Ransomware no Isac comprometeu meio milhão de registros, mas sem prova de vazamento

O caso é uma disputa entre regulador e organização — e a cobertura embaralhou quatro coisas que precisam ficar separadas. O que a EVIDÊNCIA demonstra: houve um ransomware. O que a VÍTIMA admite: o ataque criptografou sistemas administrativos e causou indisponibilidade temporária, sem, segundo ela, exfiltração. O que o REGULADOR afirma: o Isac não comprovou tecnicamente essa negativa e falhou na comunicação aos titulares. O que o ATOR (o criminoso) alega: nada — não há grupo identificado, não há reivindicação pública, não há amostra de dados divulgada de que se tenha registro nas fontes consultadas.

O ponto que a maioria dos veículos errou está na escolha da palavra. Poder360, CNN Brasil, TI Inside, Times Brasil e outros escreveram 'vazou' e 'expôs' na manchete. Mas o comunicado oficial da ANPD é mais contido: descreve um ataque 'em que os dados são sequestrados e tornados inacessíveis' — o que descreve criptografia e indisponibilidade, característica central do ransomware, e não prova de que os dados saíram do ambiente. A ANPD investiga a possibilidade e a falta de comprovação; ela não afirmou, no material que li, que a exfiltração está confirmada. A distância entre 'afetados' e 'vazados' é a informação central deste caso, e quase toda a imprensa a colapsou.

Isso não significa que o Isac tem razão. A negativa da organização é uma alegação unilateral sem lastro técnico apresentado. A ANPD registra que, mesmo após questionamentos reiterados, o instituto não trouxe as evidências que sustentariam a afirmação de que apenas 'informações administrativas e bancos de dados de contratos já encerrados' foram acessados. Numa análise de CTI, a ausência de log, laudo forense ou relatório de resposta a incidente torna a negativa tão infundada quanto a manchete de vazamento. Ninguém, publicamente, demonstrou o que de fato saiu — ou não saiu — dos sistemas.

O número de 500 mil merece o mesmo ceticismo. Ele não vem de contagem independente nem de amostra publicada por um ator: vem da informação que o próprio Isac prestou à ANPD. É o universo de registros afetados pelo incidente, segmentado pela organização (78.772 crianças e adolescentes, 47.921 idosos). Tratar esse número como 'registros vazados' é um segundo erro em cima do primeiro. É o total potencialmente exposto pela falha, não o total comprovadamente exfiltrado.

Há ainda uma contradição factual que nenhuma reportagem resolveu. A ANPD e a imprensa listam seis estados de atuação (Goiás, Rio Grande do Sul, Bahia, Alagoas, Piauí e Tocantins). Mas a Secretaria de Saúde de Goiás afirmou à CNN Brasil que o Isac nunca administrou unidades da rede estadual, e a de Tocantins disse que o contrato existiu apenas durante a pandemia, sem vínculo vigente. Isso não desmonta o caso — o Isac tem contratos municipais (Araguaína, por exemplo) e em outras esferas —, mas mostra que o mapa de onde os 500 mil pacientes foram atendidos, e sob qual contrato, ainda não está estabelecido com precisão. Isso importa para saber quem responde e quem deve ser notificado.

O histórico da organização é peça de contexto legítima, com a ressalva de que não prova nada sobre o incidente de dados. O Isac foi alvo de operações da PF por desvio de recursos na saúde em Araguaína (Operação Sempiternus, 2021; Código Branco, 2026), de ação do MPT no Piauí por contratação irregular de profissionais como PJ, de inquérito civil em Alagoas, e chegou a ser desqualificado no Distrito Federal e alvo de recomendação de desqualificação em Campinas/SP. Um ator com esse passivo de governança tem menor credibilidade quando pede que se aceite, sem laudo, sua palavra de que 'nada vazou'. Em termos de Admiralty, é uma fonte cuja confiabilidade institucional já foi repetidamente questionada por órgãos de controle.

Correção ao nosso próprio registro: nosso selo estava 'confirmed'. Isso está correto para o INCIDENTE (ransomware confirmado pela vítima e pela ANPD), mas pode induzir a erro se lido como 'vazamento confirmado'. Recomenda-se desmembrar: incidente confirmado, exfiltração não verificada. O veredito 'unverified' para o vazamento permanece adequado e, aliás, mais rigoroso do que a manchete dominante.

Universo de 500 mil registros de pacientes afetados por indisponibilidade de sistema, conforme declarado pelo Isac à ANPD — entre eles 78.772 de crianças e adolescentes e 47.921 de idosos, com dados de identificação (nome, data de nascimento) e dados sensíveis de saúde (prontuários, exames, prescrições, atendimentos, internações, diagnósticos e procedimentos). O impacto concreto e comprovado até agora é a indisponibilidade temporária de sistemas administrativos (recuperados por backup, segundo a organização) e a falha de comunicação: os titulares não foram notificados individualmente, apenas por aviso genérico no site, o que os deixou sem informação para se proteger caso a exfiltração tenha de fato ocorrido. O impacto adicional de exposição/exfiltração de dados de pacientes permanece não comprovado — nem confirmado, nem descartado com base técnica.