PplWare Mobile

Portal SNS sob suspeita de ataque: credenciais de médico terão permitido acesso indevido

                                    
                                

Autor: Vítor M.


  1. Guilherme says:

    Este não é o caso que muitas pessoas dizem que um médico com nome de “John Freddy” aparece como ter consultado os processos clínicos de varias crianças entre os 3 e 6 anos de norte a sul?

    Verifiquem se ele também acedeu ao dos vossos filhos em:

    https ://servicos.min-saude.pt/utente_auth/utente/aminhaarea/historico-acessos

    Ou em: SNS24 > O meu perfil > Scroll até ao fundo da página > Ir para quem viu a minha informação

  2. GC says:

    Coincidência ou não, mas o acesso ao site e à APP estão com problemas…

  3. José Araújo says:

    Não concordo com a parte da dificuldade de identificação do ataque. A consulta ocorreu em massa, a utentes fora da instituição em que a conta se encontra associada. É algo “básico” de se identificar, num sistema que seja devidamente projetado.
    Alegadamente, o médico já nem está alocado ao SNS e à unidade de saúde de Miranda do Corvo, e isso levanta outras questões. Não existe processo de offboarding? E se existe, porque a conta não é desativada após o último dia de trabalho efetivo do profissional?
    Porque é que um profissional de saúde consegue aceder aos dados de TODOS os pacientes do país? Porque é que o acesso não está restrito a utentes da própria unidade de saúde onde o mesmo se encontra alocado?
    Isto só tem um nome: incompetência. Grotesca. A todo o nível.

    • Max says:

      Isto convém não embalar muito. Vou só responder à última questão.
      “Porque é que o acesso não está restrito a utentes da própria unidade de saúde onde o mesmo se encontra alocado?” – porque lhe podem aparecer utentes de outras unidades de saúde. Alguém que pertence à unidade de saúde de Faro ou da Ribeira Grande não pode ir à unidade de saúde de Miranda do Corvo?

      • José Araújo says:

        Claro que pode. E aí, deveria ter o acesso requisitado à unidade de saúde correspondente aquando da marcação/check-in na unidade de saúde. Não devia era, por defeito, ter os dados acessíveis.

        • Max says:

          Quando se vai a um médico para alguma coisa importante é prudente levar uma coleção completa de análises, exames e relatórios médicos. Nunca sabe como as coisas estão relacionadas e o que é que vão pedir.
          Da última vez que acompanhei uma pessoa ao médico, pediu uma ecografia que se tinha feito mas não se tinha levado. Perguntou onde tinha sido feita e se era um hospital público, se fosse ele podia aceder (não sei se há hospitais privados que pertencem à “rede pública”, àquele não acedeu).
          Isto para funcionar é na hora, sem burocracias, à espera da tal requisição de acesso.
          Não quero dizer que não deva ser feita uma avaliação da segurança do sistema quanto à proteção de dados pessoais – mas é sempre uma avaliação em que pode estar em causa a necessidade do acesso urgente a informação por estar em causa a saúde do doente.
          Há uma expressão popular que é: “A ladrão da casa não se lhe fecha a porta” – como é que se lhe fecha, se tem a chave?
          Depois de dar uma chave a um médico, enquanto a puder usar legitimamente, corre-se sempre o risco, de “roubar a casa” mas, por outro lado, também é preciso garantir que por causa de regras exageradas na segurança de dados não morre alguém.

          • José Araújo says:

            Uma das regras de ouro da segurança informática é a de que, por defeito, acessos/autorizações não são fornecidas por defeito se não forem absolutamente indispensáveis. Isso é também algo presente no RGPD, que o Governo parece desconhecer.
            A situação que fala, enquanto legítima e que acaba por suceder algumas vezes, não é nem de longe nem de perto o mais comum. O que me leva a manter a minha opinião – e se o sistema informático do SNS fosse realmente implementado de maneira correta, esta fuga de informação teria sido bastante mais limitada (ou não teria acontecido de todo!).

    • Irony says:

      Porque tudo isso dá trabalho e custa dinheiro, assim como criar sistemas com o mínimo de segurança e funcionalidade e isso n interessa ao estado, oq interessa é encher os bolsos.

