A Secretaria de Estado de Saúde de Mato Grosso foi atacada pela segunda vez em 2026. O primeiro incidente, detectado em março, só veio a público em junho. O segundo foi identificado em 1º de novembro. Em ambos os casos, sistemas foram suspensos, equipes técnicas acionadas e a operação continuou, mas com limitações. Segundo o Convergência Digital, a nota da secretaria sobre o ataque mais recente não informa quais sistemas foram atingidos, se houve acesso a dados de pacientes ou se já houve pedido de resgate.
Essa lacuna de informação não é detalhe. É o problema central.
Para qualquer executivo responsável por operações críticas, a invasão em si é apenas o gatilho. O que define o tamanho do dano é o que acontece nos minutos e horas seguintes: quais sistemas param, quais dados foram tocados, qual plano de contingência entra em vigor e quem comunica o quê para a ANPD, para a polícia e para os usuários afetados. Sem essas respostas mapeadas antes do ataque, a organização improvisa sob pressão. E improviso em ambiente crítico custa caro.
Continuidade não é sinônimo de segurança
A SES-MT informou que a regulação de urgência e emergência e os atendimentos hospitalares seguiram funcionando após o ataque de novembro, ainda que com limitações de acesso à rede. Isso é positivo. Mas "continuar funcionando com limitações" não é o mesmo que operar com segurança e rastreabilidade.
No ataque de março, a secretaria afirmou que não pagou resgate, que os arquivos atingidos somavam menos de 1 terabyte e foram recuperados pelos sistemas de contingência, e que a base de dados não foi comprometida. A contenção foi feita junto com a Empresa Mato-grossense de Tecnologia da Informação. O resultado foi satisfatório. Mas o fato de o incidente ter ficado três meses sem divulgação pública levanta uma pergunta legítima: o protocolo de resposta estava pronto antes do ataque, ou foi construído durante ele?
Essa distinção importa porque resposta improvisada tem custo duplo: operacional e reputacional.
O que a LGPD exige e o que muitas organizações ignoram
Depois do ataque de março, a SES registrou boletim de ocorrência na Delegacia Especializada de Repressão a Crimes Informáticos e comunicou o caso à Agência Nacional de Proteção de Dados, como prevê a LGPD. O acionamento da ANPD não é opcional quando há possibilidade de envolvimento de dados pessoais. É obrigação legal.
O problema é que muitas organizações, públicas e privadas, tratam essa comunicação como etapa burocrática a ser cumprida depois que a poeira baixa. A LGPD não funciona assim. O prazo para notificação de incidentes à ANPD é de dois dias úteis a partir do conhecimento do evento pelo controlador. Quem não tem esse fluxo mapeado e testado antes de um ataque vai descumprir o prazo, quase inevitavelmente.
O risco regulatório não começa quando os dados vazam. Começa quando a organização não sabe, em tempo real, o que foi acessado.
Três perguntas que o plano de resposta precisa responder antes do ataque
O ângulo executivo aqui não é tecnológico. É de governança. Qualquer organização que depende de sistemas digitais para operar, seja hospital, seguradora, banco ou varejista, precisa ter respostas prontas para três perguntas antes que o incidente aconteça:
- Quais sistemas são críticos para a operação continuar? Não todos os sistemas têm o mesmo peso. Mapear quais podem ser suspensos sem parar o serviço essencial é o primeiro passo para uma resposta racional.
- Quais dados foram potencialmente expostos e de quem? Sem essa resposta, a notificação à ANPD vira chute. E chute documentado é evidência de negligência.
- Qual é o plano de contingência testado? Contingência não testada é só um documento. A SES-MT usou sistemas de contingência no ataque de março e recuperou os arquivos. Isso só funcionou porque havia algo para acionar. Muitas organizações não têm.
O segundo ataque é o sinal mais importante
Dois ataques em menos de oito meses contra a mesma estrutura de tecnologia indicam que o vetor de entrada ou a superfície de exposição não foi completamente endereçado após o primeiro incidente. Isso não é crítica à secretaria: é um padrão documentado em segurança da informação. Organizações que sofrem um ataque têm probabilidade elevada de sofrer outro, especialmente se a resposta ao primeiro foi reativa e não estrutural.
Para o executivo privado, o aprendizado é direto: o segundo ataque costuma ser mais caro que o primeiro, porque o atacante já conhece parte do ambiente.
A pergunta que fica para qualquer gestor responsável por operações digitais não é "a gente vai ser atacado?". A resposta para essa pergunta já é conhecida. A pergunta certa é: quando o sistema parar, o que continua funcionando, quem comunica e em quanto tempo a operação volta? Se essa resposta não estiver escrita, testada e distribuída para as pessoas certas, o próximo incidente vai custar mais do que deveria.
Fonte: Convergência Digital