Segurança para Clínica de Diagnóstico por Imagem: feche o PACS exposto antes que ele vaze seus exames

Por que o centro de diagnóstico por imagem é um alvo desproporcional

Um centro de diagnóstico por imagem é, na prática, dois negócios ao mesmo tempo: uma operação clínica que produz exames com altíssimo valor médico e um repositório de dados que cresce todos os dias e quase nunca é apagado. Cada paciente que passa por um tomógrafo, uma ressonância magnética, um raio-X ou um ultrassom gera imagens em formato DICOM e um laudo associado, e esse conjunto fica armazenado num PACS — o Picture Archiving and Communication System — por anos, muitas vezes por prazo indefinido. O resultado é um acervo que concentra nome, identificação, data de nascimento, achados clínicos, suspeitas diagnósticas e, com frequência, o próprio corpo do paciente reconstruído em três dimensões. Poucos setores acumulam tanto dado sensível por metro quadrado de operação.

O problema é que a arquitetura técnica desse setor foi desenhada numa era em que o PACS conversava apenas com as modalidades dentro do próprio prédio. O protocolo DICOM, que rege a comunicação entre tomógrafos, estações de laudo e servidores de arquivo, nasceu para uma rede confiável e fechada. Quando o setor passou a oferecer laudo remoto, acesso de médicos externos e integração com sistemas hospitalares e operadoras, muitos centros simplesmente abriram as portas do PACS para a internet — sem repensar autenticação, criptografia ou segmentação. É exatamente esse atalho que transforma uma clínica respeitada em um servidor exposto que qualquer mecanismo de varredura encontra em segundos.

Some-se a isso a natureza das modalidades. Um tomógrafo ou um aparelho de ressonância é um dispositivo médico regulado, com software embarcado validado pelo fabricante, ciclo de vida de uma década ou mais e sistema operacional que frequentemente já saiu de suporte. Atualizar esse software sem homologação do fabricante pode invalidar a garantia e até a conformidade regulatória do equipamento. Ou seja: você tem um computador antigo, vulnerável, conectado à rede, que não pode simplesmente receber o patch de terça-feira. Essa combinação — dado sensível em volume, exposição arquitetural e dispositivos que não se atualizam — é o que faz do centro de imagem um alvo desproporcional ao seu tamanho.

As quatro ameaças que mais derrubam centros de imagem

Exposição de servidores PACS/DICOM na internet

É a ameaça-raiz, da qual quase todas as outras derivam. Quando o servidor PACS ou um nó DICOM fica acessível pela internet pública, ele se torna pesquisável. Um atacante não precisa de exploit sofisticado: basta uma consulta C-FIND ou C-MOVE para listar e recuperar estudos inteiros se a autenticação estiver ausente ou fraca. Endpoints DICOMweb (QIDO-RS, WADO-RS) expostos sem controle de acesso entregam estudos via HTTP. O reconhecimento muitas vezes é trivial, e a coleta silenciosa de exames pode durar semanas sem deixar rastro perceptível para a clínica.

Vazamento de imagens e laudos, e ransomware no arquivo

Uma vez dentro — seja pelo PACS exposto, por uma estação de laudo comprometida ou por credenciais reaproveitadas — o atacante exfiltra estudos e laudos. Diferente de um vazamento de cartão, aqui o dano é permanente e profundamente pessoal: um exame de imagem revela condições de saúde que o paciente pode nunca ter compartilhado nem com a família. Sob a LGPD, isso é dado sensível, e o incidente aciona obrigações de notificação à ANPD e aos titulares. Em paralelo, o ransomware tem predileção por centros de imagem porque o acervo é simultaneamente crítico e difícil de restaurar: cifrar o PACS paralisa a clínica — sem imagens, não há laudo, entrega de exame nem faturamento — e quando alcança as modalidades, a recuperação esbarra na impossibilidade de reinstalar livremente um equipamento médico homologado. Muitos centros descobrem tarde que os backups estavam na mesma rede cifrada, ou nunca foram testados em restauração real.

Comprometimento da integração com laudo remoto

O laudo a distância é hoje parte do modelo de negócio de quase todo centro de imagem. Mas cada túnel, VPN, portal web ou integração com a empresa de telerradiologia é uma porta adicional. Credenciais de médicos externos vazadas, portais de laudo sem MFA e integrações via API mal autenticadas estendem o perímetro para fora dos muros da clínica, muitas vezes para máquinas domésticas fora de qualquer controle. O elo da integração remota frequentemente é o ponto mais fraco e o menos monitorado.

