Portal SNS sob suspeita de ataque: credenciais de médico terão permitido acesso indevido
Um alegado acesso indevido ao Portal do SNS, recorrendo às credenciais de um médico, voltou a colocar em cima da mesa uma preocupação antiga. A questão que se coloca é até que ponto os sistemas digitais de saúde conseguem proteger informação altamente sensível dos cidadãos?
Segundo o Jornal Expresso, o caso está a ser acompanhado pelas autoridades e reacendeu o debate sobre segurança, autenticação e monitorização de acessos no ecossistema digital da saúde em Portugal.
O que está alegadamente a acontecer?
Segundo a informação conhecida, um atacante terá conseguido apropriar-se das credenciais de autenticação de um profissional de saúde e, através dessa identidade digital legítima, aceder ao Portal do SNS e consultar dados pessoais de cidadãos portugueses.
À data, não existem indicações públicas de que tenha ocorrido uma intrusão direta na infraestrutura central do SNS. O cenário apontado é diferente, o sistema poderá ter sido utilizado através de uma conta válida comprometida. Este detalhe é importante porque muda completamente a natureza do incidente.
Num ataque clássico existe exploração técnica do sistema. Aqui, o alegado acesso terá ocorrido usando credenciais reais, o que pode dificultar a deteção inicial, já que o comportamento aparenta ser legítimo do ponto de vista tecnológico.

Um pirata informático poderá ter conseguido apoderar-se das credenciais de acesso de um médico e terá acedido a dados pessoais de crianças e adultos nas bases de dados do SNS, noticiou o jornal Expresso nesta sexta-feira. A Ordem dos Médicos confirma que chegaram à entidade várias queixas, sobretudo de pais que foram consultar o portal do SNS e confirmaram o acesso indevido que é atribuído a um médico, que poderá ter tido a segurança das suas credenciais de acesso comprometida.
Que dados podem estar potencialmente em risco?
O tipo exato de informação consultada não foi oficialmente detalhado. Contudo, plataformas clínicas e de serviços digitais de saúde podem agregar vários tipos de informação, entre os quais:
- Dados de identificação do utente
- Número de utente do SNS
- Contactos
- Histórico de consultas
- Informação administrativa
- Registos associados ao percurso clínico
- Dados de prescrições ou pedidos de exames (dependendo dos níveis de acesso)
Importa sublinhar que acesso potencial não significa automaticamente extração massiva de informação.
Tomem cuidado! Este médico está a aceder aos dados dos nossos filhos. […] Vão ao site e vejam. Quem tiver [o registo de acesso] que faça o favor de fazer queixa na polícia e enviar email.
Um pouco por todas as redes sociais, este aviso indica que um médico estava a aceder a informações sobre várias crianças sem razão aparente e muitos pais confirmaram esse mesmo acesso, afirma o jornal.
Porque é que roubar credenciais é hoje um dos ataques mais eficazes?
Os ataques modernos deixaram de depender apenas de “partir” sistemas.
Grande parte das operações atuais baseia-se em:
- Phishing direcionado
- Malware do tipo infostealer
- Roubo de sessões autenticadas
- Reutilização de palavras-passe
- Captura de códigos de autenticação
Segundo documentação do Centro Nacional de Cibersegurança (CNCS), o setor da saúde está entre os mais pressionados por ataques relacionados com dados e furto de identidade digital.
O próprio CNCS identifica o roubo de credenciais como um dos cenários de risco prioritários para organizações de saúde.
Portugal já teve incidentes semelhantes
Este não é o primeiro alerta relacionado com credenciais de profissionais de saúde. Em 2020 foram reportadas situações envolvendo divulgação indevida de credenciais de médicos e profissionais ligados ao SNS, um episódio que reforçou a necessidade de revisão dos mecanismos de proteção.
Mais recentemente, investigações relacionadas com ataques ao universo da saúde em Portugal mostraram que grupos criminosos exploraram contas legítimas de profissionais para emitir documentos e aceder a plataformas internas.
Embora os contextos sejam distintos, o padrão repete-se: o elo mais vulnerável deixa muitas vezes de ser a infraestrutura e passa a ser a identidade digital.
Porque é que o setor da saúde é um alvo tão valioso?
Ao contrário de um cartão bancário, que pode ser cancelado rapidamente, os dados de saúde têm valor persistente.
Registos clínicos permitem:
- Fraudes de identidade
- Engenharia social avançada
- Extorsão
- Ataques direcionados
- Venda em mercados ilegais
Dados internacionais citados pelo CNCS mostram que o ganho financeiro continua a ser a principal motivação dos ataques ao setor da saúde. A digitalização da saúde trouxe ganhos claros de eficiência e acesso. Mas também aumentou a superfície de ataque.
Casos como este mostram que proteger servidores já não basta. Hoje, proteger identidades pode ser tão importante como proteger os próprios sistemas.






















Este não é o caso que muitas pessoas dizem que um médico com nome de “John Freddy” aparece como ter consultado os processos clínicos de varias crianças entre os 3 e 6 anos de norte a sul?
Verifiquem se ele também acedeu ao dos vossos filhos em:
https ://servicos.min-saude.pt/utente_auth/utente/aminhaarea/historico-acessos
Ou em: SNS24 > O meu perfil > Scroll até ao fundo da página > Ir para quem viu a minha informação
Coincidência ou não, mas o acesso ao site e à APP estão com problemas…
e continua com coincidências agora mesmo …
Não concordo com a parte da dificuldade de identificação do ataque. A consulta ocorreu em massa, a utentes fora da instituição em que a conta se encontra associada. É algo “básico” de se identificar, num sistema que seja devidamente projetado.
Alegadamente, o médico já nem está alocado ao SNS e à unidade de saúde de Miranda do Corvo, e isso levanta outras questões. Não existe processo de offboarding? E se existe, porque a conta não é desativada após o último dia de trabalho efetivo do profissional?
Porque é que um profissional de saúde consegue aceder aos dados de TODOS os pacientes do país? Porque é que o acesso não está restrito a utentes da própria unidade de saúde onde o mesmo se encontra alocado?
Isto só tem um nome: incompetência. Grotesca. A todo o nível.
Isto convém não embalar muito. Vou só responder à última questão.
“Porque é que o acesso não está restrito a utentes da própria unidade de saúde onde o mesmo se encontra alocado?” – porque lhe podem aparecer utentes de outras unidades de saúde. Alguém que pertence à unidade de saúde de Faro ou da Ribeira Grande não pode ir à unidade de saúde de Miranda do Corvo?
Claro que pode. E aí, deveria ter o acesso requisitado à unidade de saúde correspondente aquando da marcação/check-in na unidade de saúde. Não devia era, por defeito, ter os dados acessíveis.
Quando se vai a um médico para alguma coisa importante é prudente levar uma coleção completa de análises, exames e relatórios médicos. Nunca sabe como as coisas estão relacionadas e o que é que vão pedir.
Da última vez que acompanhei uma pessoa ao médico, pediu uma ecografia que se tinha feito mas não se tinha levado. Perguntou onde tinha sido feita e se era um hospital público, se fosse ele podia aceder (não sei se há hospitais privados que pertencem à “rede pública”, àquele não acedeu).
Isto para funcionar é na hora, sem burocracias, à espera da tal requisição de acesso.
Não quero dizer que não deva ser feita uma avaliação da segurança do sistema quanto à proteção de dados pessoais – mas é sempre uma avaliação em que pode estar em causa a necessidade do acesso urgente a informação por estar em causa a saúde do doente.
Há uma expressão popular que é: “A ladrão da casa não se lhe fecha a porta” – como é que se lhe fecha, se tem a chave?
Depois de dar uma chave a um médico, enquanto a puder usar legitimamente, corre-se sempre o risco, de “roubar a casa” mas, por outro lado, também é preciso garantir que por causa de regras exageradas na segurança de dados não morre alguém.
Uma das regras de ouro da segurança informática é a de que, por defeito, acessos/autorizações não são fornecidas por defeito se não forem absolutamente indispensáveis. Isso é também algo presente no RGPD, que o Governo parece desconhecer.
A situação que fala, enquanto legítima e que acaba por suceder algumas vezes, não é nem de longe nem de perto o mais comum. O que me leva a manter a minha opinião – e se o sistema informático do SNS fosse realmente implementado de maneira correta, esta fuga de informação teria sido bastante mais limitada (ou não teria acontecido de todo!).
Porque tudo isso dá trabalho e custa dinheiro, assim como criar sistemas com o mínimo de segurança e funcionalidade e isso n interessa ao estado, oq interessa é encher os bolsos.
Um medico so pode aceder a dados de um doente, se o mesmo teve encaminhamento para essa especialidade, e mediante o cartao do cidadao do doente.
Depois disso aquele medico passa a estar integrado, na sequencia de tratamento.
Caso contrario, o medico apenas pode consultar, o historial clinico, de casos onde ja ha eventos, na qual ele participa, e so tem acesso a informaçao pessoal basica.
Ele nem precisa de saber o nome completo do doente, o numero do BI, onde mora, isso e irrelevante.
Ja a idade, altura,peso, muitas vezes sao requisitos.
Deve constar, a data, e os parametros que o medico consultou.
Qualquer medico que tenta aceder a dados, mais do que os dados clinicos, ja e sinal que algo de muito errado, se passa ali.
Depois quando anda a cometer crimes em massa, a consultar dados de civis pelo Pais, ai entao, tem que ser feita de imediato uma operaçao policial por unidades Policiais anticrime da pesada, A BRUTA!!!
Deve ser enviado um alerta de segurança de imediato, e o medico deve ser posto, para interrogatorio, e e suspenso, durante a investigaçao.
E automaticamente, fica em uma lista perpetua nas autoridades de Segurança, ou na Justiça, claro a licença tem que ser revogada como e obvio..
Porque podem estar a vender em massa os dados de um Pais, ao inimigo, agencias de espionagem,darkweb, ou no mercado negro do trafico de informaçao, redes de terror, informaçao priveligiada, etc.
As vezes as pessoas confundem as coisas,
O medico nao tem autorizaçao para violar a privacidade das pessoas so porque tem acesso a alguma informaçao!!!!
Isso e crime, e as penas de prisao devem ser bem pesadas.
Um medico, TEM QUE SER IDONEO!!
Agora voltando a este caso, olhando por alto, para este caso:
1) idades entre 3 a 6 anos,
2) por todo o Pais,
3) “**não existem indicações públicas** de que tenha ocorrido uma intrusão direta”,
4) “john Freddy”,
5 ) “**Medicos estagiarios**”,
6) Crianças com idades inferiores a 7 anos.
Começando por aqui,
6) Que eventos de relevo teem acontecido em 7 anos??
Tanta coisa,
desde trafico de crianças, 161 Crinças Russas do Leste da Ucrania, desaparecidas, detectadas, na Alemnha, salvo erro, em 2024, ou 2025??
Historias grotescas trafego de crianças, entre Portugal e o Basil??
Deu ai muito que falar..
E muitas outras situaçoes..
O que torna uma criança com menos de 7, um alvo mais apetecivel??
O processo para adoçao futura, ou orgaos?? Trafego Portanto??
Ou sera algo relacionado com questoes legais , de dessa forma obtem mais facilmente as identidades dos tutores??
Ou vao esperar ate que a crinça seja um alvo apetecivel daqui ha uns anos, quando crescerem??
Ou seja podera ser um investimento para um crime maior futuro??
E extremamente urgente perceber, quem sao os pais destas crianças, se estao afiliados a partidos politicos, empresas publico/privadas, ou outras,clubes desportivos, se sao dignatarios de algum Pais, se estao envoltos em concursos com o estado, etc.
E preciso formar uma imagem de quem sao, as vitimas, e os seus Pais.
As crianças sao deles ou “adoptadas do estrangeiro”??
coisas de relevo.
4) “John Freddy”??
Nome falso??
Agente 008 do MI6 Britanico??,
Iinfiltrado para roubar as identidades, dos Pais das crianças??
Sim os tutores, teem a informaçao no sistema, e como tal, o acesso as coisas das crianças, acedem a informaçao dos Pais, para depois os coagir, por dinheiro, ou eventos politicos??
Os Britanicos estao metidos ate aos pescoço, no projecto Ucrania..
Ucrania??
Pois… as correntes de crime do medio oriente tem uns braços muito longos..
Os Arabes??
para vender a “raça suprema” de Britanicos e Americanos??
Eles roubam muita coisa, e identidades, cartoes bancarios,etc
Ja andam nas crianças??
Brasileiros??
desses esquemas, do trafego de crianças da casa pia??
Li informaçoes em tempos que redes de crime, como o comando vermelho ja tinham infiltrado Portugal.
E que a Casa Pia tinha sido coagida a pagar um montante a essas redes de crime organizado..
2) Por todo o Pais,??
O Objectivo podera ser a colheita em massa da identidade de crianças e seus tutores, com o fim de criar uma base de dados de identidades, para coerçao..
Uniao Europeia??
E eles andam com projectos de ID digital…lembram-se??
Mas e preciso estudar os Pais, e origem das crianças, se possivel com testes de ADN tambem.
5) “Medicos Estagiarios”,
Bom, esta partiu-me todo..
Que tipo de medicos estagiarios??Portugueses, ou estrangeiros?
Se sao Portugueses,
Muito provavelmente podem estar afiliados a partidos politicos, eles ou a familia, e preciso perceber a quais partidos esses fulanos estao afiliados.
E teem que ser nterrogados, e vigiados, mas o melhor era suspender ja a cedula profissional deles..Porque quem faz isto, ja nao pode travbalhar como medico, como e obvio.
Se sao estrangeiros, que eu acredito ser o mais provavel,
e prende-los de imediato, antes que fujam.
Apertar com eles e extrair toda a informaçao necessaria, e depois 25 anos de prisao.
Perceber as teias internacionais, a qual pertencem, agencias de espionagem, terror, trafego humano,etc.
3) “não existem indicações públicas de que tenha ocorrido uma intrusão direta”,
Esta parte, baralha tudo, ainda mais.
O Artigo aqui fala de uma intrusao de larga escala, massiva mesmo.
Mas depois diz-se que “nao ha indicaçoes **Publicas** que tenha havido intrusao directa”???
Alto!!!
Ha algo de muito errado aqui, pessoal.
Estas coisas todas juntas, nao se coadonam, com essa declaraçao, de forma nenhuma.
Este ponto 3) tem que ser revisto, questionado, e bem questionado, porque ele proprio pode fazer parte de um crime maior..
Isto ja parece a historia do roubo das armas de Tancos.
Muito provavelmente pode ser uma rede de crime externa,
Mas tem puder extraordinario sobre os orgaos de decisao internos ao Pais.??
Nao e possivel o ladrao assaltar a casa, roubar tudo, e depois haver uma declaraçao que nao se sabe **Publicamente** se houve intrusao.
Pelo amor da Santa.
No entanto ressalva-se que, a descriçao foi cuidadosamente lançada com um “não existem indicações ***públicas***”, ´e a parte “publicas” protege a afirmaçao, em parte.
Ou seja ela foi cuidadosamente criada, com um mecanismo de protecçao da afirmaçao..
No futuro essa declaraçao pode ser alterada, e pode-se tornar publico.
O que da a entender que ha um inquerito a decorrer.
Se ha , o mesmo tem que ser respeitado, pode estar em segredo de justiça.
O que eu tiro daqui, e que o estado, deve ja ter lançado uma investigaçao de imediato, em grande escala, com caracter de Maxima Urgencia.
E o processo deve estar a ser gerido pelo Ministerio Publico e em Segredo de Justiça.
Mas todas estas vitimas, e atacantes, teem que ser questionadas, e tem que ser feito tudo, inclusive testes de ADN as crianças, porque pode haver coisas mais grotescas ai..
E preciso criar o Mapa, da Situaçao.
As coisas que eu disse acima, muitas delas, sao suposiçoes minhas, ou seja e o meu instinto de Pai a falar.
Que deus nos proteja a todos, mas que as autoridades sejam capazes de reforçar a nossa segurança e privacidade.
Se o homen, nao for capaz, nao se fiem em Deus.
Boa Sorte as vitimas, e aos Pais, e Familiares.
Algumas coisas que podiamos tirar daqui, e que nao deve haver processos de autenticaçao por Bluetooth, ou Wifi, em Hospitais.
Tudo deve acontecer por canais criptografados como e obvio.
Idealmente, O PC do estado, que gere todas as aplicaçoes, nao deve ter acesso a internet, como e obvio, nem a Wifi,nem a Bluetooth.
Ao lado desse PC deve estar uma coisa tipo um raspberry PI, que podera ter acesso a Net, por redes diferentes, e o qual, a cada arranque, arranca, atraves da RAM, nao permite esrcrever dados para o disco rigido.
e desliga-se apos determinada hora.
O sistema operativo deste PC, ´e controlado remotamente pelos serviços de gestao.
Que geram uma imagem ISO do sistema, e fazem deploy, com melhorias, e depois estas maquinas arrancam pela rede, uando-a.
O medico faz a comutaçao entre um display ou o outro, por via de impressao digital.
toca com o dedo, numa “coisinha”,e essa coisinha, autentica ou nao.
Se sim, troca para o outro display(PC), ou o reverso de volta ao pc do estado
esse microKVM esta ligado, a uma rede separada de autenticaçao.
Tudas as comunicaçoes sao encriptadas.
O PC do estado, esta isolado,
O microKVM esta isolado, da rede publica, e da rede do PC do estado,
O microPC esta isolado, da rede do estado,da rede do microKVM, e arranca pela rede, nao e possivel escrever em disco de forma persistente(O PC so tem RAM).
Sempre que ha uma troca entre o Pc do estado e o microPC, os buffers do KVM, e perifirecos associados, e limpo.
Acabas a ter:
1) O PC actual do estado,
2) 1 pequeno microKVM de muito baixo custo, com um vector de ataque extremamente reduzido,
3) 1 microPC de baixo custo, e consumo energetico, que permite ao medico fazer pesquisa na net se precisar de recorrer a outros meios,e sem possiblidade de passar informaç~ao entre os dois sistemas.
4) 1 rato, ligado ao microKVM
1) teclado ligado ao microKVM.
Ou seja o investimento aqui seria em um microKVM de baixo custo, “estupido”, sem Wireless.
e em um MicroPC de muito baixo custo, sem disco, mas com alguma RAM.
Nao e preciso DDR4 que esta agora mais cara, pode ser DDR3, que e bem mais barata.
.
Desta forma o medico, nunca pode dizer que precisava de aceder a net, para pesquisa, e foi infectado.
J´a agora, quando dizem que gouve roubo de identidade…que tipo de roubo de identidade??
Esa parte e de extrema importancia..
O que,quando,e como
Ministro da reforma do estado, com o título de CTO…. Votem nos mesmos…
Isto parece-me bem maior do que apenas, isso.
Portugal “recebeu” mais de 60 Crianças da suposta Ucrania(Russos)..
Onde estão essas crianças??
É que aquelas regioes pedem-as de volta.
Nós podemos ensinar-lhes Russo, e o modo de vida Russo??Podemos dar-lhes a Cristianismo Ortodoxo Russo, deles??Podemos dar-lhes a lingua a Cultura delas??
Não me parece..
E vao virar o mundo do avesso, se for preciso, para as encontrar..
A Russia foi acusada de retirar as crianças da zona de combate para as proteger.
E nos , retorcendo a lei, disse-mos que era um criminoso de guerra, por tirar as crianças de uma zona de guerra, por protecção, certo??
E agora somos nos criminosos de guerra, por ter ficado com as crianças dos outros??
E que nos também as tiramos da regiao onde els pertencem.
Supostamente para protecção.
A ver vamos, quando se souber o que foi feito dos miudos.
Aquelas crianças, sao étnicamente Russas, Cristaos Ortodoxos do Patriarcado de Moscovo, e falam Russo,que teem familia, embora que talvez nao em primeiro grau(ou secalhar sim)..
Pode Portugal dar a estas crianças, aquilo que elas precisam??
So espero que não sejam traficadas, para lares de adoçao, trafego de orgaos, sexual. e afins.
Se algum mal acontecer aquelas crianças, e o nosso fim,como País, nao so moralmente, como literalmente, fisicamente,tudo.
Se foram traficadas, para o Brasil, então o crime é colossalmente maior.
Os Russos nao desistem do povo deles facilmente.
Pode estar a decorrer operaçoes para encontrar os Russos menores.
E podem estar a decorrer operações, para as encontrar, quer pelos Britânicos, quer pelos Ucrânianos,quer por todos.
E essa informação, será depois vendida, em negociações secretas á Russia, ou Ucrânia, ou o que seja, como forma de pagamento pelos crimes de guerra lá cometidos.
No bombass foram raptadas mais de 300 crianças, das quais mais de 160 ja tinham sido traficadas, para a Alemanha.
Eu nao sei se vivas,e a salvo, Deus queira que sim, para nosso bem.
Espero que as que nós acolhemos, sejam protegidas 24h por dia, nós temos essa obrigação para com elas, porque decidimos, estúpidamente, ficar com a colossal responsabilidade de tomar conta delas..
E algures no tempo, vamos ter que as devolver, porque da mesma forma que nós acusamos a Russia de retirar as crianças daquela zona, eles podem fazer o mesmo conosco, que ainda e uma situaçao muito pior.
Pois nós também as removemos de lá… a Lei Internacional é igual para todos.
Eu nao sei o que se passa, mas alguem anda atras de crianças, seja quem for, e se calhar dos “supostos Pais”, e muito provavelmente ha individos de varios paises a fazelo.
Eu vi acima alguem falar em testes de ADN, concordo plenamente, façam-os mas rápido.
Que Portugal nao perca o rastro a essas crianças, nem por 1 segundo..que as proteja 24h por dia.
O nosso País mete o povo Português em cada encrenca que não cabe nem na cabeça dos maiores lunaticos.
Tudo isto é muito estranho. Como é que as credenciais de um só médico dão acesso a todos os utentes?? Não teria ele de ser autorizado, pelos seus colegas a ter acesso a pacientes deles? E só a info partilhada.
E porquê crianças… Tantas crianças. É o médico pediatra?!
Enfim todo o sistema precisa de ser revisto. Forme-se as habituais Comissões sem Fundo e sem Fim
Estranho não é, o profissional tanto pode trabalhar no publico assim como no privado, para poderem passar receitas, exames, etc tem de ter acesso a informação , a boa pratica deveria ser uma autenticação de 2 factores para ter acesso a nossa informação medica.
Não, Errado!!
O Médico no privado não deve sequer ter acesso aos utilizadores.
Ele insire o teu cartão do cidadão, mas a informação que aparece está anonimizada.
Ele não pode pesquisar, outros utilizadores que não o actual, que la tem o cartão do cidadão inserido!!
Ou seja não existe, ou não pode existir opção de pesquisa.
Mais um Médico quando assume funções assina um contrato com o estado, e o que estas a falar é uma violação gravde do contrato, e deve curtar-lhe a carteira profissional, no minimo, idealmente deve ir preso.
Apenas pessoas que são doentes dele, é que ele pode trabalhar com elas, nunca os 10M de Portugueses, fdx, que raio estas tu a falar???
Como assim inserir o meu cartão do cidadão ?!?! Em toda a minha vida nunca passei o meu cartão do cidadão para as mãos de um médico
Como se apaga a informação clinica ?
O Estado é um gangue de malfeitores.
Offboarding não existe porque uma vez o meu pai ficou sem médico de familia e pedi a receita no portal e os pedidos estavam a ir para a médica que já não trabalhava lá, tive de ir pessoalmente pedir uma receita
Ns minha humilde opinião o problema inicia nos postos de trabalho fisicos que são partilhados por varias pessoas , sendo as credenciais de acesso a esses postos na grande maioria dos casos partilhadas tambem ( muitas vezes em labels coladas aos devices ), basta as credencias de acesso a alguma plataforma estarem guardadas no browser que quem tiver acesso fisico ao device consegue aceder utilizando credenciais que não lhe pertencem …
Segurança começa com processos, formação e boas praticas de utilização.
Podemos ter a porta mais forte do mundo se as chaves ficarem na fechadura ….
Site Segurança Social não esta funcionar
Estranho o Médico ser estrangeiro, não exercer a mais de 8 anos em Miranda do Corvo e inclusive nunca ter acabado a especialidade… A muito a esclarecer aos Portugueses … Muito se esconde neste país de corruptos e vergados.
Irresponsabilidade conveniente.
O assalto aos dados existe em todo lado.
Há dias fui a uma farmácia em St. Tirso, bastou dar o NIF e a Sra imprime e cola uma etiqueta com a identificação completa (nome , morada…) na caixa do medicamento…
– Nunca dei a minha identificação em nenhuma farmácia. Nem autorizei tratamento de dados…
(Disse-me que os obteve no c.de saude!)
Vai ao portal do SNS24 e verifica as autorizações
Revejam as autorizações que permitem no portal SNS24.
Quanto a este tipo de situações em que um médico autorizado no SNS acede aos dados, só vejo como possibilidade para reduzir a facilidade: exigir que um funcionário associado ao local onde supostamente o médico trabalha puxe o processo (talvez sem ter acesso a ele, para preservar pelo menos os dados confidenciais médicos) para autorizar o médico a aceder aos dados privados do utente.
Não sei como fazem agora, mas provavelmente teria de requerer cartão com chip e código para aceder ao portal, e segundo factor de autenticação forte (chave de segurança física FIDO2 com biometria) para aceder.
Também teria de requerer re-autorização a cada número determinado de horas, e/ ou caso fosse detectado um padrão esquisito de utilizações (como pedir muitos processos que não é vulgar serem pedidos nesse contexto de trabalho).
Claro que a solução acima não impede realmente o acesso, se duas pessoas conspirarem para aceder aos dados, mas pelo menos é um nível acima de apenas uma ser suficiente para ter acesso a tudo.
Acede aos dados como seja tem uma hérnia discal L5-S1, ninguém está a aceder à conta bancária para tirar dinheiro ou saber sei lá o quê.
Pelos que se percebe neste caso (os pais vão ver quem acedeu aos registos do filho), o SNS tem o registo de quem acede. Tem que se rastrear quem acedeu e se o fez legitimamente. Isso é uma coisa. Outra é burocratizar – chama aí o funcionário, porque temos que ser os dois a rodar a chave para saber da hérnia, como se faz para lançar uma bomba nuclear.
Acho que há muita paranóia nos comentários.
O funcionário de qualquer das maneiras costuma ser o primeiro a ter contacto com a pessoa, logo puxaria o processo (sem os dados médicos confidenciais) e depois o médico ou enfermeiro poderia ter acesso ao processo se trabalhasse nessa mesma instituição.
De qualquer das formas já é assim que na prática as coisas costumam funcionar.
então não há 2FA ou passkeys para as contas dos médicos… Portugal, a África da Europa