No começo de agosto de 2026, o pesquisador de segurança Jeremiah Fowler divulgou a descoberta de uma base de dados associada ao sistema de vigilância em saúde, o SISVISA, que estava acessível na internet sem qualquer autenticação. Segundo o relato, eram cerca de 102 mil documentos, totalizando aproximadamente 79GB.
Não houve invasão sofisticada. O banco simplesmente estava aberto, esperando quem digitasse o endereço. E é justamente por ser tão banal que esse tipo de vazamento é o mais comum e o mais evitável.
O que significa um banco de dados aberto
A maioria das pessoas imagina vazamento como resultado de um ataque. Mas uma parcela enorme dos dados que aparecem expostos nunca foi roubada: foi deixada acessível por configuração incorreta. Alguém subiu um banco de dados, um serviço de busca ou um armazenamento em nuvem, e esqueceu de exigir senha ou de restringir o acesso à rede interna.
O resultado é uma porta destrancada num prédio inteiro de vidro. Qualquer pessoa que passe e olhe, vê tudo. E há ferramentas que passam o dia inteiro varrendo a internet à procura exatamente dessas portas.
Por que dado de saúde é especialmente grave
Nem todo vazamento tem o mesmo peso. Uma lista de e-mails é ruim. Dados de saúde são de outra categoria.
- São dados sensíveis pela Lei Geral de Proteção de Dados, com proteção reforçada e sanções maiores.
- Não podem ser trocados. Você troca uma senha vazada; não troca um histórico de saúde.
- Alimentam golpes altamente convincentes, porque quem liga sabendo do seu diagnóstico soa legítimo.
É o mesmo princípio que discuti em Protegendo seus Dados Após o Vazamento do Banco Neon: o dado que não pode ser revogado é o que mais dói quando escapa.
Como esses bancos ficam expostos
Os padrões se repetem em quase todo caso que eu analiso:
| Causa | O que acontece |
|---|---|
| Banco sem senha | Serviço sobe com configuração padrão que aceita conexão sem autenticar |
| Escutando em toda a rede | O banco responde na internet inteira quando deveria responder só à aplicação |
| Armazenamento em nuvem público | Um balde de arquivos marcado como público por engano |
| Ambiente de teste com dado real | Uma cópia do banco de produção sobe num servidor de teste sem proteção |
| Painel administrativo aberto | Interface de gestão do banco acessível sem restrição de origem |
O último item, o ambiente de teste com dado real, é o mais traiçoeiro. A equipe protege a produção com rigor, e deixa uma cópia idêntica num servidor esquecido, sem nenhum controle.
O ponto cego: ninguém sabe que existe
A pergunta que quase nenhuma organização sabe responder de cabeça é: tudo que temos exposto na internet está mapeado? Enquanto essa resposta não existir, sempre haverá um servidor que ninguém lembra, e é sempre ele que vaza.
Mapear a própria superfície de exposição, com o método que descrevi em Mapeando a superfície de ataque de uma empresa com OSINT, é o que transforma “achamos que está tudo protegido” em “sabemos o que está exposto”. A defesa que se olha com os olhos do atacante encontra a porta aberta antes que ele encontre.
O que fazer se você opera dados sensíveis
- Inventarie o que está exposto. Liste todo banco, serviço e armazenamento acessível de fora, e confirme por que cada um precisa estar assim.
- Exija autenticação sempre. Banco de dados sem senha não é uma configuração, é um acidente esperando acontecer.
- Restrinja a origem. O banco deve aceitar conexão apenas da aplicação que o usa, não da internet inteira, exatamente o corte de Segmentação de rede com VLAN.
- Nunca use dado real em teste. Ambiente de homologação usa dado fictício ou mascarado.
- Cifre em repouso. Se o pior acontecer, o dado cifrado é ilegível, como tratei em Criptografia de disco e dados em repouso.
O lado de quem responde ao incidente
Quando um vazamento assim é descoberto, o relógio começa a correr, e não só o técnico. A Lei Geral de Proteção de Dados impõe prazos e obrigações de comunicação. Fechar a porta é a primeira urgência; entender o que foi exposto e por quanto tempo é a segunda; comunicar quem precisa saber é a terceira.
Descobrir isso durante a crise é caro. Ter o procedimento pronto antes, como no playbook de Ransomware, as primeiras 24 horas de resposta, é o que separa uma resposta ordenada de um pânico.
A lição que se repete
Esse vazamento não é uma história sobre um atacante genial. É sobre uma porta que ficou aberta. E a próxima também será, em outra organização, pela mesma razão, enquanto o inventário do que está exposto continuar sendo a etapa que todo mundo pula.
Segurança começa sabendo o que você tem na rua. O resto é consequência.
Fontes: divulgação atribuída ao pesquisador Jeremiah Fowler no início de agosto de 2026 sobre uma base aberta associada ao SISVISA. Os números de volume e quantidade de documentos refletem o que foi reportado publicamente. Este texto foca na análise técnica e nas medidas de prevenção, aplicáveis a qualquer organização que opere dados sensíveis.