Anatomia técnica: o que realmente acontece quando um PACS é atacado

Entender a sequência de um ataque a um centro de imagem ajuda a priorizar defesas. Tudo começa no reconhecimento: o atacante varre faixas de IP em busca de respostas em portas associadas a DICOM e a interfaces web de PACS. Servidores que respondem a um handshake DICOM (a negociação de associação) sem exigir credenciais válidas são marcados como alvos. A partir daí, comandos do próprio protocolo — C-ECHO para confirmar que o nó está vivo, C-FIND para consultar o catálogo de estudos, C-MOVE ou C-GET para recuperar imagens — permitem mapear e baixar o acervo usando funcionalidade legítima, não exploit.

Quando a exposição direta não está disponível, o caminho passa pelas estações de laudo e pelos PCs administrativos. Phishing contra a equipe, credenciais reaproveitadas de vazamentos anteriores e exploração de serviços de acesso remoto abrem a primeira máquina. Numa rede plana — sem segmentação — essa única máquina enxerga o PACS, as modalidades e os backups. O atacante então se move lateralmente, escala privilégios, identifica o servidor de arquivo e decide entre dois desfechos: exfiltrar silenciosamente o acervo para extorsão por vazamento, ou disparar ransomware para extorsão por indisponibilidade. Os grupos mais sofisticados fazem as duas coisas — a dupla extorsão.

O detalhe que separa um susto de uma catástrofe é o tempo até a detecção. Coleta de exames via DICOM legítimo gera tráfego que, para olhos não treinados, parece operação normal. Sem um SOC observando padrões — consultas em massa fora de horário, recuperação de estudos por um nó que nunca fez isso antes, picos de exportação — o vazamento corre por semanas. É essa janela que a Decripte ataca: fechando a exposição que dá acesso e instrumentando a detecção que encurta o tempo de descoberta.

O ângulo da Decripte: fechar a exposição, testar o DICOM, segmentar as modalidades

A abordagem da Decripte para diagnóstico por imagem parte de uma premissa simples: o que não se mede não se protege. Antes de qualquer projeto, a clínica precisa enxergar a própria superfície de exposição — quais serviços estão visíveis da internet, se há PACS ou DICOM respondendo, se portais de laudo aceitam acesso sem segundo fator. Por isso a porta de entrada é o diagnóstico gratuito de Gestão de Ameaças em decripte.io/free, que faz esse reconhecimento a partir de fora, como um atacante faria, e devolve a exposição real em vez de suposições.

A partir do diagnóstico, a atuação se organiza em três movimentos que respondem exatamente ao cenário do setor. Primeiro, fechar a exposição: tirar PACS e DICOM da internet pública, colocá-los atrás de VPN ou gateway autenticado, ativar TLS e exigir identidade forte. Segundo, testar o DICOM de verdade: um pentest que fala o protocolo, tenta negociar associações, executar consultas e recuperações, e prova se o arquivo entrega estudos a quem não deveria. Terceiro, segmentar as modalidades: desenhar uma topologia em que tomógrafo, ressonância, ultrassom, estações de laudo, servidor de arquivo e rede administrativa vivam em zonas separadas, com regras explícitas sobre quem fala com quem.

O resultado dessa sequência não é um relatório que dorme numa gaveta, e sim uma mudança verificável de postura: o que estava exposto deixa de estar, o que era acessível sem prova passa a ter teste, e o que era uma rede plana vira uma topologia onde um comprometimento isolado não chega ao acervo inteiro. Quem quiser ir direto aos planos pagos pode ver as opções em /planos.

Conformidade: o que a LGPD e as normas de saúde exigem do centro de imagem

Imagem médica e laudo são, sem ambiguidade, dados pessoais sensíveis sob a Lei Geral de Proteção de Dados. O artigo 5º da LGPD enquadra dado referente à saúde como sensível, e o artigo 11 estabelece condições mais restritas para o seu tratamento. Para um centro de imagem isso significa que cada exame armazenado exige base legal adequada — geralmente a tutela da saúde do titular e o cumprimento de obrigação do controlador — e medidas técnicas e administrativas compatíveis com o risco. Não é uma formalidade: é o critério com que a ANPD avalia se houve negligência quando um vazamento acontece.

