Sírio-Libanês apura possível acesso indevido a dados de projetos sociais
O Hospital Sírio-Libanês investiga indícios de acesso não autorizado a um sistema interno de relatórios usado em alguns de seus projetos sociais. A ocorrência foi identificada em 21 de setembro e divulgada publicamente em 16 de outubro de 2026. A instituição afirma que acionou especialistas, a Polícia Federal e a Autoridade Nacional de Proteção de Dados (ANPD).
Até o momento, o hospital não informou ter encontrado provas de que os dados foram publicados ou utilizados por terceiros. Também não confirmou que houve cópia ou retirada de informações do ambiente. A investigação busca esclarecer o que aconteceu e quais registros, se algum, podem ter sido consultados.
Entre os dados potencialmente envolvidos estão nome, RG, CPF, endereço, e-mail e telefone. O conjunto sob análise também pode incluir informações sensíveis sobre saúde e origem racial ou étnica. O Sírio-Libanês não divulgou quantas pessoas podem ter sido afetadas, quantos registros estão sendo examinados ou qual teria sido o meio de acesso.
É importante distinguir a confirmação de uma apuração da comprovação de um vazamento. A instituição reconheceu indícios de acesso indevido, mas não confirmou que as informações tenham sido extraídas ou expostas na internet. A falta de evidências públicas de divulgação, por outro lado, não prova que nenhum dado tenha sido copiado. São possibilidades diferentes, que dependem da análise de registros e de outras evidências técnicas.
O sistema investigado é utilizado para relatórios de determinados projetos sociais e não corresponde à base geral de pacientes do hospital. Segundo a instituição, prontuários e sistemas assistenciais não foram comprometidos. Consultas, exames e outros atendimentos seguem funcionando normalmente, sem interrupção informada.
O hospital declarou que isolou e examinou ambientes potencialmente afetados, preservou evidências e registros de acesso, verificou a integridade das bases e dos backups, reforçou controles e redefiniu credenciais. Essas providências ajudam a conter riscos e a reconstruir os acontecimentos, mas não revelam, por si só, como o acesso teria sido obtido. Não há confirmação de que a causa tenha sido uma vulnerabilidade, uma mensagem de phishing, o comprometimento de um fornecedor ou o uso de senhas roubadas.
Na investigação técnica, não basta verificar se alguém entrou no sistema. Também é necessário apurar quais permissões essa pessoa ou conta possuía e o que fez depois do acesso. Registros de autenticação, consultas, execução de relatórios, downloads, contas de serviço e movimentação entre sistemas podem ajudar a determinar se informações foram apenas visualizadas ou efetivamente copiadas.
A presença potencial de dados de saúde e de origem racial ou étnica torna o caso especialmente delicado. A Lei Geral de Proteção de Dados (LGPD) classifica essas informações como sensíveis, pois seu uso inadequado pode causar impactos mais graves aos titulares. Quando combinados com CPF, endereço e telefone, esses dados também podem tornar abordagens fraudulentas mais convincentes.
Uma pessoa mal-intencionada pode, por exemplo, usar informações verdadeiras para se passar por representante do hospital e pedir documentos, pagamentos, códigos de autenticação ou atualização de cadastro. O próprio Sírio-Libanês apontou o risco de contatos fraudulentos em seu nome e de possíveis cadastros ou contratações indevidos.
Por isso, quem participa ou participou de projetos sociais da instituição deve desconfiar de mensagens inesperadas que peçam dados pessoais, senhas, códigos recebidos por SMS ou pagamento. Na dúvida, não responda nem abra arquivos ou formulários recebidos de remetentes desconhecidos. Procure confirmar a autenticidade do contato por canais institucionais já conhecidos, sem usar telefones ou endereços fornecidos na mensagem suspeita.
Também é recomendável acompanhar movimentações financeiras e notificações relacionadas a cadastros ou serviços que a pessoa não reconheça. Caso haja indício de fraude, o titular pode guardar capturas de tela, e-mails e números utilizados no contato, avisar a instituição e registrar a ocorrência junto às autoridades competentes. Essas medidas não significam que os dados tenham sido utilizados, mas ajudam a reagir com rapidez se surgir um problema.
Pela LGPD, cabe à organização avaliar a natureza dos dados envolvidos, os riscos ou danos possíveis e a necessidade de comunicar o incidente à ANPD e às pessoas afetadas. A comunicação deve permitir que os titulares compreendam o que pode ter ocorrido e quais medidas podem adotar. Como a apuração ainda está em andamento e não foram informados o número de pessoas nem a extensão do possível acesso, esses detalhes permanecem pendentes.
A análise também deverá esclarecer se as informações estavam limitadas ao necessário para os relatórios e se os acessos eram compatíveis com as funções de cada usuário. A adoção de permissões restritas, autenticação reforçada, monitoramento contínuo e revisão periódica de contas pode reduzir a probabilidade de que uma ocorrência em uma aplicação administrativa alcance um volume maior de dados.
Até que novas conclusões sejam apresentadas, a descrição mais precisa é a de uma investigação sobre possível acesso não autorizado a um sistema de relatórios ligado a projetos sociais. Não há confirmação pública de extração ou divulgação das informações, e o hospital afirma que os sistemas assistenciais permanecem operacionais. A apuração deverá determinar a extensão do episódio e se há necessidade de novas comunicações ou providências para proteger os titulares.