Uma nova falha de segurança no sistema de notificações do Ministério da Saúde deixou expostos na internet, por pelo menos seis meses, dados pessoais de mais de 200 milhões de brasileiros. 

Segundo o jornal O Estado de S. Paulo, os atingidos não foram apenas pacientes de Covid-19, como no caso noticiado na semana passada. Desta vez, as informações pessoais de qualquer brasileiro cadastrado no SUS ou beneficiário de um plano de saúde ficaram abertas para consulta. 

Ao todo, cerca de 243 milhões de registros de pacientes teriam ficado expostos, com informações como número do CPF, nome completo, endereço e telefone. O total de registros é maior que o número de habitantes do país, 210 milhões, porque há informações de pessoas que já morreram.

Entre os brasileiros que tiveram a privacidade violada, estão novamente os chefes dos três poderes: o presidente Jair Bolsonaro, o deputado federal Rodrigo Maia, o senador Davi Alcolumbre, além do presidente do Supremo Tribunal Federal, ministro Luiz Fux.

No caso dos presidentes da Câmara e do Senado, nem um status de VIP na base de dados impediu que suas informações pessoais fossem violadas.

O que também se repete é que o problema foi causado pela exposição indevida de login e senha de acesso, desta vez ao sistema que armazena os dados cadastrais de todos os brasileiros no Ministério da Saúde.

De acordo com a publicação, as credenciais de acesso estavam em um trecho do código do site que fica aberto para visualização de qualquer usuário por meio da função “inspecionar elemento”, disponível em qualquer navegador. 

O login e a senha de acesso estavam codificados por meio de um método conhecido como base64, facilmente decodificável por meio de ferramentas on-line. Assim, uma pessoa com conhecimentos básicos de desenvolvimento conseguiria encontrar a senha, decodificá-la e acessar o banco de dados.

“O Base64 é um método de codificação de dados e não de segurança de dados. Não é uma forma de criptografar dados. Ou seja, os dados de nomes de usuário e senhas nesse caso estavam, sim, expostos”, explicou Daniel Fireman, professor do Instituto Federal de Educação, Ciência e Tecnologia de Alagoas, ao Estadão.

A falha na exposição de login e senha é similar à reportada ao ministério em junho pela ONG Open Knowledge Brasil (OKBR). Na época, a organização identificou que login e senha para um banco de dados de pacientes com Covid-19 também estavam expostos no meio do código do site.

Após a denúncia da OKBR, o ministério corrigiu o erro, mas não revisou outras possíveis falhas no código. O problema identificado agora pelo Estadão já existia no início de junho, quando a denúncia foi feita.

“Cada vez que você para e vai analisar a segurança da informação e a política de gestão de dados do Ministério da Saúde, você encontra uma vulnerabilidade mais grave. Na época da denúncia que fizemos, pedimos uma auditoria e não recebemos nenhuma resposta. Claramente eles não levaram e não estão levando a sério ainda o tratamento de dados dos milhões de brasileiros”, disse Fernanda Campagnucci, diretora executiva da OKBR, ao Estadão.

O e-SUS-Notifica, sistema em questão, foi desenvolvido pela empresa de tecnologia Zello, antiga MBA Mobi, contratada pelo Ministério da Saúde para desenvolver esse e outros softwares para a pasta. 

O ministério não informou quanto pagou à companhia pelo serviço, mas, segundo dados do Portal da Transparência, a empresa já recebeu do governo mais de R$ 43 milhões desde 2017.

Independentemente de quem foi o erro que deixou login e senha expostos, o Ministério da Saúde pode ser responsabilizado por dano individual ou coletivo e ser condenado a pagar indenizações. 

“Pela Lei Geral de Proteção de Dados, quem é controlador da base de dados tem responsabilidades inclusive no que diz respeito à segurança dessas bases. Deixar que qualquer um tenha acesso a senhas de acesso a bases de dados é um erro de segurança básico”, afirmou Joana Varon, fundadora e diretora da organização Coding Rights, ao Estadão.

Questionado pelo jornal sobre a falha de segurança e a exposição dos dados, o Ministério da Saúde informou que o problema identificado já foi corrigido após o alerta da publicação e “os incidentes reportados estão sendo investigados para apurar a responsabilidade da exposição de base cadastral do ministério”.

A pasta informou ainda que possui protocolos de segurança e proteção de dados, que são constantemente avaliados e aprimorados a fim de mitigar exposições, mas não explicou por que não houve a revisão do código do sistema em junho, quando foi feita a primeira denúncia sobre o problema. 

A empresa Zello também foi procurada pelo Estadão, mas não se pronunciou até a publicação da reportagem.