Na prática, conformidade em diagnóstico por imagem se traduz em controles concretos: criptografia de imagens e laudos em trânsito e em repouso; controle de acesso por identidade com registro de quem visualizou ou exportou cada estudo; retenção e descarte conforme a guarda exigida; contratos e cláusulas de proteção de dados com a empresa de telerradiologia e com fornecedores que tocam o acervo; e um plano de resposta que permita notificar a ANPD e os titulares dentro do prazo, com a investigação técnica capaz de dizer o que vazou. A Decripte estrutura esses controles de modo que a clínica não apenas afirme estar em conformidade, mas consiga demonstrá-la com evidência.

Segmentação de modalidades: o pilar técnico que muda o resultado

Se houvesse uma única intervenção capaz de reduzir o impacto da maioria dos incidentes em centros de imagem, seria a segmentação. A rede plana — em que tudo enxerga tudo — é o que transforma uma estação de laudo comprometida em um ransomware no acervo inteiro. A segmentação quebra essa cadeia: ao colocar cada classe de ativo numa zona própria, com regras explícitas de tráfego entre elas, um comprometimento isolado deixa de ter caminho livre até o que importa.

O ponto delicado é fazer isso sem quebrar a operação. As modalidades precisam enviar imagens ao arquivo, as estações de laudo precisam recuperá-las, o laudo remoto precisa de uma rota controlada. A Decripte projeta a segmentação a partir dos fluxos reais de DICOM da clínica, definindo regras que permitem exatamente o tráfego necessário e bloqueiam o resto. Cada modalidade ganha um perfil de comunicação mínimo, e a rede administrativa deixa de ser uma ponte para a rede clínica — fechando o caminho mais comum do phishing ao acervo.

Gestão de vulnerabilidades em dispositivos médicos

A gestão de vulnerabilidades de um centro de imagem não pode ser a mesma de uma rede de escritório. Num escritório, o ciclo é simples: encontrou a falha, aplicou o patch. Numa modalidade, aplicar um patch fora da homologação do fabricante pode invalidar a garantia e a conformidade regulatória do equipamento — e às vezes nem é tecnicamente possível, porque o sistema operacional embarcado já saiu de suporte. A consequência é que dispositivos vulneráveis convivem com a operação por anos, e isso é, em alguma medida, inevitável.

O que muda é como se administra esse risco residual. A Decripte trabalha com um inventário vivo das modalidades e seus sistemas, mapeando versões, fabricantes e estado de suporte. Onde o patch é viável e homologado, ele entra num plano de manutenção coordenado com o fabricante. Onde não é, entram os controles compensatórios: isolamento de rede, restrição de protocolos, hardening do que for ajustável sem quebrar a homologação, e monitoração reforçada daquele segmento. A vulnerabilidade que não pode ser eliminada passa a ser cercada.

Esse trabalho se integra ao pentest e à segmentação: o teste prova o que é explorável, o inventário diz o que não pode ser corrigido, e a segmentação garante que o que não pode ser corrigido também não pode ser alcançado facilmente. É um ciclo, não um evento — por isso a gestão de vulnerabilidades roda de forma contínua, e não como uma foto anual que envelhece em semanas.

SOC 24x7 e resposta: encurtar o tempo entre o ataque e a descoberta

Toda a prevenção do mundo não elimina a possibilidade de um incidente — ela reduz a probabilidade e o impacto. O que decide o desfecho, quando algo acontece, é o tempo. Quanto antes a clínica percebe que um nó está consultando estudos em massa fora do horário, que um volume incomum de imagens está saindo, que uma estação de laudo está se comportando como nunca se comportou, mais cedo a contenção acontece e menos exames vazam. Esse é o papel do SOC 24x7: observar continuamente o acervo e as fronteiras de rede e transformar sinal fraco em alerta acionável.

Quando o alerta vira incidente, entra a Resposta a Incidentes com SLA de contenção de até 1 hora. Em diagnóstico por imagem, conter significa cortar a rota do atacante sem matar a operação clínica desnecessariamente: isolar a máquina comprometida, bloquear a exfiltração, preservar evidência para a investigação e para a notificação à ANPD, e iniciar a erradicação. A meta não é apenas parar o sangramento, mas conseguir dizer, ao final, exatamente o que aconteceu e o que foi tocado — porque é isso que a LGPD vai exigir e o que protege a clínica diante do regulador.

