O que aconteceu?
Na conferência de aniversário dos diretores e diretoras de TI hospitalar em Berlim, o Prof. Sebastian Schinzel e Nico Brüggemann, do Instituto Fraunhofer de Tecnologia da Informação Segura (SIT), apresentaram uma simulação de crise sobre um ataque cibernético a um hospital fictício, típico da Alemanha. Em um seminário, 23 participantes assumiram 12 papéis – desde TI e direção executiva até liderança médica e enfermagem, passando por segurança da informação e equipe de crise. O objetivo era descobrir se uma instituição permanece operacional quando a TI falha completamente.
Não foi simulada a tecnologia em si, mas sim a reação organizacional – com extratos realistas de firewall, nomes, domínios e redes correspondentes, além dos chamados "injects", ou seja, eventos inseridos como solicitações de imprensa ou falhas de sistema.
Os detalhes
O ataque simulado começa de forma discreta: com uma pesquisa clássica de OSINT (Open Source Intelligence), o atacante coleta, por meio do site do hospital, endereços de e-mail, nomes, funções e indícios sobre sistemas externos. Com base nisso, é formulado um e-mail de phishing sob medida. No cenário, um funcionário ou funcionária de TI com direitos de administração cai na armadilha. O atacante então utiliza o acesso VPN, escaneia a rede, encontra um servidor Exchange e obtém credenciais de acesso. A partir desse ponto, segundo Brüggemann, praticamente todo o Active Directory é considerado comprometido.
Segue-se a escalada: logs suspeitos, vazamento de dados, falha de sistemas como o sistema de informação hospitalar, radiologia e laboratório – e, por fim, uma carta de extorsão.
No exercício, a cadeia de escalonamento do administrador, passando pela chefia de TI e pelo responsável pela segurança da informação (ISB), até a direção executiva, funcionou bem, assim como decisões fundamentais claras, como não pagar resgate e desconectar a instituição da internet. Mais difícil foi o caminho de volta: a equipe de crise se tornou uma via de mão única, as informações fluíam para dentro, mas quase nunca de volta. Funcionários de TI chegaram a ficar em uma sala ao lado sem conhecimento das decisões tomadas.
Um resultado central dizia respeito à documentação: durante o exercício, alguém perguntou sobre uma medida que já havia sido decidida há muito tempo – só que ninguém a havia registrado. Também a reação reflexa de desligar tudo imediatamente se mostrou problemática: um desligamento descontrolado destrói vestígios forenses e, além disso, muitas vezes não fica claro quais sistemas são urgentemente necessários naquele momento, por exemplo, durante uma cirurgia. A medida mais adequada costuma ser a segmentação direcionada da rede.
Quando a TI falha, processos invisíveis também deixam de funcionar: admissão, resultados de exames, arquivo de imagens, medicação, escala de plantão, fornecimento de alimentação. No exercício, portanto, também se discutiu sobre deslocamentos manuais, trocas de turno e soluções pragmáticas, como o pagamento dos salários com base no valor do mês anterior, já que um novo cálculo não era possível.
Contextualização
Schinzel, que atua há mais de 20 anos no cenário de segurança da informação e já foi pentester, destacou: "Eu nunca tinha vivenciado uma dinâmica como essa." Ele mencionou uma possível ameaça futura representada por malware que acessa um LLM e se adapta sozinho – nesse caso, o remédio clássico, cortar a conexão com a internet, talvez não funcione mais, por exemplo, se os atacantes encontrarem internamente uma GPU na qual possam executar um modelo pequeno.
Schinzel traz experiência própria do ataque de ransomware à FH Münster em 2022. De outras instituições de ensino afetadas, ele ouviu relatos de como as crises podem sair de controle: diretores de TI afastados, departamentos que deixam de se comunicar justamente quando a comunicação é vital para a sobrevivência.
Especialmente reveladora é a constatação sobre o tempo de recuperação: as equipes frequentemente estimam o retorno à operação normal em dias, mas o realista são semanas a meses. Um caso na região de Frankfurt, conhecido por Brüggemann, levou cerca de um ano para retornar ao estado original – e nem sequer houve criptografia, apenas o Active Directory foi comprometido. Backups continuam indispensáveis, mas não resolvem o problema de uma infraestrutura comprometida.
Dicas práticas
- Organizar a equipe de crise com comunicação bidirecional: é necessário haver pessoas que circulem permanentemente entre as salas e mantenham todos os envolvidos atualizados.
- Definir papéis fixos para registro e visão geral da situação: quem documenta as decisões, quem mantém a lista de medidas, quem informa interna e externamente?
- Vincular os papéis a funções de substituição, e não a nomes específicos, já que pessoas podem ficar indisponíveis.
- Não desligar tudo por reflexo – em vez disso, avaliar a segmentação direcionada da rede e preservar vestígios forenses.
- Preparar processos analógicos de contingência para admissão, medicação, escala de plantão e fornecimento de alimentação, caso e-mail, Teams e telefonia parem de funcionar.
- Planejar prazos realistas para a recuperação – semanas a meses, e não apenas dias.
Perspectivas
As simulações têm caráter científico: os processos e decisões são analisados, e as instituições participantes recebem um relatório final. O Fraunhofer SIT está atualmente buscando mais hospitais para participar do estudo. Os cenários são previamente adaptados ao ambiente de TI de cada instituição por meio de questionário, mas permanecem comparáveis entre si. Brüggemann destacou, em entrevista ao heise online, que apenas com um número maior de exercícios será possível obter dados consistentes no final. O feedback dos participantes é incorporado diretamente ao aprimoramento da simulação e dos processos de emergência.
Para o setor de TI hospitalar, o exercício oferece, assim, impulsos importantes: a segurança da informação não pode simplesmente ser delegada ao departamento de TI, mas envolve toda a organização – da enfermagem à direção executiva. Especialmente em redes com múltiplas unidades, a situação em caso de emergência rapidamente se torna complexa, como resumiu uma participante do exercício.
