O Relatório de Investigação de Violações de Dados (DBIR) da Verizon de 2026 destaca como táticas de engenharia social evoluídas tornam o setor de saúde mais vulnerável, mesmo com a persistência de ransomware e violações de fornecedores. O relatório fornece insights valiosos para profissionais de segurança e executivos que buscam fortalecer suas defesas contra ameaças cibernéticas.
Tendências de engenharia social
O DBIR de 2026 revela um aumento significativo nos ataques de engenharia social direcionados ao setor de saúde. Os atacantes estão utilizando técnicas mais sofisticadas, como phishing direcionado (spear phishing) e pretexting, para enganar funcionários e obter acesso a sistemas sensíveis.
Essas táticas exploram a confiança e a pressão do ambiente de trabalho, onde os profissionais de saúde podem estar focados em salvar vidas e não em verificar a autenticidade de e-mails ou solicitações de acesso. Isso torna o setor um alvo atraente para cibercriminosos que buscam dados de pacientes e informações financeiras.
Persistência do ransomware
Apesar dos esforços de mitigação, o ransomware continua a ser uma ameaça significativa para o setor de saúde. O relatório indica que os ataques de ransomware estão se tornando mais frequentes e mais complexos, com os atacantes focando em sistemas críticos que podem paralisar operações hospitalares.
A capacidade de criptografar dados e exigir resgates elevados coloca as instituições de saúde em uma posição vulnerável, onde a decisão de pagar ou não pode ter implicações diretas na segurança dos pacientes. Isso destaca a necessidade de planos de recuperação de desastres robustos e backups imutáveis.
Violações de fornecedores
O relatório também destaca o risco de violações de fornecedores, onde atacantes comprometem terceiros para acessar redes de organizações maiores. No setor de saúde, isso é particularmente preocupante devido à complexidade das cadeias de suprimentos e à quantidade de parceiros externos envolvidos no tratamento de pacientes.
A gestão de riscos de terceiros deve ser uma prioridade para CISOs, garantindo que os fornecedores também estejam aderindo a padrões de segurança rigorosos e que os contratos incluam cláusulas de responsabilidade em caso de violação.
Implicações regulatórias e LGPD
Para organizações no Brasil, o relatório reforça a importância da conformidade com a Lei Geral de Proteção de Dados (LGPD). Violações de dados no setor de saúde podem resultar em multas significativas e danos à reputação, além de impactos diretos na privacidade dos pacientes.
A implementação de medidas de segurança proativas, como treinamento de conscientização para funcionários e monitoramento contínuo de ameaças, é essencial para mitigar riscos e garantir a conformidade regulatória.
O que os CISOs devem fazer imediatamente
Os CISOs devem revisar e atualizar seus programas de treinamento de conscientização de segurança, focando especificamente em táticas de engenharia social. A implementação de soluções de detecção de phishing e a revisão de políticas de acesso são passos cruciais para fortalecer a postura de segurança.
Além disso, é recomendável realizar exercícios de simulação de incidentes para testar a resposta da equipe a ataques de ransomware e garantir que os planos de recuperação estejam prontos para serem acionados rapidamente.