Segurança para Plataformas de Saúde Mental e Psicologia Digital

Por que saúde mental digital é um alvo de altíssimo valor

Uma plataforma de terapia online concentra, em um único banco de dados, o tipo de informação que as pessoas mais querem manter privada. Não se trata apenas de nome, CPF e e-mail. São anotações de sessão sobre relacionamentos, abuso, vícios, ideação suicida, identidade, conflitos familiares e diagnósticos de transtornos. Cada registro de sessão é, na prática, um dossiê íntimo do paciente. Para um atacante, isso muda completamente a economia do crime: o dado não vale apenas pelo que pode ser revendido, vale pelo poder de coerção que carrega sobre cada titular individualmente.

É essa característica que torna o setor um ímã para a chamada dupla extorsão. Em vez de simplesmente cifrar os servidores e pedir resgate para devolver o acesso, os grupos modernos primeiro exfiltram os registros mais sensíveis e só depois disparam o ransomware. O pedido de resgate passa a ter duas alavancas: o tempo de inatividade da plataforma e a ameaça de publicar — ou enviar diretamente aos próprios pacientes — o conteúdo das sessões. Em saúde mental, essa segunda alavanca é devastadora, porque atinge pessoas em situação de vulnerabilidade e pode causar dano psicológico real, além do dano reputacional e jurídico à plataforma.

Some-se a isso o regime jurídico. Sob a Lei Geral de Proteção de Dados, dado referente à saúde é dado pessoal sensível, tratado no art. 11 com hipóteses de base legal mais restritas do que as do art. 7. Anotação psicológica e registro de sessão entram nesse núcleo. Há ainda a camada profissional: o Conselho Federal de Psicologia regula o sigilo profissional e a guarda de documentos psicológicos, incluindo o atendimento on-line. A plataforma que falha na segurança não responde apenas perante a ANPD, mas também perante o ecossistema de fiscalização profissional dos psicólogos que a utilizam.

As quatro ameaças que definem o setor

Extorsão e vazamento de registros de terapia

É o cenário de maior impacto. O atacante busca acesso persistente, mapeia onde estão as anotações de sessão e os históricos clínicos, e exfiltra de forma lenta e fragmentada para escapar de alertas grosseiros de volume. Quando tem material suficiente, inicia a negociação. A defesa eficaz aqui não é só prevenir a entrada — é detectar a movimentação lateral e a exfiltração cedo, no intervalo entre o comprometimento inicial e a coleta completa dos dados.

Comprometimento de videochamada e teleterapia

A sala de teleconsulta é uma superfície de ataque própria. Links de sessão previsíveis ou compartilháveis permitem que um terceiro entre na sala. Tokens de acesso longevos, sem expiração curta nem vínculo ao dispositivo, podem ser reutilizados. Gravações de sessão — quando existem, e em saúde mental existir gravação já é um risco — frequentemente ficam em buckets mal configurados, acessíveis por URL. Um único bucket público pode expor centenas de horas de vídeo terapêutico.

Vazamento de prontuário psicológico e account takeover

O prontuário consolidado é o alvo de maior densidade informacional. Vaza por API mal autorizada (IDOR, em que trocar um identificador na requisição devolve o prontuário de outro paciente), por exportações em massa sem controle, por backups expostos e por acessos internos abusivos sem trilha de auditoria. Em paralelo, tomar a conta de um paciente expõe todo o seu histórico; tomar a conta de um terapeuta expõe os prontuários de todos os seus pacientes. Os vetores clássicos são credential stuffing, phishing, ausência de MFA e recuperação de senha frágil.

O que protege esse dado: arquitetura de defesa por camadas

Não existe controle único que resolva. O que protege é a sobreposição de camadas, de modo que a falha de uma não signifique o comprometimento total. A Decripte estrutura essa defesa em torno de quatro eixos: proteger o dado em si, proteger o acesso, proteger a sala de teleterapia e enxergar tudo o que acontece.

Repare que a maioria desses controles não é sobre comprar uma caixa. É sobre desenho de arquitetura, configuração correta e validação independente. Por isso a etapa de pentest é central: ela testa se a teoria do controle resiste à prática do ataque. Um WAF mal configurado dá falsa sensação de segurança; um MFA com fluxo de bypass na recuperação de senha é MFA no papel. O pentest revela essas lacunas antes do atacante.