    • Opiniao says:

      Um medico so pode aceder a dados de um doente, se o mesmo teve encaminhamento para essa especialidade, e mediante o cartao do cidadao do doente.
      Depois disso aquele medico passa a estar integrado, na sequencia de tratamento.

      Caso contrario, o medico apenas pode consultar, o historial clinico, de casos onde ja ha eventos, na qual ele participa, e so tem acesso a informaçao pessoal basica.
      Ele nem precisa de saber o nome completo do doente, o numero do BI, onde mora, isso e irrelevante.
      Ja a idade, altura,peso, muitas vezes sao requisitos.
      Deve constar, a data, e os parametros que o medico consultou.

      Qualquer medico que tenta aceder a dados, mais do que os dados clinicos, ja e sinal que algo de muito errado, se passa ali.
      Depois quando anda a cometer crimes em massa, a consultar dados de civis pelo Pais, ai entao, tem que ser feita de imediato uma operaçao policial por unidades Policiais anticrime da pesada, A BRUTA!!!

      Deve ser enviado um alerta de segurança de imediato, e o medico deve ser posto, para interrogatorio, e e suspenso, durante a investigaçao.
      E automaticamente, fica em uma lista perpetua nas autoridades de Segurança, ou na Justiça, claro a licença tem que ser revogada como e obvio..

      Porque podem estar a vender em massa os dados de um Pais, ao inimigo, agencias de espionagem,darkweb, ou no mercado negro do trafico de informaçao, redes de terror, informaçao priveligiada, etc.

      As vezes as pessoas confundem as coisas,
      O medico nao tem autorizaçao para violar a privacidade das pessoas so porque tem acesso a alguma informaçao!!!!
      Isso e crime, e as penas de prisao devem ser bem pesadas.
      Um medico, TEM QUE SER IDONEO!!

      Agora voltando a este caso, olhando por alto, para este caso:
      1) idades entre 3 a 6 anos,
      2) por todo o Pais,
      3) “**não existem indicações públicas** de que tenha ocorrido uma intrusão direta”,
      4) “john Freddy”,
      5 ) “**Medicos estagiarios**”,
      6) Crianças com idades inferiores a 7 anos.

      Começando por aqui,
      6) Que eventos de relevo teem acontecido em 7 anos??
      Tanta coisa,
      desde trafico de crianças, 161 Crinças Russas do Leste da Ucrania, desaparecidas, detectadas, na Alemnha, salvo erro, em 2024, ou 2025??
      Historias grotescas trafego de crianças, entre Portugal e o Basil??
      Deu ai muito que falar..
      E muitas outras situaçoes..

      O que torna uma criança com menos de 7, um alvo mais apetecivel??
      O processo para adoçao futura, ou orgaos?? Trafego Portanto??

      Ou sera algo relacionado com questoes legais , de dessa forma obtem mais facilmente as identidades dos tutores??
      Ou vao esperar ate que a crinça seja um alvo apetecivel daqui ha uns anos, quando crescerem??
      Ou seja podera ser um investimento para um crime maior futuro??

      E extremamente urgente perceber, quem sao os pais destas crianças, se estao afiliados a partidos politicos, empresas publico/privadas, ou outras,clubes desportivos, se sao dignatarios de algum Pais, se estao envoltos em concursos com o estado, etc.

      E preciso formar uma imagem de quem sao, as vitimas, e os seus Pais.
      As crianças sao deles ou “adoptadas do estrangeiro”??
      coisas de relevo.

      4) “John Freddy”??
      Nome falso??
      Agente 008 do MI6 Britanico??,
      Iinfiltrado para roubar as identidades, dos Pais das crianças??
      Sim os tutores, teem a informaçao no sistema, e como tal, o acesso as coisas das crianças, acedem a informaçao dos Pais, para depois os coagir, por dinheiro, ou eventos politicos??
      Os Britanicos estao metidos ate aos pescoço, no projecto Ucrania..

      Ucrania??
      Pois… as correntes de crime do medio oriente tem uns braços muito longos..

