Planilha de FOI expôs saúde de 8 mil funcionários do NHS
Royal Cornwall Hospitals NHS Trust
alegado el · verificado el
Não houve ataque. Foi exposição acidental, e a própria Royal Cornwall Hospitals Trust a confirma: uma planilha editável com dados ocultos de afastamento por doença foi publicada no log de divulgação de pedidos FOI. Atinge cerca de 8 mil funcionários atuais e antigos. A nossa nota anterior ('claimed / unverified') estava errada: o caso é confirmado pela vítima e é real.
Juicios analíticos
Cada evaluación viene con su nivel de confianza declarado, según la práctica de inteligencia (ICD 203 / FIRST). Confianza alta no es certeza; confianza baja no es una suposición — es el peso que sostiene la evidencia disponible.
O incidente é uma exposição sem ator: um arquivo editável com dados ocultos foi divulgado por engano em resposta a um pedido de Liberdade de Informação (FOI). Nenhuma fonte indica invasão, extorsão ou grupo reivindicando. Seria desmentido por evidência de acesso não autorizado a sistemas do Trust ou de reivindicação por um ator.
O total de pessoas expostas é de cerca de 8.000. O relatório independente fala em 7.715 funcionários do Trust e 288 trabalhadores de fora do Trust, soma de 8.003. Em dezembro de 2025 o Trust disse ter escrito a 8.100 pessoas. A manchete de 7,715 subestima o total de expostos. Seria desmentido por um número oficial diferente, divulgado no relatório integral ou em resposta a pedido de informação.
O ciclo de exposição foi longo. O Trust diz que o problema ficou 'aparente' em setembro de 2025. A cobertura do relatório, de novembro de 2026, diz que o arquivo ficou acessível até novembro de 2025. O comunicado público só saiu em 15/12/2025. Os dois pontos de partida (fevereiro de 2023 e setembro de 2025) não casam com o recorte dos dados (abril de 2020 a maio de 2023). Seria desmentido pelo texto integral do relatório, com a cronologia exata.
O pedido ao 'destinatário original' para apagar o arquivo não encerra o risco. O arquivo estava num log público de divulgação, então cópias de terceiros, rastreadores e arquivos web são possíveis, e ninguém conseguiu provar o contrário. Seria desmentido por logs de acesso do site do Trust mostrando poucos downloads, ou por varredura confirmando que não há cópias.
O dano ao Trust já é material mesmo sem fraude. O Trust admitiu 'sofrimento significativo, perda de confiança e ansiedade contínua' entre os afetados, além de custos e demanda operacional substanciais. A exposição a escrutínio regulatório e a ações judiciais foi reconhecida no próprio relatório. Os ICO, no entanto, tinham concluído em dezembro de 2025 que não precisavam agir. Isso pode mudar se houver nova evidência.
Análisis
O registro tratava isto como 'claimed / unverified' com data 2026-11-05. Ambos os campos estavam errados. A data é a da republicação da notícia, não a do incidente, e não há alegação de ator alguma: a fonte é a própria vítima. O caso está confirmado por comunicado do Trust (15/12/2025) e pelo relatório de investigação independente de outubro de 2026, noticiado pela BBC e pela PA.
O que a vítima admite: uma planilha editável com dados de pessoal foi 'inadvertidamente divulgada' em resposta a um pedido FOI. Continha nomes, cargos, descrições de afastamento por doença e datas. O Trust diz que não houve dados de pacientes, financeiros, bancários, de contato ou número de seguro nacional. Segundo a cobertura do relatório, publicada em novembro de 2026, as informações expostas incluíam dados sensíveis de saúde ocultos no arquivo, e a exposição causou sofrimento entre os afetados. A mecânica exata do 'dado oculto' (coluna, aba, tabela dinâmica) não foi descrita nas fontes que li.
O que o regulador afirma: em dezembro de 2025, um porta-voz do ICO disse, segundo fontes secundárias (jointheclaim, um escritório de reclamações, e um boletim de consultoria de proteção de dados), que depois de avaliar as informações e oferecer orientação, concluiu que nenhuma ação regulatória adicional era necessária. Não encontrei a manifestação do ICO em fonte primária. Também não vi se o relatório independente, publicado depois, motivou nova avaliação.
Números: o Trust escreveu a 8.100 pessoas em dezembro de
2025. O relatório de 2026 fala em 7.715 funcionários do Trust e 288 de fora, uma soma de 8.003 que é nossa aritmética, não número publicado. A diferença de ~100 entre 8.100 e 8.003 pode ser lista de notificação mais ampla que a de expostos, mas isso é inferência, não fato. Os veículos repetem 'quase 8.000', mas 8.003 é um pouco acima disso.
