A Santa Casa de Misericórdia de Sobral (SCMS) informou, nesta quinta-feira (16), que apura um suposto vazamento de dados gerada por uma falha em um site de cadastro de currículos utilizado pela instituição para recrutamento. A fragilidade foi identificada por um candidato e denunciada ao Diário do Nordeste.
Em nota à reportagem, a SCMS afirmou que tomou conhecimento de “possível exposição de dados” e iniciou imediatamente uma apuração por meio da equipe de Tecnologia da Informação.
Ainda segundo a instituição, até o momento, a situação está relacionada a um ambiente vinculado ao Hospital do Coração de Sobral, unidade do complexo, sem “evidências de comprometimento direto dos sistemas da Santa Casa”.
FALHA EM SITE DE EMPREGOS
A falha foi identificada por um usuário, que não quis ser identificado. Ele relatou que encontrou uma oportunidade de trabalho no LinkedIn da instituição, mas ao clicar no link foi direcionado ao site para criação de currículo.
“Dando uma olhada no site mais a fundo, eu comecei a achar umas coisas estranhas, como, por exemplo, o formato das consultas SQL. Achei estranho e resolvi testar uma coisa”, relatou o usuário.
SQL é a sigla em inglês para Structured Query Language (Linguagem de Consulta Estruturada), utilizada para gerenciar e manipular bancos de dados.
Após criar o currículo e enviar, o usuário afirmou que notou algo na URL do site. Ao fazer simples movimentações, teve acesso a “documentos enviados por quem aplicou alguma vez estavam acessíveis publicamente de 2022 até 2026”.
DADOS SENSÍVEIS
O usuário compartilhou com o Diário do Nordeste alguns registros dos supostos dados. Há CPFs, endereços, nomes completos, números de telefones, fotos de pessoas e até mesmo o que seria, segundo ele, alguns atestados médicos. “Os arquivos PDF que encontrei com dados sensíveis os mais antigos eram de 2022. Mas, por exemplo, cheguei a encontrar cópias de algumas partes dos bancos de dados que eram de 2018”, alegou a fonte.
MEDIDAS DA SCMS
O hospital afirmou que medidas preventivas já foram adotadas, e a análise segue em andamento para verificar a extensão do caso.
“Caso seja confirmada a exposição de dados pessoais, as providências cabíveis serão adotadas, conforme a legislação vigente, especialmente a Lei Geral de Proteção de Dados (LGPD)”, expressa ainda a nota da SCMS.