato cheio para grupos organizados de hackers ou mesmo para atores estatais.
Vulnerabilidades em foco: Falhas técnicas e organizacionais
As falhas de segurança da ePA são multifacetadas. Tecnicamente, a ePA baseia-se na infraestrutura telemática (TI), uma rede complexa que liga médicos, hospitais, farmácias e seguradoras de saúde. Esta infraestrutura é altamente encriptada, mas as vulnerabilidades residem frequentemente nas interfaces, como na autenticação. A simples solicitação de cartões de saúde – em alguns casos com uma única chamada telefónica – e a verificação inadequada das identificações dos consultórios tornam o sistema vulnerável. Além disso, a versão atual da ePA nos consultórios médicos não exige a introdução de um PIN, o que facilita o acesso assim que o cartão está em posse.
Organizacionalmente, também existem deficiências. A gematik, a agência responsável pelo desenvolvimento e operação da ePA, foi criticada pela sua resposta aos alertas de segurança. Em vez de corrigir as vulnerabilidades de forma abrangente, os ataques foram inicialmente classificados como tecnicamente possíveis, mas praticamente improváveis. Esta atitude foi descrita por especialistas em TI como "ilusão política", pois subestimou a ameaça representada por cibercriminosos profissionais. Além disso, falta uma revisão independente da arquitetura de segurança, como exigido pelo CCC.
Outro problema é a heterogeneidade dos sistemas de TI em consultórios médicos e hospitais. Muitas instalações utilizam software desatualizado ou redes mal protegidas, o que põe em risco toda a infraestrutura. A introdução generalizada da ePA pressupõe que todos os envolvidos estejam atualizados com a tecnologia mais recente – um desafio que, dada a subfinanciação crónica do sistema de saúde, é quase impossível de superar.
Reações: Entre a tranquilização e as medidas de emergência
A gematik reagiu ao incidente mais recente com uma medida de emergência: a interface afetada para certificados de substituição foi temporariamente restringida e foram introduzidas encriptações adicionais e mecanismos de monitorização. No entanto, a crítica persiste de que as falhas fundamentais não foram corrigidas. O Ministério Federal da Saúde e a gematik enfatizam que a ePA é segura e que os dados estão protegidos por encriptação de ponta a ponta. Estas declarações, no entanto, são recebidas com ceticismo, uma vez que as repetidas falhas de segurança minam a confiança do público.
Protetores de pacientes e especialistas em proteção de dados exigem uma comunicação mais transparente e um adiamento da utilização obrigatória para prestadores de serviços, planeada para outubro de 2025. Argumentam que a ePA só poderá ser aceite se a sua segurança for inequivocamente garantida. A Associação Federal de Centros de Consumidores salientou que a segurança absoluta online é ilusória, mas defendeu uma melhoria significativa das medidas de proteção.
Consequências: Um ato de equilíbrio entre progresso e segurança
O ataque informático à ePA tem implicações de longo alcance. A curto prazo, a aceitação do sistema está em jogo. Se os segurados e os médicos perderem a confiança na segurança da ePA, o projeto corre o risco de falhar – apesar das suas vantagens inegáveis, como a prevenção de exames duplicados ou a melhor deteção de interações medicamentosas. A longo prazo, o incidente poderá afetar toda a estratégia de digitalização no setor da saúde, uma vez que evidencia as dificuldades na proteção de sistemas de TI complexos.
Para os políticos, a questão é como lidar com as preocupações de segurança. Um adiamento da utilização obrigatória ou uma revisão abrangente do sistema seriam opções possíveis, mas exigiriam tempo e recursos. Ao mesmo tempo, aumenta a pressão para tornar os dados de saúde utilizáveis para fins de investigação – um objetivo que não pode ser alcançado sem uma infraestrutura segura.
Uma perspetiva para o futuro: Como pode a ePA tornar-se mais segura?
Para tornar a ePA à prova de futuro, são necessárias várias medidas. Em primeiro lugar, a autenticação deve ser reforçada, por exemplo, através da autenticação obrigatória de dois fatores para todos os acessos. Em segundo lugar, os sistemas de TI em consultórios e hospitais devem ser modernizados a nível nacional e verificados regularmente quanto a vulnerabilidades. Em terceiro lugar, uma auditoria de segurança independente por especialistas externos é essencial para restabelecer a confiança do público.
Além disso, os cidadãos poderiam ser mais envolvidos nos processos de segurança, por exemplo, através de formação sobre a utilização segura da aplicação ePA ou informações mais claras sobre as opções de oposição. Finalmente, a gematik deve melhorar a sua comunicação e abordar proativamente os incidentes de segurança, em vez de os minimizar.
Ciberdefesa como chave para a segurança
Os incidentes recentes demonstram a importância de soluções profissionais de ciberdefesa para a proteção de infraestruturas críticas. Empresas como labnews.ai/ oferecem aqui propostas personalizadas, especificamente adaptadas às necessidades do setor da saúde. Desde testes de penetração e análises de vulnerabilidade a conceitos de segurança abrangentes, a labnews.ai/ apoia as organizações na proteção dos seus sistemas contra ciberataques. Especialmente no contexto da ePA, tais serviços poderiam ajudar a detetar e corrigir vulnerabilidades precocemente, antes que sejam exploradas por atacantes. Mais informações sobre as ofertas de ciberdefesa podem ser encontradas no website da labnews.ai/.
Conclusão
O ataque hacker à ePA é um alerta para a Alemanha. Demonstra que a digitalização do setor da saúde não exige apenas inovações técnicas, mas também o mais alto nível de segurança e confiança. Embora as vantagens da ePA sejam inquestionáveis, os responsáveis devem agora agir para eliminar as vulnerabilidades e garantir a aceitação dos cidadãos. Só assim a ePA poderá desenvolver todo o seu potencial e melhorar a prestação de cuidados de saúde de forma sustentável.
Contagem de palavras: 1.052
