A Craneware, empresa escocesa de software financeiro para o setor de saúde, informou à bolsa de Londres em 20 de julho um incidente com acesso não autorizado a parte do seu ambiente de dados. Sua plataforma atende cerca de dois mil hospitais americanos e quase dez mil clínicas e farmácias.
O número de clientes é o que dá dimensão ao caso. Não se trata de uma organização comprometida, e sim de um fornecedor no meio da operação financeira de milhares delas. Quem contrata software de terceiro herda a superfície de ataque dele, e isso raramente aparece na avaliação de risco de cada hospital.
O tipo de dado agrava. Software financeiro de saúde processa informação de cobrança, o que significa procedimento, diagnóstico associado e identificação de paciente. É dado que não se troca como se troca uma senha.
O padrão se repetiu no período em outros episódios do setor, com campanhas dirigidas a plataformas corporativas amplamente usadas. A lógica do atacante é econômica: comprometer um fornecedor rende acesso a muitos clientes de uma vez.
Para quem contrata, a lição prática não é deixar de usar fornecedor especializado, e sim perguntar antes o que se costuma perguntar só depois: que dado nosso o fornecedor guarda, por quanto tempo, e como somos avisados quando algo acontece.