Hackers alteram dados de cidadãos para 'óbito' no sistema do SUS

Script kiddies estão 'matando' amigos por diversão ao invadir contas do sistema do SUS...

14 jun 2019 - 20h29

Exibir comentários

Hackers estão invadindo o sistema de Cadastro Nacional de Usuários do Sistema Único de Saúde (CADSUS) para alterar dados pessoais de cidadãos. Além da possibilidade de mudar o nome próprio da pessoa e de familiares, os invasores também incluem uma data de óbito — o que acarreta em problemas mais graves, afetando até a abertura de contas, empresas, chamada de ambulância etc.

Não é novidade que o CADSUS é invadido: logins são repassados e vendidos aos montes pela internet. Revelamos em 2015 como é fácil obter entradas para esse e outros sistemas na reportagem "#BrasilExposed: a crise de segurança na internet brasileira". Normalmente, esses acessos são vendidos com o nome de "consulta" por meio de redes sociais, aplicativos e até sites especializados.

O Cadastramento Único de Saúde é uma ferramenta online que foi desenvolvida para que o governo e seus agentes saibam o que acontece e tudo que é relacionado ao SUS. Por lá, médicos podem buscar dados de pacientes, hospitais e remédios, por exemplo.

Por meio de nossos canais de denúncia, o TecMundo recebeu informações sobre um grupo de script kiddies que se aproveita desses logins para incluir datas de óbito como "brincadeira", segundo uma fonte anônima. As contas seriam adquiridas por meio de canais de vendas, como citado anteriormente, pelo valor de R$ 25 por conta.

Foto 1

Imagem

Foto 2

CADSUS

Não é só o óbito

O acesso não permite apenas a inclusão da data de óbito, mas também o roubo de dados pessoais como nome completo, endereço residencial, telefones, email e CPF. "Já matei foi logo três", comenta um dos envolvidos no crime dentro de um grupo de WhatsApp. "Estou rindo dessa maldade. Não vou pro céu não", adiciona.

Praticamente todas as negociações acontecem entre os aplicativos Facebook Messenger, WhatsApp e Telegram; enquanto isso, os grupos se concentram entre os dois últimos aplicativos móveis.

O TecMundo contatou a assessoria de imprensa do Ministério da Saúde durante a semana do dia 24 para entregar mais detalhes sobre o caso e trabalhar em uma possível correção sobre o problema. Em comunicado, a Ascom do MS disse o seguinte:

"O Ministério da Saúde informa que o ocorrido tratou-se de um operador do sistema CADSUSWEB válido e habilitado para utilizar o sistema e que teve seu login de acesso utilizado por terceiros. O cadastro foi corrigido e o operador fraudador foi bloqueado. A pasta informa que o Departamento de informática do Sistema Único de Saúde do Brasil (DATASUS) adota ações para minimizar este tipo de ocorrência, aprimorando as ferramentas de segurança do sistema CADSUSWEB.

Além disso, o Ministério da Saúde esclarece que situações como essa podem ser corrigidas diretamente pelas unidades de saúde onde a informação inconsistente foi identificada (óbito indevido). Nestes casos, qualquer operador vinculado ao estabelecimento de saúde (operador do CadSus) deve entrar em contato com a Central de Atendimento 136, opção 8, onde será orientado a encaminhar ofício digitalizado para que a situação seja regularizada. O processo de reativação de cadastros por motivo de óbito indevido, foi implementado objetivando a qualificação da base de dados dos usuários do SUS, sendo rigorosamente necessários todos os documentos descritos no referido procedimento para coibir ações fraudulentas".

Provando que está vivo

O Instituto Nacional do Seguro Social (INSS), por exemplo, pede para que todo aposentado prove anualmente que está vivo para continuar recebendo benefícios. Para isso, o segurado precisa ir até a agência bancária em que retira seus benefícios e apresentar um documento de identificação com foto (CNH, RG ou carteira de trabalha). Um processo até, digamos, fácil.

Neste caso em específico, o Ministério da Saúde entregou os seguintes passos ao TecMundo:

Seguem os canais de acesso ao Disque Saúde, área relativa ao CADSUS/CNS: