João Miguel Mesquita
O estudo anual State of Ransomware in Healthcare 2025, divulgado pela Sophos, confirma aquilo que muitos responsáveis de TI no setor da saúde sentem no dia a dia: os ataques continuam, mudam de forma e deixam marcas que vão muito além dos sistemas informáticos. Apesar de alguns progressos relevantes, o risco permanece elevado e exige atenção contínua.
Uma das alterações mais visíveis prende-se com a estratégia dos criminosos. A extorsão sem encriptação de dados ganhou peso e atingiu níveis sem precedentes no setor da saúde. Desde 2023, esta prática triplicou, tornando-se a mais frequente entre todos os setores analisados. Em paralelo, a encriptação tradicional de dados recuou para 34% das organizações, o valor mais baixo dos últimos cinco anos. Na prática, os sistemas podem continuar a funcionar, mas a ameaça passa a ser a exposição de informação sensível, com impacto reputacional e legal difícil de gerir.
O pagamento de resgates está a diminuir de forma consistente, sinal de uma mudança de atitude por parte das organizações. Em 2025, apenas 36% dos prestadores de cuidados de saúde afetados optaram por pagar, quando em 2022 essa percentagem era de 61%. Entre os que pagaram, mais de metade conseguiu reduzir o montante exigido inicialmente, o que sugere maior preparação, apoio especializado e capacidade de negociação.
Ainda assim, os fatores que tornam o setor vulnerável mantêm-se praticamente inalterados. A falta de equipas internas e de capacidade especializada em cibersegurança continua a ser o principal fator de risco, apontado por 42% das organizações. Num contexto de escassez crónica de profissionais de saúde, a cibersegurança compete por recursos com áreas diretamente ligadas à prestação de cuidados, o que deixa muitas infraestruturas expostas durante longos períodos.
O impacto humano destes ataques é um dos aspetos mais marcantes do relatório. Mais de um terço dos profissionais referiu aumento da ansiedade e do stress associados à possibilidade de ataques, e quase um quarto das organizações registou ausências de colaboradores devido a esse desgaste psicológico. Para equipas que já trabalham sob pressão constante, o receio de um incidente grave torna-se mais um fator de instabilidade.
Do lado positivo, os dados mostram uma evolução clara na capacidade de recuperação. A percentagem de organizações que conseguiu retomar a atividade em menos de uma semana mais do que duplicou, passando de 21% em 2024 para 58% em 2025. Num setor em que cada hora de indisponibilidade pode afetar diretamente os cuidados aos pacientes, esta melhoria representa um avanço significativo na preparação e no planeamento de resposta a incidentes.
Também os impactos financeiros registaram uma descida expressiva. O valor mediano dos resgates exigidos caiu 91% entre 2024 e 2025, fixando-se nos 294 mil euros, enquanto os custos globais de recuperação atingiram os níveis mais baixos dos últimos três anos. Estes números indicam que, apesar da persistência dos ataques, as organizações estão mais bem equipadas para limitar danos.
A atividade criminosa, no entanto, continua intensa. Nos últimos 12 meses foram identificados 88 grupos distintos de ransomware a visar organizações de saúde, incluindo grupos como Qilin, INC Ransom e RansomHub. Mesmo quando o volume de ataques não é extremo, o potencial de impacto mantém-se elevado devido à natureza crítica dos serviços prestados.
A análise dos incidentes revela ainda que a exploração de vulnerabilidades conhecidas foi o principal ponto de entrada dos atacantes, seguida de phishing, engenharia social, ataques de força bruta, downloads maliciosos automáticos e roubo de credenciais. São técnicas conhecidas, muitas vezes evitáveis, mas que continuam a ter sucesso em ambientes com recursos limitados e múltiplas prioridades operacionais.
No conjunto, o estudo traça o retrato de um setor que está mais preparado para recuperar, mas que continua a enfrentar riscos elevados. A melhoria da resiliência é real, mas a prevenção, apoiada em pessoas, processos e tecnologia, permanece um desafio central para as organizações de saúde.
