Vídeos de hospitais coreanos divulgados em sites pornográficos estrangeiros enquanto a polícia investiga falhas de segurança nas câmaras

80 vídeos expõem pacientes durante tratamentos e enquanto se vestem

A polícia sul-coreana está a investigar a nova circulação de imagens de videovigilância hospitalar em sites pornográficos estrangeiros, depois de um deputado ter identificado 80 vídeos que mostram pacientes a receber tratamento, a serem submetidos a procedimentos e a vestirem-se. Vinte e um vídeos foram associados a uma única clínica de obstetrícia e ginecologia em Seul, e estima-se que o número de pessoas afetadas seja de cerca de 100.

As gravações apresentavam datas entre fevereiro de 2022 e novembro de 2025. Algumas tinham sido editadas para acompanhar pacientes individuais entre salas de espera, consultórios, salas de ecografia e salas de exames, expondo-lhes o rosto e o corpo sem qualquer ocultação. As imagens abrangiam também clínicas de cirurgia plástica, clínicas de medicina tradicional coreana e centros de reabilitação.

A Agência Nacional de Polícia recebeu, em 29 de setembro de 2026, um pedido de investigação do deputado Heo Jong-sik, do Partido Democrático da Coreia, e atribuiu o caso à Agência Provincial de Polícia de Chungbuk. Em 2025, foram detidos quatro suspeitos acusados de terem pirateado, vendido e distribuído originalmente as gravações. Os investigadores procuram agora identificar quem voltou a publicar o material noutros sites.

O caso foi abordado na audição da Comissão de Saúde e Bem-Estar da Assembleia Nacional, a 7 de outubro de 2026, onde a ministra da Saúde e do Bem-Estar, Jeong Eun-kyeong, reconheceu fragilidades na segurança da informação médica e prometeu medidas elaboradas em conjunto com o setor da saúde. Suspeita-se que as fugas tenham ocorrido através de câmaras ligadas à internet, mas o método exato e as responsabilidades ainda não foram apurados.

Uma distinção central já está a moldar a resposta: a Lei dos Serviços Médicos estabelece requisitos de segurança específicos para as câmaras obrigatórias nas salas de operações, enquanto a videovigilância noutros espaços hospitalares não está abrangida por essas regras específicas. Por isso, o cumprimento dos requisitos de instalação, por si só, não demonstra que os pacientes estejam protegidos em todas as áreas de uma unidade de saúde.

O que revelam as gravações

O gabinete de Heo comparou o nome e os interiores da clínica visíveis nas imagens com os de uma clínica de obstetrícia e ginecologia em funcionamento em Seul. Os 21 vídeos associados àquela unidade representam pouco mais de 26% das 80 gravações identificadas, constituindo a maior concentração divulgada.

A edição parece ter transformado gravações de videovigilância em sequências organizadas em torno dos pacientes e das instituições médicas. As imagens acompanhavam os pacientes de sala em sala, em vez de mostrarem apenas um episódio de tratamento. Outros vídeos mostravam injeções, pacientes a vestirem batas hospitalares, consultas e procedimentos de cirurgia plástica, acupuntura e terapia manual.

É importante distinguir gravações de vítimas. Oitenta vídeos não correspondem necessariamente a 80 pessoas, 80 clínicas ou 80 violações de segurança distintas. Heo disse na audição parlamentar que 80 casos tinham sido comunicados à polícia e que havia cerca de 100 vítimas. Outras notícias referiram que pelo menos cerca de 100 pessoas tinham sido afetadas. Ainda não foi anunciado um número final de vítimas nem uma lista completa das instituições afetadas.

O deputado Heo Jong-sik, membro da Comissão de Saúde e Bem-Estar da Assembleia Nacional, descreveu a ameaça à confiança dos pacientes:

Como podem as pessoas sentir-se seguras ao ir ao hospital se até imagens suas a receber tratamento e a vestir-se circulam na internet?

As detenções anteriores não travaram a redistribuição

A polícia já tinha pedido o bloqueio do acesso a um site que divulgava as gravações e tomado medidas para proteger as vítimas. O reaparecimento posterior das imagens noutros sites mostra que restringir o acesso a um único endereço não impediu a circulação de cópias.

Os quatro suspeitos detidos em 2025 foram acusados da pirataria, venda e distribuição iniciais. A sua detenção não permite determinar quem carregou as cópias posteriores nem se todos os vídeos atualmente em circulação tiveram origem na mesma intrusão. A investigação em curso procura identificar os responsáveis pela redistribuição e esclarecer a origem da fuga.

Um dos hospitais afetados afirmou ter sido alvo de uma investigação no ano anterior e ter realizado posteriormente uma análise de segurança abrangente. Esta declaração não permite determinar se as publicações recentemente descobertas contêm gravações antigas roubadas ou material obtido através de uma violação de segurança posterior. Heo pediu cooperação internacional, uma vez que os sites que divulgam as imagens estão alojados no estrangeiro.