Blindando a teleterapia: a superfície que todos esquecem

A videochamada terapêutica costuma ser tratada como um recurso de produto, não como uma superfície de segurança. Esse é um erro frequente e caro. Uma sessão de terapia invadida não é apenas uma falha técnica — é uma violação de intimidade no momento mais frágil de uma pessoa. A engenharia de uma sala segura tem requisitos próprios.

Identidade e admissão na sala

Cada sala deve usar identificadores não previsíveis e tokens de acesso de vida curta, vinculados à sessão específica e idealmente ao dispositivo. A entrada deve passar por uma sala de espera com admissão explícita pelo terapeuta, de modo que ninguém entre sem ser reconhecido. Links reutilizáveis e identificadores sequenciais são proibidos: permitem que alguém adivinhe ou reaproveite o acesso.

Mídia e gravação

O fluxo de áudio e vídeo deve ser cifrado fim a fim sempre que a arquitetura permitir, ou no mínimo cifrado em trânsito com chaves bem geridas. A decisão sobre gravar é, antes de técnica, ética e jurídica: em saúde mental, a gravação default deve ser não gravar. Quando há gravação consentida e justificada, o artefato precisa ser cifrado, com acesso restrito, retenção mínima definida e exclusão garantida ao fim do prazo — nunca um arquivo de vídeo solto em armazenamento público.

O pentest de teleconsulta da Decripte exercita exatamente esses pontos: tenta adivinhar e reutilizar links de sala, testa a expiração e o escopo dos tokens, verifica se um usuário consegue entrar em sessão que não é sua, e audita onde e como as gravações são guardadas. O resultado é um relatório executivo e técnico, com prova de conceito controlada de cada falha e plano de correção priorizado.

LGPD e CFP para dado sensível: conformidade que sobrevive à fiscalização

Conformidade em saúde mental não é um PDF de política. É a capacidade de demonstrar, diante da ANPD e do ecossistema profissional, que você tratou dado sensível com o cuidado que a lei exige. A Decripte estrutura essa conformidade de forma operacional, ancorada na realidade técnica da plataforma.

Base legal e finalidade

Sob a LGPD, dado de saúde é sensível e cai no art. 11, que exige base legal específica — tipicamente o consentimento do titular ou a tutela da saúde por profissionais de saúde. É preciso mapear, para cada tratamento (atendimento, faturamento, suporte, analytics), qual é a base legal e a finalidade, e garantir que nenhum uso secundário escape desse mapeamento. Registro de sessão usado para treinar modelo, por exemplo, é um tratamento novo que precisa de base própria.

Minimização, retenção e direitos do titular

O princípio da minimização manda coletar e reter apenas o necessário. Em saúde mental isso colide com a guarda documental: o CFP estabelece prazos de guarda para documentos psicológicos. A estruturação correta concilia os dois — define o que retém, por quanto tempo, com qual cifragem, e como atende aos direitos de acesso, correção e portabilidade do titular sem expor o dado a quem não deve.

Sigilo profissional e a relação com os psicólogos

A plataforma é a infraestrutura sobre a qual psicólogos exercem o sigilo profissional. Uma falha de segurança da plataforma pode colocar o profissional em violação do seu próprio dever ético. Estruturar a segurança protege, portanto, não só a empresa, mas a relação de confiança com os terapeutas — um ativo competitivo direto no setor.

Monitoramento contínuo: detectar a exfiltração antes da extorsão

Em dupla extorsão, existe uma janela entre o comprometimento inicial e a coleta completa dos dados. Quem detecta nessa janela contém o incidente antes que ele vire extorsão. Quem só percebe quando o ransomware dispara já perdeu os dados. É por isso que o monitoramento contínuo — o SOC 24x7 — é a diferença prática entre um susto e uma crise.

O SOC da Decripte correlaciona sinais de toda a plataforma: autenticações anômalas, acessos a prontuário fora do padrão do terapeuta, exportações em massa, movimentação lateral, comunicação com infraestrutura suspeita e mudanças de configuração que reabram exposição. O foco em saúde é detectar exfiltração e abuso de acesso, não apenas o alerta genérico de antivírus.

