Ataque a laboratório clínico da NZ chegou a arquivos de legistas

Correção do nosso registro. A entrada estava como 'claimed / unverified', sem ator, país, setor ou vítima, e o nome da organização era a manchete do Stuff. Isso não se sustenta. A vítima é a ZenTech (Zenith Technology), de Dunedin. O incidente é confirmado pela própria empresa, pela Health NZ, pelo Ministério da Justiça e por decisão judicial. A data de 28/10 é a da republicação do DataBreaches.net, não a do ataque nem a do anúncio. O que mudou nessa semana foi o escopo: dados de um tribunal de legistas entraram na história.

O que cada parte afirma. O ator, ZaWoo, listou a ZenTech em 31/08 e, segundo a imprensa, alegou ter roubado dados financeiros, corporativos e de saúde. Publicou amostras, entre elas um registro com nome, endereço e exames de sangue. A ZenTech admitiu o incidente, a publicação de amostras e a presença de dados de saúde e de identificação no material. A Health NZ diz que seus sistemas não foram afetados. O Ministério da Justiça confirma dados do Coroners Court e diz que o incidente não visou seus sistemas. A High Court, em decisão relatada pela imprensa jurídica, registra exfiltração de até 67,1 GB de dados das autoras e de terceiros.

Onde as versões divergem. A ZenTech falou em número limitado de pessoas impactadas. Já a imprensa descreve, a partir de fontes, um grande volume de arquivos de ensaios clínicos. As duas coisas podem ser verdadeiras, porque uma conta pessoas e a outra conta arquivos, mas nenhuma fonte pública fornece o número que as concilie. A alegação do ator não trouxe contagem de registros que se possa comparar. Por isso os campos de registros alegados e verificados ficam vazios. 67,1 GB é volume, não número de registros, e é um teto que consta de pedido de injunção das próprias vítimas.

O ângulo que o Stuff abre e que merece apuração é o delay. Famílias contam esperas de 36 semanas e de nove meses por conclusões de legistas, e a narrativa liga isso ao ataque. O Ministério confirma atrasos em um número pequeno de casos correntes. Mas o ataque é de agosto, e uma espera de 36 semanas em fim de outubro começou por volta de fevereiro. O ataque agravou o atraso, mas não pode ser a causa da espera inteira. A manchete 'major cyber attack' puxa a responsabilidade para o ator e tira o foco de outras causas do atraso, que não temos como avaliar.

O ponto de governança é por que registros judiciais ficaram em uma empresa privada de pesquisa clínica. O comunicado do Ministério diz que apura como a informação veio a estar com a ZenTech. Isso é uma admissão implícita de que o fluxo não estava sob controle do órgão, ou ao menos não estava documentado. Não encontramos explicação pública da ZenTech nem do Ministério sobre o motivo da posse. Não vamos supô-lo. A pergunta que fica é quem autorizou, por qual instrumento e por quanto tempo, e se havia obrigação de devolver ou destruir esses dados. O mesmo Ministério teve um incidente anterior por prestador terceirizado (Mercury IT, dezembro de 2022), mas a cobertura da época tratou de outro conjunto de arquivos, e não há nada nas fontes que ligue os dois casos além do padrão de dependência de terceiros.

O que a evidência não sustenta. Não está estabelecido que houve criptografia de sistemas. Veículos descrevem o grupo como ransomware com pedido de bitcoin por ferramenta de decriptação, mas a ZenTech falou apenas em sistemas tirados do ar como precaução e a High Court trata de exfiltração. O vetor de entrada é desconhecido. A quantidade de cópias em poder do grupo também é, e retirar a publicação em 4/09 e 9/09 não indica que os dados foram destruídos. A injunção proíbe acesso, uso e publicação, mas vale contra réus desconhecidos e não impede quem opera fora da jurisdição.

Sobre as fontes. Estamos apoiados no comunicado oficial do Ministério da Justiça (republicado por agregador de comunicados), nos veículos neozelandeses com apuração própria (Stuff, RNZ, 1News, ODT, HiNZ) e em um relato de imprensa jurídica da decisão. A análise de seguradoras e a nota de agregador sobre o caso foram lidas, mas tratadas como contexto e não como fonte de fatos. Não conseguimos abrir o texto da decisão NZHC 2938 nem o aviso da própria ZenTech, só trechos reproduzidos por terceiros. A busca ficou limitada por falta de acesso a novas consultas na fase final da apuração.

Afetados confirmados: participantes de ensaios clínicos da ZenTech, de quem a empresa já notificou ao menos um por e-mail, confirmando contato, documento de identificação oficial e histórico de saúde no conjunto. Também famílias com casos no Coroners Court de Otago/Southland, em grande parte de 2016 a 2022, que o Ministério da Justiça diz estarem sob validação. Na prática, um número pequeno de casos correntes de legistas teve atraso confirmado pelo Ministério. As famílias que temem ter sido atingidas podem usar a linha 0800 638

924. Também foram afetados dados de terceiros e da Health NZ, segundo a High Court. Quantas pessoas no total, não se sabe.