      Os Arabes??
      para vender a “raça suprema” de Britanicos e Americanos??
      Eles roubam muita coisa, e identidades, cartoes bancarios,etc
      Ja andam nas crianças??

      Brasileiros??
      desses esquemas, do trafego de crianças da casa pia??
      Li informaçoes em tempos que redes de crime, como o comando vermelho ja tinham infiltrado Portugal.
      E que a Casa Pia tinha sido coagida a pagar um montante a essas redes de crime organizado..

      2) Por todo o Pais,??
      O Objectivo podera ser a colheita em massa da identidade de crianças e seus tutores, com o fim de criar uma base de dados de identidades, para coerçao..
      Uniao Europeia??
      E eles andam com projectos de ID digital…lembram-se??

      Mas e preciso estudar os Pais, e origem das crianças, se possivel com testes de ADN tambem.

      5) “Medicos Estagiarios”,
      Bom, esta partiu-me todo..
      Que tipo de medicos estagiarios??Portugueses, ou estrangeiros?
      Se sao Portugueses,
      Muito provavelmente podem estar afiliados a partidos politicos, eles ou a familia, e preciso perceber a quais partidos esses fulanos estao afiliados.
      E teem que ser nterrogados, e vigiados, mas o melhor era suspender ja a cedula profissional deles..Porque quem faz isto, ja nao pode travbalhar como medico, como e obvio.

      Se sao estrangeiros, que eu acredito ser o mais provavel,
      e prende-los de imediato, antes que fujam.
      Apertar com eles e extrair toda a informaçao necessaria, e depois 25 anos de prisao.
      Perceber as teias internacionais, a qual pertencem, agencias de espionagem, terror, trafego humano,etc.

      3) “não existem indicações públicas de que tenha ocorrido uma intrusão direta”,
      Esta parte, baralha tudo, ainda mais.

      O Artigo aqui fala de uma intrusao de larga escala, massiva mesmo.
      Mas depois diz-se que “nao ha indicaçoes **Publicas** que tenha havido intrusao directa”???
      Alto!!!
      Ha algo de muito errado aqui, pessoal.
      Estas coisas todas juntas, nao se coadonam, com essa declaraçao, de forma nenhuma.

      Este ponto 3) tem que ser revisto, questionado, e bem questionado, porque ele proprio pode fazer parte de um crime maior..
      Isto ja parece a historia do roubo das armas de Tancos.

      Muito provavelmente pode ser uma rede de crime externa,
      Mas tem puder extraordinario sobre os orgaos de decisao internos ao Pais.??

      Nao e possivel o ladrao assaltar a casa, roubar tudo, e depois haver uma declaraçao que nao se sabe **Publicamente** se houve intrusao.
      Pelo amor da Santa.
      No entanto ressalva-se que, a descriçao foi cuidadosamente lançada com um “não existem indicações ***públicas***”, ´e a parte “publicas” protege a afirmaçao, em parte.
      Ou seja ela foi cuidadosamente criada, com um mecanismo de protecçao da afirmaçao..

      No futuro essa declaraçao pode ser alterada, e pode-se tornar publico.
      O que da a entender que ha um inquerito a decorrer.
      Se ha , o mesmo tem que ser respeitado, pode estar em segredo de justiça.

      O que eu tiro daqui, e que o estado, deve ja ter lançado uma investigaçao de imediato, em grande escala, com caracter de Maxima Urgencia.
      E o processo deve estar a ser gerido pelo Ministerio Publico e em Segredo de Justiça.

      Mas todas estas vitimas, e atacantes, teem que ser questionadas, e tem que ser feito tudo, inclusive testes de ADN as crianças, porque pode haver coisas mais grotescas ai..
      E preciso criar o Mapa, da Situaçao.

      As coisas que eu disse acima, muitas delas, sao suposiçoes minhas, ou seja e o meu instinto de Pai a falar.
      Que deus nos proteja a todos, mas que as autoridades sejam capazes de reforçar a nossa segurança e privacidade.
      Se o homen, nao for capaz, nao se fiem em Deus.

      Boa Sorte as vitimas, e aos Pais, e Familiares.

