Epic pausa novos produtos por 6 semanas para corrigir falhas no MyChart
A Epic, gigante americana de prontuários eletrônicos (sem relação com a Epic Games), suspendeu a maior parte do desenvolvimento de produtos para corrigir brechas que podiam expor dados de pacientes sem deixar rastro nos logs.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
A Epic Systems, maior fornecedora de prontuários eletrônicos dos Estados Unidos e dona do sistema MyChart (usado por pacientes para ver exames, receitas e mensagens com médicos) — empresa de software hospitalar sem qualquer relação com a Epic Games, criadora de Fortnite e da loja Epic Games Store — pausou a maior parte do desenvolvimento de novos produtos para se concentrar em corrigir falhas de segurança.
Segundo a CEO e fundadora Judy Faulkner, em declarações à publicação Modern Healthcare, a pausa deve durar cerca de seis semanas e afeta centenas de projetos internos. As vulnerabilidades foram descobertas depois que a Epic passou a usar o Mythos, modelo de inteligência artificial da Anthropic voltado a cibersegurança, para testar seus próprios sistemas.
De acordo com Stirling Martin, diretor de segurança da Epic, algumas configurações usadas por clientes do MyChart podiam permitir que terceiros acessassem registros de pacientes sem deixar qualquer rastro nos logs do software — ou seja, uma invasão poderia passar despercebida. A empresa não detalhou publicamente todas as falhas encontradas, mas afirma que o roteiro de lançamentos futuros não deve ser alterado, apenas adiado neste período.
Quem é afetado
O MyChart é usado para administrar mais de 320 milhões de registros de pacientes em hospitais e consultórios médicos nos Estados Unidos. A Epic não tem acesso direto aos dados médicos armazenados por seus clientes — essa responsabilidade é dos próprios hospitais e clínicas que operam o sistema — mas uma falha na plataforma pode comprometer diversas instituições ao mesmo tempo, já que o software é compartilhado entre elas.
Não há, até o momento, confirmação de que as brechas tenham sido exploradas por invasores antes de serem encontradas pela Epic.
O que fazer agora
Como o MyChart é praticamente todo usado por pacientes e instituições nos EUA, o impacto direto no Brasil é baixo. Ainda assim, vale ficar atento:
- Pacientes americanos que usam o MyChart devem observar comunicados do próprio hospital ou clínica sobre eventuais trocas de senha ou verificação em duas etapas;
- Profissionais de TI em saúde no Brasil podem aproveitar o caso para revisar se sistemas locais de prontuário eletrônico registram corretamente todos os acessos em log, evitando o mesmo tipo de falha;
- Qualquer pessoa, em qualquer país, deve redobrar a atenção com phishing: casos como esse costumam gerar e-mails falsos se aproveitando do noticiário para enganar usuários;
- Vale acompanhar se a Epic ou autoridades de saúde dos EUA divulgam, nas próximas semanas, se houve exploração real das falhas antes da correção.