Dados de mais de 200 milhões de brasileiros são expostos após nova falha em sistema do Ministério da Saúde, diz jornal

Dados pessoais de mais de 200 milhões de brasileiros ficaram expostos na internet, por pelo menos seis meses, após uma nova falha de segurança no sistema de notificações de covid-19 do Ministério da Saúde.

Segundo o jornal O Estado de S.Paulo, desta vez, ficaram abertas para consulta as informações pessoais de qualquer brasileiro cadastrado no SUS ou beneficiário de um plano de saúde. Na anterior, o erro permitiu o acesso a pacientes com diagnóstico de covid.

De acordo com investigação feita pela publicação paulista, foram expostos cerca de 243 milhões de registros de pacientes, nos quais constavam informações como número do CPF, nome completo, endereço e telefone. O total de registros é maior que o número de habitantes do País (210 milhões) porque há informações de pessoas que já morreram.

Entre os brasileiros que tiveram a privacidade violada estão os chefes dos três poderes: o presidente Jair Bolsonaro (sem partido), o deputado federal Rodrigo Maia (Democratas-RJ), o senador Davi Alcolumbre (Democratas-AP), além do presidente do Supremo Tribunal Federal, ministro Luiz Fux. No caso dos presidentes da Câmara e do Senado, nem um status de “VIP” na base de dados impediu que as informações pessoais deles fossem violadas.

Novamente, o problema foi causado pela exposição indevida de login e senha de acesso ao sistema que armazena os dados cadastrais de todos os brasileiros no Ministério da Saúde. 

As credenciais de acesso estavam em um trecho do código do site que fica aberto para visualização de qualquer usuário por meio da função “inspecionar elemento”, disponível em qualquer navegador. Uma pessoa com conhecimentos básicos de desenvolvimento de sites conseguiria encontrar a senha, decodificá-la e acessar o banco de dados.

Questionado sobre o assunto, a pasta informou que que “os incidentes reportados estão sendo investigados para apurar a responsabilidade da exposição de base cadastral do ministério”. O problema identificado já foi corrigido.

Disse ainda que “possui protocolos de segurança e proteção de dados, que são constantemente avaliados e aprimorados a fim de mitigar exposições”, mas não explicou por que não houve a revisão do código do sistema em junho, quando foi feita a primeira denúncia sobre o problema. De acordo com o ministério, “ações de segurança estão sendo tomadas para impedir novos incidentes, assim como ações administrativas para apurar o ocorrido”.