      Algumas coisas que podiamos tirar daqui, e que nao deve haver processos de autenticaçao por Bluetooth, ou Wifi, em Hospitais.
      Tudo deve acontecer por canais criptografados como e obvio.
      Idealmente, O PC do estado, que gere todas as aplicaçoes, nao deve ter acesso a internet, como e obvio, nem a Wifi,nem a Bluetooth.

      Ao lado desse PC deve estar uma coisa tipo um raspberry PI, que podera ter acesso a Net, por redes diferentes, e o qual, a cada arranque, arranca, atraves da RAM, nao permite esrcrever dados para o disco rigido.
      e desliga-se apos determinada hora.
      O sistema operativo deste PC, ´e controlado remotamente pelos serviços de gestao.
      Que geram uma imagem ISO do sistema, e fazem deploy, com melhorias, e depois estas maquinas arrancam pela rede, uando-a.

      O medico faz a comutaçao entre um display ou o outro, por via de impressao digital.
      toca com o dedo, numa “coisinha”,e essa coisinha, autentica ou nao.
      Se sim, troca para o outro display(PC), ou o reverso de volta ao pc do estado
      esse microKVM esta ligado, a uma rede separada de autenticaçao.
      Tudas as comunicaçoes sao encriptadas.

      O PC do estado, esta isolado,
      O microKVM esta isolado, da rede publica, e da rede do PC do estado,
      O microPC esta isolado, da rede do estado,da rede do microKVM, e arranca pela rede, nao e possivel escrever em disco de forma persistente(O PC so tem RAM).

      Sempre que ha uma troca entre o Pc do estado e o microPC, os buffers do KVM, e perifirecos associados, e limpo.

      Acabas a ter:
      1) O PC actual do estado,
      2) 1 pequeno microKVM de muito baixo custo, com um vector de ataque extremamente reduzido,
      3) 1 microPC de baixo custo, e consumo energetico, que permite ao medico fazer pesquisa na net se precisar de recorrer a outros meios,e sem possiblidade de passar informaç~ao entre os dois sistemas.
      4) 1 rato, ligado ao microKVM
      1) teclado ligado ao microKVM.

      Ou seja o investimento aqui seria em um microKVM de baixo custo, “estupido”, sem Wireless.
      e em um MicroPC de muito baixo custo, sem disco, mas com alguma RAM.
      Nao e preciso DDR4 que esta agora mais cara, pode ser DDR3, que e bem mais barata.
      .

      Desta forma o medico, nunca pode dizer que precisava de aceder a net, para pesquisa, e foi infectado.

      J´a agora, quando dizem que gouve roubo de identidade…que tipo de roubo de identidade??
      Esa parte e de extrema importancia..
      O que,quando,e como

  4. Aquele Daki says:

    Ministro da reforma do estado, com o título de CTO…. Votem nos mesmos…

    • Cristão Católico e Honesto, valores de base á Portuguesa! says:

      Isto parece-me bem maior do que apenas, isso.
      Portugal “recebeu” mais de 60 Crianças da suposta Ucrania(Russos)..
      Onde estão essas crianças??
      É que aquelas regioes pedem-as de volta.
      Nós podemos ensinar-lhes Russo, e o modo de vida Russo??Podemos dar-lhes a Cristianismo Ortodoxo Russo, deles??Podemos dar-lhes a lingua a Cultura delas??
      Não me parece..

      E vao virar o mundo do avesso, se for preciso, para as encontrar..
      A Russia foi acusada de retirar as crianças da zona de combate para as proteger.

      E nos , retorcendo a lei, disse-mos que era um criminoso de guerra, por tirar as crianças de uma zona de guerra, por protecção, certo??
      E agora somos nos criminosos de guerra, por ter ficado com as crianças dos outros??
      E que nos também as tiramos da regiao onde els pertencem.
      Supostamente para protecção.
      A ver vamos, quando se souber o que foi feito dos miudos.

      Aquelas crianças, sao étnicamente Russas, Cristaos Ortodoxos do Patriarcado de Moscovo, e falam Russo,que teem familia, embora que talvez nao em primeiro grau(ou secalhar sim)..
      Pode Portugal dar a estas crianças, aquilo que elas precisam??

