Credenciais do profissional de saúde do Alto Minho, que terão sido usadas para aceder indevidamente a inúmeros “registos administrativos não clínicos”, já não estão em funcionamento. PJ continua a receber queixas A Polícia Judiciária adiantou esta segunda-feira que o acesso indevido a dados de utentes do SNS através de credenciais comprometidas de um médico fez, pelo menos, mais de 100.000 vítimas. Diversos portugueses foram notificados, na passada sexta-feira, através do portal do Serviço Nacional de Saúde (SNS), de que os seus dados administrativos tinham sido consultados por um médico atualmente em funções na Unidade Local de Saúde (ULS) do Alto Minho. José Ribeiro, diretor da Unidade Nacional de Combate ao Cibercrime e Criminalidade Tecnológica (UNC3T), explicou em conferência de imprensa na sede da Polícia Judiciária (PJ) que o ataque informático que permitiu recolher "um grande volume" de informação decorreu no espaço de dias, permitindo extrair informação que "há poucos meses levaria três meses" a obter. Daí que admita, e receie, que se tenha recorrido a inteligência artificial, o que para a investigação "vai tornar o trabalho muito mais complexo". O responsável disse também que as mais de 100.000 vítimas de acesso indevido a dados pessoais estão espalhadas por todo o território nacional, incluindo ilhas, e afirmou que as indicações iniciais de que o roubo de dados incidia de forma expressiva sobre informação de crianças e menores foram feitas "de forma precipitada". Segundo a Policia Judiciária (PJ), estas credenciais já não estão em funcionamento e o problema em causa “foi solucionado”. Ainda assim, a PJ confirmou, esta segunda-feira, que os cidadãos visados continuam a apresentar queixas sobre o sucedido. Neste momento, a investigação encontra-se na fase de recolha de dados e informação, estando a ser seguidas pistas, mas não havendo ainda suspeitos identificados nem qualquer cenário completamente posto de parte. Ainda por esclarecer está também se para além de dados pessoais foi acedida e roubada informação clínica dos utentes. Ministério da Saúde anuncia medidas adicionais de segurança Inicialmente, quando começaram a surgir os primeiros alertas nas redes sociais, os cidadãos achavam que apenas os dados pessoais de crianças tinham sido comprometidos. Na altura, a Ordem dos Médicos (OM) equacionou dois cenários: os acessos poderiam ter sido feitos “ato voluntário do próprio médico“ ou poderiam estar em causa ”questões de cibersegurança". Posteriormente, a ULS do Alto Minho explicou que as credenciais do profissional de saúde tinham sido usurpadas e que também havia outros dados comprometidos: "o compromisso das credenciais do médico" resultou "no acesso indevido a registos administrativos, não clínicos, de diversos utentes, entre os quais crianças”. José Ribeiro confirmou que "dificilmente poderemos dizer que o médico [a quem pertencem as credenciais comprometidas] foi o autor" do ataque. O Ministério da Saúde remeteu todas as questões para os Serviços Partilhados do Ministério da Saúde (SPMS). Mas a SPMS não quis comentar “casos concretos relacionados com matérias de segurança ou cibersegurança“. Apenas assegurou ”que todas as comunicações de possíveis incidentes de cibersegurança são analisadas”. Segundo informação que a PJ obteve junto dos serviços do Ministério da Saúde, as credenciais que permitiram o acesso indevido já foram desativadas, a exfiltração de dados já foi estancada, foram recolhidas máquinas para análise e estão em curso medidas adicionais de reforço de segurança. Os utentes do SNS afetados pela situação não podem fazer nada para garantir mais segurança dos seus dados, uma vez que a responsabilidade da plataforma de dados é dos Serviços Partilhados do Ministério da Saúde. José Ribeiro apelou, no entanto, a que os médicos alterem as suas credenciais de acesso como medida de segurança. Sobre os objetivos do ataque, José Ribeiro disse que "quem e para quê" são as perguntas que todos fazem, sobretudo as vítimas, e às quais a investigação procura agora dar resposta. Ainda sem saber quem está por trás do roubo de dados, a PJ coloca como cenários possíveis que o roubo sirva “objetivos maliciosos”, que José Ribeiro não quis especificar, ou "objetivos comerciais", de venda de dados para fins publicitários, por exemplo, sublinhando que os dados pessoais "são de grande riqueza". A Procuradoria-Geral da República (PGR) chegou a confirmar ao Expresso a instauração de um inquérito. Ana Margarida Alves Jornalista [Additional Text]: Serviços de informações alertam para atividades de hackers russos Ana Margarida Alves, Agência Lusa