← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Ransomware em governo e saúde no Brasil: casos públicos 2024–2026

Prefeituras, hospitais e fornecedores de software de saúde: os ataques de ransomware confirmados no Brasil entre 2024 e 2026 e as lições de cada caso.

2026-10-28

Prefeituras sem sistema para emitir nota fiscal, hospitais desligando servidores para conter o estrago, dados de pacientes ameaçados de exposição. Entre 2024 e 2026, o ransomware deixou de ser um problema restrito a grandes empresas e passou a atingir com frequência serviços públicos e a saúde no Brasil. Este levantamento reúne casos que foram confirmados publicamente pelas vítimas ou noticiados com base em investigações, sem pretensão de ser exaustivo.

Um problema que cresce no setor público

Segundo a ESET, com base em dados do CTIR Gov (o centro de resposta a incidentes do governo federal), os incidentes contra órgãos públicos em sete meses de 2025 superaram os totais anuais de 2021, 2022 e 2023 (WeLiveSecurity). Em junho de 2025, a Polícia Federal deflagrou a Operação Timeout contra grupos responsáveis por ataques a instituições públicas.

No cenário mais amplo, a Check Point colocou o Brasil entre os dez países mais atingidos por ransomware no primeiro trimestre de 2026, com 2% das vítimas globais (IT Forum). Já a pesquisa da Sophos com 71 líderes de TI no Brasil, feita entre janeiro e março de 2026, indicou que 56% dos ataques resultaram em criptografia de dados e que o custo médio de recuperação, sem contar resgate, foi de US$ 1,05 milhão (Sophos).

Casos públicos em prefeituras e órgãos de governo

Data	Vítima	O que aconteceu
Ago/2024	Prefeitura de Itu (SP)	Ransomware atribuído ao Phobos (variante Faust); sistemas internos corrompidos e atendimento manual
Ago/2024	Prefeitura de Ponta Grossa (PR)	Ransomware; servidores desligados e serviços parcialmente suspensos
Mar/2025	Prefeitura de Ivinhema (MS)	Ransomware nos setores tributário e contábil; resgate de US$ 1 milhão exigido
Jun/2025	Prefeitura de Porto Nacional (TO)	Ransomware; sistemas fora do ar e cerca de 20 TB a restaurar
Jun/2025	Prefeitura de São José do Rio Preto (SP)	Ataque a servidores; impacto em telefonia de Samu, UPAs e UBSs
2025	Prefeitura de Paranhos (MS)	Ransomware com pedido de R$ 12 mil; backups preservaram dados

Itu e Ponta Grossa

Em agosto de 2024, a Prefeitura de Itu teve os sistemas hospedados em servidores internos corrompidos. A equipe de TI retirou o servidor principal da rede, e os criminosos pediram pagamento em criptomoeda, segundo o Baguete, que atribuiu o ataque ao Phobos. No mesmo mês, Ponta Grossa desligou seus servidores como medida defensiva e funcionários passaram a trabalhar manualmente; a prefeitura afirmou que registros fiscais e jurídicos foram preservados (Baguete).

Ivinhema e Porto Nacional

Em Ivinhema, o ataque de 2 de março de 2025 criptografou dados de contribuintes, e um segundo ataque ocorreu horas depois da restauração. Emissão de nota fiscal eletrônica e IPTU online foram afetados, e a prefeitura alertou moradores para possíveis golpes (Campo Grande News). Em Porto Nacional, em junho de 2025, os criminosos também ameaçaram expor dados pessoais; a gestão afirmou que um sistema de backup diário permitiu a restauração (Conexão Tocantins).

Saúde: hospitais e a cadeia de fornecedores

Em 6 de outubro de 2024, o Hospital da Criança de Brasília (HCB) desligou todos os sistemas para proteger seus bancos de dados após um ataque que a Polícia Civil do DF classificou como ransomware, embora sem pedido claro de resgate. O hospital acionou planos de contingência para reduzir impacto no atendimento (Jornal de Brasília).

Em junho de 2025, o ataque à Prefeitura de São José do Rio Preto deixou a população sem acesso por telefone a serviços como Samu, UPAs e UBSs (WeLiveSecurity). No varejo farmacêutico, o grupo Gunra reivindicou ataque ao Grupo Jorge Batista (Farmácias Globo), no Piauí, que ficou com a operação fora do ar.

O caso mais revelador sobre a cadeia de fornecedores foi o da MedicSolution, fornecedora de software de gestão para clínicas. Em setembro de 2025, o grupo KillSec reivindicou o roubo de mais de 34 GB e cerca de 95 mil arquivos, incluindo exames, raios-X e imagens de pacientes. Segundo a Resecurity, os dados estavam em buckets de nuvem mal configurados, e dezenas de clínicas e laboratórios poderiam ser afetados (Convergência Digital).

Quando não é ransomware

Nem todo ataque a governo é sequestro de dados. Em agosto de 2026, mais de 20 prefeituras e câmaras do Espírito Santo tiveram portais desfigurados pelo grupo BLCKORDER, que alegou ter roubado dados. A porta de entrada foi uma consultoria que hospedava portais e softwares de gestão para vários municípios (ES Hoje). O padrão se repete: um fornecedor comprometido afeta dezenas de clientes.

Lições dos casos

Backups funcionam: Porto Nacional e Paranhos só se recuperaram porque tinham cópias diárias. Elas devem ficar isoladas da rede principal.
Fornecedores são o elo fraco: MedicSolution e o caso capixaba mostram o risco concentrado em prestadores.
Configuração de nuvem: dados expostos sem proteção dispensam até a invasão.
Plano de contingência: o HCB manteve o atendimento porque tinha procedimentos manuais preparados.
Comunicação: avisar a população sobre possíveis golpes após o vazamento reduz danos.

O que fazer se seus dados foram expostos

Desconfie de ligações e mensagens que citem seus dados de cadastro municipal ou exames.
Não pague boletos ou taxas recebidos por canais não oficiais.
Consulte o Registrato do Banco Central para checar contas no seu CPF.
Você pode pedir ao órgão ou empresa informações sobre o incidente, direito garantido pela LGPD.