      So espero que não sejam traficadas, para lares de adoçao, trafego de orgaos, sexual. e afins.
      Se algum mal acontecer aquelas crianças, e o nosso fim,como País, nao so moralmente, como literalmente, fisicamente,tudo.
      Se foram traficadas, para o Brasil, então o crime é colossalmente maior.

      Os Russos nao desistem do povo deles facilmente.
      Pode estar a decorrer operaçoes para encontrar os Russos menores.
      E podem estar a decorrer operações, para as encontrar, quer pelos Britânicos, quer pelos Ucrânianos,quer por todos.
      E essa informação, será depois vendida, em negociações secretas á Russia, ou Ucrânia, ou o que seja, como forma de pagamento pelos crimes de guerra lá cometidos.

      No bombass foram raptadas mais de 300 crianças, das quais mais de 160 ja tinham sido traficadas, para a Alemanha.
      Eu nao sei se vivas,e a salvo, Deus queira que sim, para nosso bem.
      Espero que as que nós acolhemos, sejam protegidas 24h por dia, nós temos essa obrigação para com elas, porque decidimos, estúpidamente, ficar com a colossal responsabilidade de tomar conta delas..

      E algures no tempo, vamos ter que as devolver, porque da mesma forma que nós acusamos a Russia de retirar as crianças daquela zona, eles podem fazer o mesmo conosco, que ainda e uma situaçao muito pior.
      Pois nós também as removemos de lá… a Lei Internacional é igual para todos.

      Eu nao sei o que se passa, mas alguem anda atras de crianças, seja quem for, e se calhar dos “supostos Pais”, e muito provavelmente ha individos de varios paises a fazelo.

      Eu vi acima alguem falar em testes de ADN, concordo plenamente, façam-os mas rápido.
      Que Portugal nao perca o rastro a essas crianças, nem por 1 segundo..que as proteja 24h por dia.

      O nosso País mete o povo Português em cada encrenca que não cabe nem na cabeça dos maiores lunaticos.

  5. Ema says:

    Tudo isto é muito estranho. Como é que as credenciais de um só médico dão acesso a todos os utentes?? Não teria ele de ser autorizado, pelos seus colegas a ter acesso a pacientes deles? E só a info partilhada.
    E porquê crianças… Tantas crianças. É o médico pediatra?!
    Enfim todo o sistema precisa de ser revisto. Forme-se as habituais Comissões sem Fundo e sem Fim

    • Pedro F. says:

      Estranho não é, o profissional tanto pode trabalhar no publico assim como no privado, para poderem passar receitas, exames, etc tem de ter acesso a informação , a boa pratica deveria ser uma autenticação de 2 factores para ter acesso a nossa informação medica.

      • Joaninha Ultramarina says:

        Não, Errado!!
        O Médico no privado não deve sequer ter acesso aos utilizadores.

        Ele insire o teu cartão do cidadão, mas a informação que aparece está anonimizada.

        Ele não pode pesquisar, outros utilizadores que não o actual, que la tem o cartão do cidadão inserido!!

        Ou seja não existe, ou não pode existir opção de pesquisa.
        Mais um Médico quando assume funções assina um contrato com o estado, e o que estas a falar é uma violação gravde do contrato, e deve curtar-lhe a carteira profissional, no minimo, idealmente deve ir preso.

        Apenas pessoas que são doentes dele, é que ele pode trabalhar com elas, nunca os 10M de Portugueses, fdx, que raio estas tu a falar???

        • Pedro F. says:

          Como assim inserir o meu cartão do cidadão ?!?! Em toda a minha vida nunca passei o meu cartão do cidadão para as mãos de um médico

  6. Jaime says:

    Como se apaga a informação clinica ?

  7. CuMuna says:

    O Estado é um gangue de malfeitores.

  8. Artur says:

    Offboarding não existe porque uma vez o meu pai ficou sem médico de familia e pedi a receita no portal e os pedidos estavam a ir para a médica que já não trabalhava lá, tive de ir pessoalmente pedir uma receita

  9. Pedro F. says:

    Ns minha humilde opinião o problema inicia nos postos de trabalho fisicos que são partilhados por varias pessoas , sendo as credenciais de acesso a esses postos na grande maioria dos casos partilhadas tambem ( muitas vezes em labels coladas aos devices ), basta as credencias de acesso a alguma plataforma estarem guardadas no browser que quem tiver acesso fisico ao device consegue aceder utilizando credenciais que não lhe pertencem …
    Segurança começa com processos, formação e boas praticas de utilização.
    Podemos ter a porta mais forte do mundo se as chaves ficarem na fechadura ….

