Qbusoft: SQL injection expõe pacientes — escala ainda incerta

O incidente do Medyc/Qbusoft é estruturalmente simples — SQL injection, exfiltração de arquivo, notificação tardia — mas ganha dimensão por três razões que a cobertura inicial tende a embaralhar: a sequência de ataques no setor de saúde polonês, a identidade (ainda não oficialmente confirmada) do ator e a distância entre o que foi confirmado e o que foi alegado.

O que está confirmado com base sólida: a Qbusoft foi comprometida via SQL injection em 22–23 de agosto de 2026; um arquivo cifrado do banco de dados foi transferido para fora dos sistemas da empresa; a intrusão só foi detectada em 9 de setembro (17 dias de janela); e uma clínica de Inowrocław confirmou a exfiltração de nome, PESEL, endereço, telefone e e-mail de pacientes do departamento de tratamento de dependência química atendidos entre julho de 2024 e agosto de

2026. A própria Qbusoft advertiu que a cifragem interna dos campos sensíveis era fraca o suficiente para ser quebrada pelo atacante — o que torna a proteção criptográfica do banco praticamente nula para fins práticos.

O que está corroborado, mas não confirmado oficialmente: a atribuição ao ator 'fingerprint', o mesmo responsável pelo ataque ao MyDr em agosto. Tanto a Zaufana Trzecia Strona (Z3S) quanto o CyberDefence24 afirmam ter fontes independentes que apontam para o mesmo ator. O CBZC e o UODO não fizeram atribuição pública até o momento da publicação deste relatório. Tratar essa ligação como fato estabelecido é precipitado; tratá-la como pura especulação seria ignorar evidência corroborada por múltiplas fontes especializadas.

O campo mais manipulado: o número de afetados. O ator alega 5 milhões de registros. A UODO usou esse teto em sua comunicação pública com a ressalva explícita de que o número ainda não foi estabelecido oficialmente. A Z3S tinha estimado inicialmente mais de 1 milhão com base na métrica de 20 mil visitas diárias reportadas pela Qbusoft e no histórico de 7 anos da base. O CyberDefence24 fala em 'centenas de clínicas e pelo menos 1 milhão de pessoas'. A cifra de 5 milhões vem exclusivamente do ator — categoria F na escala Admiralty — e deve ser tratada como alegação, não como fato. O número de 1 milhão tem base analítica; o de 5 milhões, não.

Há um detalhe que a cobertura mainstream não explora adequadamente: a Qbusoft não notificou o CERT Polska nem o CSIRT CeZ após descobrir o ataque em 9 de setembro — comunicou apenas à Polícia e ao UODO. O Ministro Gawkowski criticou explicitamente essa omissão. Isso levanta uma questão de governança: o prazo de 72 horas do GDPR para notificação ao regulador de dados foi cumprido (notificação ao UODO em 10 de setembro), mas a obrigação de notificação aos órgãos nacionais de resposta a incidentes de cibersegurança parece ter sido ignorada — o que pode configurar infração adicional sob a lei de cibersegurança polonesa.

Contexto que importa: este é o segundo grande incidente em fornecedores de software médico na Polônia em menos de seis semanas. O MyDr (agosto de

2026) expôs dados de aproximadamente 19 milhões de polacos via plataforma em nuvem AWS. O Medyc/Qbusoft roda em infraestrutura Azure. O padrão — fornecedores de SaaS médico com bases de dados multitenant como alvo, SQL injection como vetor, mesma atribuição de ator — sugere um perfil de campanha direcionada ao setor, não ataques oportunistas isolados. As autoridades polacas tratam o CBZC como investigação 'mais ampla', compatível com essa hipótese.

Confirmado para a clínica de Inowrocław: pacientes do departamento de tratamento de dependência química atendidos entre julho de 2024 e agosto de 2026 tiveram nome, PESEL, endereço, telefone e e-mail expostos — dados suficientes para fraude de identidade e, dado o contexto de dependência química, para chantagem individual. A probabilidade de que registros médicos (fichas de internação) também tenham sido acessados é classificada como 'altamente provável' pela própria Qbusoft com base em scripts executados contra tabelas de dados clínicos.

Escala geral ainda indeterminada: outras clínicas clientes do Medyc começaram a notificar pacientes (incluindo Medi Zone, em Varsóvia), mas o número total de instalações afetadas e de registros comprometidos não foi apurado até o fechamento deste relatório. O UODO e o CBZC continuam as investigações.

Risco agregado com MyDr: se o mesmo ator detiver ambas as bases, a combinação por PESEL criaria perfis enriquecidos com dados de identidade, histórico clínico e informações de saúde mental/dependência — categoria de dado de altíssima sensibilidade sob o GDPR. Esse risco permanece hipotético, mas é tecnicamente plausível e não foi descartado pelas autoridades.