Cenário ilustrativo: o centro de imagem com PACS exposto vazando exames

Como a Decripte responde a um incidente em centro de diagnóstico por imagem

A resposta a incidentes em diagnóstico por imagem precisa conter o ataque sem paralisar a clínica desnecessariamente e, ao mesmo tempo, preservar a evidência que a LGPD vai exigir. A Decripte segue uma sequência testada, com SLA de contenção de até 1 hora.

1. Triagem e classificação: identificar se o incidente é exfiltração de exames, ransomware no acervo, comprometimento de estação de laudo ou abuso de integração remota, e dimensionar o que está em risco.
2. Contenção em até 1 hora: cortar a rota do atacante — remover exposição de PACS/DICOM da borda, isolar máquinas comprometidas e bloquear exfiltração — sem derrubar a operação clínica além do necessário.
3. Preservação de evidência: capturar logs de acesso e recuperação DICOM, imagens forenses das máquinas envolvidas e artefatos, garantindo cadeia de custódia para investigação e para a notificação à ANPD.
4. Erradicação: eliminar acessos, persistência e credenciais comprometidas, corrigir as configurações que permitiram o acesso (autenticação fraca, endpoints abertos) e validar que o atacante perdeu o caminho.
5. Recuperação segura: restaurar a partir de backups imutáveis testados, recolocar o PACS atrás de VPN/MFA/TLS, reativar modalidades em zonas isoladas e confirmar integridade do acervo antes do retorno pleno.
6. Determinação do escopo: estabelecer com precisão quais estudos e laudos foram acessados ou exfiltrados, base para uma notificação delimitada e defensável ao regulador e aos titulares.
7. Notificação e suporte regulatório: apoiar a clínica na comunicação à ANPD e aos titulares dentro do prazo, com a fundamentação técnica do que ocorreu e das medidas adotadas.
8. Lições aprendidas e hardening: transformar a causa-raiz em correções permanentes — segmentação, gestão de vulnerabilidades das modalidades, SOC 24x7 — para que o mesmo vetor não se repita.

Como a Decripte estrutura a segurança do centro de imagem

Depois de conter o que está em chamas, a Decripte estrutura a segurança em pilares que respondem diretamente ao perfil de risco do diagnóstico por imagem: acervo sensível, modalidades que não recebem patch e integração remota.

Planos recomendados para Diagnóstico por Imagem

Perguntas frequentes

Termos do setor

PACS

Picture Archiving and Communication System — o sistema central que armazena, recupera e distribui as imagens médicas (tomografia, ressonância, ultrassom, raio-X) e laudos de um centro de diagnóstico. É o acervo crítico cuja exposição gera vazamento e cuja cifragem por ransomware paralisa a clínica.

DICOM

Digital Imaging and Communications in Medicine — o padrão que rege o formato das imagens médicas e a comunicação entre modalidades, estações de laudo e o PACS. Inclui comandos como C-FIND (consulta) e C-MOVE/C-GET (recuperação), que, sem autenticação, permitem listar e baixar estudos.

DICOMweb

Conjunto de serviços web do padrão DICOM (QIDO-RS para consulta, WADO-RS para recuperação, STOW-RS para envio) que expõem o acervo sobre HTTP/HTTPS. Quando publicado na internet sem autenticação e sem TLS, permite que terceiros consultem e baixem estudos.

Modalidade

Equipamento que gera as imagens — tomógrafo, aparelho de ressonância magnética, ultrassom, raio-X. Tecnicamente são dispositivos médicos regulados, com software homologado pelo fabricante e ciclo de vida longo, o que torna o patch difícil e exige segmentação e controles compensatórios.

Segmentação de rede

Divisão da rede em zonas isoladas (modalidades, arquivo, laudo, administração) com regras de tráfego mínimas entre elas. Impede que o comprometimento de uma única máquina alcance o acervo inteiro, quebrando o caminho do movimento lateral e do ransomware.

Backup imutável

Cópia do acervo que não pode ser alterada nem apagada durante um período definido, mantida idealmente offline. É a defesa decisiva contra ransomware: garante que a clínica possa restaurar as imagens em vez de pagar resgate, desde que seja testado em restauração real.