  10. Test User says:

    Site Segurança Social não esta funcionar

  11. Helder+Coelho says:

    Estranho o Médico ser estrangeiro, não exercer a mais de 8 anos em Miranda do Corvo e inclusive nunca ter acabado a especialidade… A muito a esclarecer aos Portugueses … Muito se esconde neste país de corruptos e vergados.

  12. Ppantire says:

    Irresponsabilidade conveniente.
    O assalto aos dados existe em todo lado.
    Há dias fui a uma farmácia em St. Tirso, bastou dar o NIF e a Sra imprime e cola uma etiqueta com a identificação completa (nome , morada…) na caixa do medicamento…
    – Nunca dei a minha identificação em nenhuma farmácia. Nem autorizei tratamento de dados…
    (Disse-me que os obteve no c.de saude!)

  13. Joao Ptt says:

    Revejam as autorizações que permitem no portal SNS24.

    Quanto a este tipo de situações em que um médico autorizado no SNS acede aos dados, só vejo como possibilidade para reduzir a facilidade: exigir que um funcionário associado ao local onde supostamente o médico trabalha puxe o processo (talvez sem ter acesso a ele, para preservar pelo menos os dados confidenciais médicos) para autorizar o médico a aceder aos dados privados do utente.
    Não sei como fazem agora, mas provavelmente teria de requerer cartão com chip e código para aceder ao portal, e segundo factor de autenticação forte (chave de segurança física FIDO2 com biometria) para aceder.
    Também teria de requerer re-autorização a cada número determinado de horas, e/ ou caso fosse detectado um padrão esquisito de utilizações (como pedir muitos processos que não é vulgar serem pedidos nesse contexto de trabalho).

    Claro que a solução acima não impede realmente o acesso, se duas pessoas conspirarem para aceder aos dados, mas pelo menos é um nível acima de apenas uma ser suficiente para ter acesso a tudo.

    • Max says:

      Acede aos dados como seja tem uma hérnia discal L5-S1, ninguém está a aceder à conta bancária para tirar dinheiro ou saber sei lá o quê.
      Pelos que se percebe neste caso (os pais vão ver quem acedeu aos registos do filho), o SNS tem o registo de quem acede. Tem que se rastrear quem acedeu e se o fez legitimamente. Isso é uma coisa. Outra é burocratizar – chama aí o funcionário, porque temos que ser os dois a rodar a chave para saber da hérnia, como se faz para lançar uma bomba nuclear.
      Acho que há muita paranóia nos comentários.

      • Joao Ptt says:

        O funcionário de qualquer das maneiras costuma ser o primeiro a ter contacto com a pessoa, logo puxaria o processo (sem os dados médicos confidenciais) e depois o médico ou enfermeiro poderia ter acesso ao processo se trabalhasse nessa mesma instituição.

        De qualquer das formas já é assim que na prática as coisas costumam funcionar.

  14. isso says:

    então não há 2FA ou passkeys para as contas dos médicos… Portugal, a África da Europa

Deixe um comentário

O seu endereço de email não será publicado.

You may use these HTML tags and attributes: <a href="" title="" rel=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

Aviso: Todo e qualquer texto publicado na internet através deste sistema não reflete, necessariamente, a opinião deste site ou do(s) seu(s) autor(es). Os comentários publicados através deste sistema são de exclusiva e integral responsabilidade e autoria dos leitores que dele fizerem uso. A administração deste site reserva-se, desde já, no direito de excluir comentários e textos que julgar ofensivos, difamatórios, caluniosos, preconceituosos ou de alguma forma prejudiciais a terceiros. Textos de caráter promocional ou inseridos no sistema sem a devida identificação do seu autor (nome completo e endereço válido de email) também poderão ser excluídos.