Segurança para clínicas de fisioterapia e reabilitação: contendo ransomware e estruturando a LGPD de dados de saúde

Por que fisioterapia e reabilitação viraram alvo preferencial

Clínicas e redes de fisioterapia, RPG, pilates clínico, fonoaudiologia, terapia ocupacional e centros de reabilitação viveram uma digitalização acelerada na última década. Prontuário eletrônico do paciente (PEP), agenda online, teleconsulta, integração com convênios e operadoras, faturamento TISS, prescrição de exercícios por aplicativo e até wearables de acompanhamento passaram a fazer parte da rotina. O problema é que essa digitalização raramente veio acompanhada de maturidade de TI: a maioria das clínicas não tem time de segurança, opera com um software de gestão na nuvem de terceiros, um ou dois computadores na recepção, Wi-Fi compartilhado entre pacientes e equipe, e backups que ninguém testa.

Esse perfil — dados altamente sensíveis somados a defesa fraca — é exatamente o que atrai grupos de ransomware e operadores de fraude. Para o atacante, uma rede de fisioterapia é um alvo de baixo esforço e alto retorno: o prontuário é crítico para a operação (sem ele não há atendimento), os pacientes estão em tratamento contínuo e não podem simplesmente esperar, e os dados de saúde têm valor no mercado criminoso. A clínica, sob pressão para voltar a atender, tende a considerar o pagamento do resgate. É o cenário ideal para a extorsão.

Quando uma rede tem várias unidades, o risco se multiplica: um único equipamento comprometido em uma franquia pode servir de ponte para criptografar o prontuário central que todas as unidades compartilham. A ausência de segmentação transforma um incidente local em uma paralisação de toda a rede.

As quatro ameaças que mais atingem o setor

1. Ransomware paralisando agenda e prontuário

É o cenário mais devastador e mais comum. O atacante entra por phishing, por uma credencial vazada ou por um acesso remoto exposto, move-se lateralmente pela rede plana da clínica, localiza o servidor de prontuário e de backup, exfiltra uma amostra dos dados para chantagem (dupla extorsão) e dispara a criptografia geralmente fora do horário comercial. Na manhã seguinte, a recepção liga os computadores e encontra a agenda inacessível, os prontuários ilegíveis e uma nota de resgate. Pacientes em reabilitação pós-cirúrgica, neurológica ou ortopédica ficam sem atendimento, e a clínica perde receita a cada hora parada.

2. Vazamento de dados de saúde e 3. Fraude de convênio

Diagnósticos, evoluções de tratamento, laudos e dados de convênio são dados pessoais sensíveis na LGPD. Um vazamento — por ransomware de dupla extorsão, por um banco de dados exposto ou por um colaborador — expõe a clínica a comunicação obrigatória à ANPD e aos titulares, a sanções e a dano reputacional grave. Em paralelo, o faturamento de convênio é um vetor de fraude próprio do setor: credenciais de portais de operadora roubadas permitem redirecionar repasses ou inflar guias, enquanto golpes de boleto falso e desvio de PIX atingem o financeiro da clínica.

4. Phishing e tomada de conta (ATO)

O ponto de entrada da maioria dos incidentes. E-mails se passando por operadoras de convênio, fornecedores de equipamento, candidatos a vagas ou o próprio software de gestão induzem a equipe a entregar senhas ou executar malware. Sem MFA, uma única senha capturada vira acesso completo ao e-mail, à agenda e, por reuso de senha, ao prontuário.

O que a LGPD e a ANPD exigem de uma clínica de fisioterapia

Tratar dados de saúde é uma das atividades de maior responsabilidade sob a Lei Geral de Proteção de Dados (Lei nº 13.709/2018). A própria lei lista 'dados referentes à saúde' entre as categorias de dados pessoais sensíveis, sujeitas a hipóteses de tratamento mais restritas e a um dever reforçado de segurança. Uma clínica de fisioterapia é, na maioria dos casos, controladora desses dados — ela decide as finalidades — enquanto o software de gestão, o sistema de faturamento e a nuvem que armazenam são operadores. Essa distinção precisa estar formalizada em contrato.

A ANPD vem intensificando a fiscalização sobre o setor de saúde e tem orientações específicas sobre comunicação de incidentes de segurança. Não se trata apenas de evitar multa: um incidente mal conduzido — sem detecção, sem registro do que aconteceu, sem comunicação adequada — agrava a responsabilidade da clínica. A diligência demonstrada (boas práticas, governança, resposta organizada) é levada em conta na dosagem de eventuais sanções.

Anatomia técnica de um ataque típico

Entender a cadeia de um ataque ajuda a posicionar cada defesa. Um incidente de ransomware em rede de fisioterapia costuma seguir etapas previsíveis, e cada etapa é uma oportunidade de detecção e bloqueio que a clínica geralmente não aproveita por falta de monitoramento.

Acesso inicial e persistência

Phishing direcionado à recepção ou ao financeiro, exploração de um acesso remoto exposto à internet sem MFA, ou uso de uma credencial vazada em outro serviço e reaproveitada (reuso de senha). Em seguida o atacante instala um meio de retorno, mapeia a rede plana e identifica o servidor de prontuário, o de arquivos e, crucialmente, onde estão os backups. Em uma rede sem segmentação e sem monitoramento, isso ocorre em silêncio por dias — e é aqui que a maioria dos ataques poderia morrer, com MFA e treinamento.

Movimentação lateral, exfiltração e impacto

Usando credenciais capturadas e falhas de configuração, o invasor obtém privilégios de administrador e, em redes multiunidade sem isolamento, alcança o prontuário central a partir de uma estação qualquer. Antes de criptografar, copia uma amostra de prontuários e dados de convênio para a chantagem (dupla extorsão). Depois desativa o antivírus, apaga cópias de sombra, criptografa backups acessíveis e dispara a criptografia em massa — quase sempre de madrugada ou no fim de semana, para maximizar o dano antes de alguém perceber.