Os dois tempos da Decripte: contenção e estruturação

A Decripte atua em dois tempos complementares. No tempo da crise, contém o incidente, conduz a forense e restabelece a operação com a menor perda possível. No tempo da paz, estrutura a segurança para que o próximo ataque encontre uma plataforma muito mais difícil. Os dois tempos se alimentam: cada incidente respondido gera lições que viram controles, e cada controle bem estruturado reduz o impacto do próximo incidente.

Isso é especialmente importante em saúde mental, onde o custo de um incidente não é só financeiro e regulatório — é humano. Conter rápido limita quantas anotações de sessão chegam às mãos do atacante. Estruturar bem reduz a chance de que existam anotações expostas para começar. As seções de resposta e estruturação abaixo detalham exatamente como cada tempo funciona na prática.

Anatomia de um incidente: registros de sessão vazados em uma plataforma de teleterapia

Como a Decripte responde a um incidente em saúde mental

Resposta a incidentes em saúde mental tem uma exigência extra: cada hora de demora pode significar mais anotações de sessão nas mãos do atacante e mais titulares em risco de coerção. O processo da Decripte equilibra velocidade de contenção com precisão forense.

1. Acionamento e triagem com SLA de contenção <=1h: validar o incidente, confirmar autenticidade de eventuais amostras de extorsão e ativar o plano de resposta imediatamente.
2. Contenção cirúrgica: revogar sessões e tokens comprometidos, rotacionar credenciais, bloquear endpoints e contas abusadas e aplicar regras de borda, mantendo no ar os atendimentos legítimos sempre que possível.
3. Forense e determinação de escopo: reconstruir a linha do tempo, identificar o vetor e medir com precisão quais prontuários e registros de sessão foram acessados ou exfiltrados.
4. Erradicação: corrigir a causa raiz (falha de autorização, conta sem MFA, bucket aberto, token longevo) e remover qualquer persistência do atacante na plataforma.
5. Recuperação segura: restabelecer a operação a partir de estado confiável, com MFA reforçado, monitoramento intensificado e validação de que os vetores foram fechados.
6. Trilha regulatória LGPD: montar a comunicação à ANPD e aos titulares afetados dentro da janela exigida, com base no escopo apurado pela forense, e apoiar a relação com o CFP e os psicólogos.
7. Postura diante da extorsão: orientar a não financiar o crime, priorizando contenção, transparência e proteção dos titulares, com comunicação responsável.
8. Lições aprendidas e plano de blindagem: transformar o incidente em controles permanentes e em um roadmap de estruturação para reduzir a probabilidade e o impacto do próximo evento.

Como a Decripte estrutura a segurança da plataforma

Depois de conter, o objetivo é fazer o próximo ataque ser muito mais difícil e muito menos danoso. A estruturação se organiza em pilares que cobrem o dado, o acesso, a teleterapia, a vigilância e a conformidade.

Planos recomendados para Saúde Mental e Psicologia Digital

Perguntas frequentes

Termos do setor

Dado pessoal sensível (LGPD art. 11)

Categoria da LGPD que inclui dado referente à saúde, com bases legais de tratamento mais restritas que as do art. 7. Anotação de sessão de terapia e prontuário psicológico entram nessa categoria e exigem cuidado reforçado.

Dupla extorsão

Tática em que o atacante exfiltra os dados antes de cifrar os sistemas, somando a ameaça de vazamento à de indisponibilidade. Em saúde mental, inclui a coerção direta de pacientes com suas próprias anotações de sessão.

IDOR (Insecure Direct Object Reference)

Falha de autorização em que o sistema confia no identificador enviado pelo cliente sem verificar o direito do usuário ao recurso. É causa raiz recorrente de vazamento de prontuário e parte da categoria Broken Access Control do OWASP Top 10.

Account takeover

Tomada de controle de uma conta legítima, via credential stuffing, phishing ou recuperação de senha frágil. Tomar a conta de um terapeuta expõe os prontuários de todos os seus pacientes; por isso MFA e detecção de anomalia são essenciais.

SOC 24x7

Centro de Operações de Segurança que monitora a plataforma continuamente, correlacionando sinais para detectar exfiltração, acessos anômalos e abuso antes que um comprometimento vire extorsão.

Teleterapia / teleconsulta

Atendimento psicológico por videochamada. É uma superfície de ataque própria, com riscos específicos de invasão de sala, reutilização de token e exposição de gravação que exigem blindagem dedicada.