A cronologia não fecha. As coberturas do relatório dizem que a planilha foi publicada em fevereiro de 2023 e ficou acessível até novembro de
2025. Mas o Trust diz que os dados cobrem de abril de 2020 a maio de 2023 (um boletim de consultoria diz março de 2023). Um arquivo publicado em fevereiro de 2023 não pode conter dados de maio de
2023. Ou o mês de publicação está errado nas coberturas, ou o período dos dados está. Também não está explicado por que o arquivo continuou acessível até novembro se o problema ficou 'aparente' em setembro, e o comunicado público só saiu em dezembro. Um artigo de escritório de advocacia (Legal500/Jackson Lewis) diz que alguém que acessou o arquivo avisou o hospital, mas não encontrei isso numa fonte primária.
O ângulo é controle e governança: a falha foi de sanitização de arquivos num fluxo FOI, e o Trust admite falhas 'em muitas áreas'. O próprio comunicado de 2025 indica as correções: retirada do arquivo, suspensão do log, novo processo para 'desabilitar' planilhas e verificações adicionais. Ainda não há notícia de multa. O risco de ações coletivas existe: já há escritórios de reclamações anunciando serviços de indenização, o que é marketing e não evidência de processo. O texto integral do relatório não foi lido por mim, apenas trechos noticiados.
Cronología
- 09 dic 2025PA Media/BBC noticiam que o Trust escreveu a 8.100 funcionários atuais e antigos sobre planilha editável divulgada por engano em um pedido FOI.
- 15 dic 2025Comunicado oficial do Trust: dados de afastamento por doença entre abril de 2020 e maio de 2023; planilha retirada do log de divulgação e log suspenso; novo processo para 'desabilitar' planilhas antes de divulgações FOI.
- 29 oct 2026O Trust publica o relatório de investigação independente sobre o incidente, que diz ter se tornado aparente em setembro de 2025.
- 05 nov 2026Reunião do conselho do Trust: pedido de desculpas público; relatório descreve 7.715 funcionários do Trust e 288 de fora afetados. A DataBreaches.net republica a cobertura nesse dia.
Datos involucrados
Impacto
Cerca de 8.000 pessoas, funcionários atuais e antigos do Trust e 288 de fora dele, tiveram nome, cargo e informações de afastamento por doença expostos num site público. Dados de saúde são categoria especial no UK GDPR. Não há notícia de fraude financeira ou uso indevido. O Trust diz que o cuidado de pacientes não foi afetado, mas que os funcionários relataram sofrimento e perda de confiança, e que o incidente gerou custos e demanda operacional substanciais.
Recomendaciones
- Nunca divulgar o arquivo-fonte em respostas FOI ou transparência: gerar a saída a partir de valores agregados, em PDF ou CSV plano criado do zero, e não 'salvar como' da planilha de trabalho.
- Automatizar a inspeção antes da publicação: detectar abas e colunas ocultas, tabelas dinâmicas com cache, comentários, metadados e conteúdo fora da área visível, e bloquear a publicação se houver dado de categoria especial.
- Fazer uma varredura retroativa em todo o log de divulgação e outros repositórios públicos de documentos, buscando o mesmo padrão em arquivos antigos, e não só no que foi notificado.
- Exigir revisão por segunda pessoa e registro de quem aprovou cada divulgação com dados pessoais; alertar sobre agregação com células pequenas, que permite reidentificação.
- Analisar logs de acesso e CDN do site para o arquivo e o período de exposição, e pedir remoção de cópias em arquivos web e mecanismos de busca.
- Para as pessoas afetadas: tratar como exposição de dados de saúde, avaliando reidentificação por colegas, empregadores futuros e golpistas; não há credenciais financeiras envolvidas segundo o Trust.
Lagunas de inteligencia
Lo que aún no sabemos. Un informe que no declara sus huecos está vendiendo, no analizando.
Texto integral do relatório independente: não li; ele resolveria a cronologia (fevereiro de 2023, setembro de 2025, novembro de
2025) e a descrição técnica do dado oculto.
Período real dos dados (abril de 2020 a maio de
2023) contra publicação em fevereiro de 2023: contradição não resolvida; resolveria o relatório integral ou resposta a um pedido FOI ao Trust.
Diferença entre 8.100 cartas e 8.003 expostos: o Trust poderia esclarecer.
Quantas vezes o arquivo foi baixado ou copiado durante a exposição: dependeria dos logs de acesso do site; nenhuma fonte os cita.
Se cópias de terceiros existem: não há como verificar.
Posição atual do ICO depois do relatório de 2026: só encontrei a manifestação de dezembro de 2025 em fontes secundárias; falta o documento ou nova manifestação do regulador.
Existência de processos judiciais ou ações coletivas: apenas anúncios de escritórios, sem registro judicial.
Fuentes y evaluación
Notación Admiralty (estándar NATO, usado por CERT-EU y OpenCTI): la letra evalúa la confiabilidad de la FUENTE (A completamente confiable a F no evaluada); el número evalúa la credibilidad de la INFORMACIÓN (1 confirmada a 6 no juzgable). Ambas dimensiones se evalúan de forma independiente.