Backups: a diferença entre um susto e a falência

Se houvesse uma única medida para destacar no setor, seria o backup imutável e testado. A clínica que mantém cópias dos prontuários em local isolado, que o atacante não consegue alterar nem apagar, transforma um ransomware de 'pagar resgate ou fechar' em 'restaurar e voltar a atender'. O erro recorrente é manter o backup no mesmo servidor ou no mesmo storage de rede que o prontuário — quando o ataque criptografa o servidor, leva o backup junto.

Testar a restauração é tão importante quanto fazer a cópia. Muitas clínicas descobrem, no pior momento, que o backup estava corrompido, incompleto ou que ninguém sabia como restaurá-lo. A Decripte valida a recuperabilidade real do ambiente como parte da estruturação, não deixa isso para o dia do incidente.

Como a Decripte atua: do incidente à estrutura

A Decripte é uma empresa brasileira de cibersegurança que combina resposta a incidentes, monitoramento contínuo (SOC 24x7), gestão de vulnerabilidades e conformidade. No setor de reabilitação, a atuação típica começa muitas vezes no pior dia — com a clínica já sob ataque — e evolui para uma estrutura que evita a reincidência. A contenção tem SLA de até uma hora, porque cada hora de prontuário parado é atendimento perdido e exposição que cresce.

E para a clínica que ainda não foi atacada, a porta de entrada é o diagnóstico gratuito de Gestão de Ameaças em decripte.com.br/intelligence-center: ele mostra, sem custo, onde estão as exposições — credenciais vazadas, serviços expostos, superfície de ataque — antes que um criminoso as encontre primeiro. Quando a clínica decide avançar para proteção contínua, os planos pagos estão em /planos.

Exemplo real descaracterizado: a rede de fisioterapia com prontuário sequestrado

Como a Decripte responde a um incidente em clínica de fisioterapia

A resposta a incidentes da Decripte segue um método consagrado de preparação, contenção, erradicação e recuperação, adaptado à realidade de uma clínica que precisa voltar a atender pacientes o quanto antes e ainda cumprir as obrigações de dado de saúde sob a LGPD. SLA de contenção de até uma hora.

1. Acionamento e triagem imediata: a equipe entende o cenário, classifica a gravidade e ativa o plano, com o relógio do SLA de contenção (<=1h) correndo a partir do acionamento.
2. Contenção: isolamento dos sistemas afetados, corte da conexão do atacante, bloqueio do vetor de entrada (acesso remoto, conta comprometida) e isolamento entre unidades para impedir alastramento.
3. Preservação e investigação forense: coleta de imagens e logs, identificação do vetor inicial, do escopo da exfiltração e dos dados de saúde efetivamente acessados, sem destruir evidência.
4. Erradicação: remoção de malware, contas maliciosas e mecanismos de persistência, rotação de todas as credenciais e fechamento das falhas exploradas antes de qualquer religamento.
5. Recuperação: restauração de prontuário, agenda e base de convênio a partir de backups confiáveis ou reconstrução assistida, em ambiente limpo e já segmentado, com retorno faseado por unidade.
6. Apoio à conformidade LGPD: avaliação do incidente, documentação e suporte à comunicação à ANPD e aos titulares conforme as orientações regulatórias, demonstrando diligência.
7. Monitoramento da dark web: busca pela amostra exfiltrada para dimensionar a exposição e antecipar tentativas de extorsão ou revenda dos dados.
8. Relatório e hardening pós-incidente: lições aprendidas convertidas em correções concretas e entrada para o monitoramento contínuo do SOC, fechando o ciclo para evitar a reincidência.

Como a Decripte estrutura a segurança de uma rede de reabilitação

Depois de conter o incêndio — ou, idealmente, antes que ele aconteça — a Decripte estrutura a segurança da clínica em pilares que atacam diretamente as ameaças do setor: ransomware, vazamento de dado sensível, fraude e tomada de conta.

Planos recomendados para Fisioterapia e Reabilitação

Perguntas frequentes

Termos do setor

Ransomware de dupla extorsão

Ataque que, antes de criptografar os sistemas, copia (exfiltra) uma amostra dos dados para chantagear a vítima com a ameaça de divulgação, somando o sequestro do acesso ao vazamento dos dados — comum contra prontuários de saúde.

Dado pessoal sensível (saúde)

Categoria definida pela LGPD que inclui dados referentes à saúde. Diagnósticos, evoluções e histórico de tratamento de fisioterapia se enquadram aqui e recebem proteção e responsabilidade reforçadas perante a ANPD.

Backup imutável (regra 3-2-1)

Estratégia de cópias que não podem ser alteradas nem apagadas pelo atacante, mantidas em três cópias, dois tipos de mídia e uma fora do ambiente. É o que permite recuperar de ransomware sem pagar resgate.

MFA (autenticação multifator)

Mecanismo que exige mais de uma prova de identidade (senha mais um segundo fator) para liberar o acesso, neutralizando senhas vazadas ou capturadas por phishing — o vetor de entrada mais comum no setor.

SOC 24x7

Centro de Operações de Segurança que monitora os sistemas da clínica 24 horas por dia, detectando exfiltração, desativação de antivírus e tentativas de criptografia na primeira hora, quando o ataque ainda pode ser contido.

RoPA (Registro de Operações de Tratamento)

Inventário que mapeia quais dados a clínica coleta, onde guarda, com quem compartilha e por quanto tempo retém — base da conformidade LGPD e exigência prática para tratar dados de saúde com responsabilidade.