As principais datas divulgadas até agora são:

• 2021: Uma alteração à Lei dos Serviços Médicos introduziu a obrigatoriedade de câmaras nas salas de operações.
• Fevereiro de 2022 a novembro de 2025: Datas apresentadas nas gravações identificadas.
• Setembro de 2023: Entrou em vigor a obrigatoriedade de videovigilância nas salas de operações.
• 2025: A polícia deteve quatro suspeitos acusados de piratear, vender e distribuir imagens.
• 29 de setembro de 2026: A Agência Nacional de Polícia recebeu o pedido de investigação de Heo.
• 7 de outubro de 2026: Os deputados questionaram a ministra da Saúde sobre as fugas e a cibersegurança médica.

Porque estão sob escrutínio as câmaras ligadas à internet

Crê-se que a maioria das imagens divulgadas tenha sido gravada por câmaras de protocolo de internet, vulgarmente designadas por câmaras IP. Estes dispositivos podem transmitir vídeo a outros equipamentos através de redes com ou sem fios. Quando os seus serviços estão acessíveis pela internet, falhas nas palavras-passe ou na configuração podem permitir acessos não autorizados.

Notícias sobre o caso referiram alguns produtos importados com palavras-passe de fábrica amplamente conhecidas e câmaras que transmitem imagens através de servidores web acessíveis online. São possíveis falhas de segurança, mas não uma explicação confirmada para a obtenção das gravações neste caso. Não foi identificada qualquer marca, falha de palavra-passe ou violação de servidor como causa.

Na audição parlamentar, a ministra da Saúde e do Bem-Estar, Jeong Eun-kyeong, apontou as câmaras IP como a preocupação imediata, sublinhando a necessidade de a polícia confirmar a origem da fuga:

Neste momento, as câmaras IP estão a ser identificadas como o problema, pelo que é necessário atuar nessa área.

A ministra distinguiu estes dispositivos das câmaras de circuito fechado exigidas nas salas de operações, cujas gravações devem ser guardadas numa rede fechada. A separação da rede limita a exposição direta à internet pública, mas não esclarece quem pode ver, copiar ou exportar as imagens. Essas questões de gestão fazem parte da inspeção pedida por Heo.

O que exige a lei para as salas de operações

A Lei dos Serviços Médicos exige câmaras nas salas de operações das instituições que realizem cirurgias a pacientes submetidos a anestesia geral ou sedação, entre outras formas de perda de consciência. A gravação é obrigatória quando solicitada pelo paciente ou pelo seu representante legal, salvo exceções previstas na lei. A medida foi introduzida para dissuadir condutas ilícitas, incluindo cirurgias realizadas por pessoas sem qualificações, e preservar provas para investigações e litígios médicos.

As regras aplicáveis às salas de operações exigem salvaguardas contra fugas, incluindo proteção por palavra-passe, registos de acessos e restrições às permissões de acesso. Os requisitos do Ministério da Saúde especificam câmaras de circuito fechado, em vez de câmaras de rede ligadas à internet, para este efeito.

Segundo os dados do ministério enviados ao gabinete de Heo, no final de junho de 2026, 2.528 das 2.529 instituições sujeitas à obrigação de instalação tinham câmaras. A instituição restante encontrava-se temporariamente encerrada. Assim, todas as instituições em funcionamento incluídas no total indicado tinham concluído a instalação, mas o número mede a instalação e não a segurança de todas as câmaras em todas as salas hospitalares.

O gabinete de Heo afirmou que as gravações identificadas foram feitas em salas de exames, consultórios, salas de espera e quartos de pacientes, fora dos espaços abrangidos pelas disposições específicas de gestão aplicáveis às salas de operações. Isto não significa que a videovigilância noutros locais esteja isenta de todas as obrigações de privacidade. Identifica, sim, uma lacuna nas salvaguardas específicas impostas pela Lei dos Serviços Médicos.

As notícias divergem sobre a utilização de câmaras nas salas de operações

Algumas notícias descreveram as imagens divulgadas como incluindo cenas de salas de operações. As conclusões de Heo, porém, situaram as gravações identificadas fora dessas salas, e o ministério afirmou que a origem suspeita eram câmaras IP, e não os sistemas obrigatórios de câmaras em rede fechada.

Não foi, portanto, confirmada uma ligação direta entre as fugas e as câmaras instaladas ao abrigo da obrigação aplicável às salas de operações. As notícias referiram também que alguns hospitais usam câmaras IP para vigiar salas de operações e outros espaços interiores. Só uma inspeção poderá determinar se alguma instituição em particular usou uma câmara IP em vez do equipamento exigido por lei; o total nacional de instalações não permite estabelecer esse facto.

A Associação Médica de Seul pediu uma investigação sobre as circunstâncias, a dimensão e a redistribuição das gravações, bem como uma revisão completa da política relativa às câmaras nas salas de operações, incluindo a possibilidade de a revogar. A associação argumentou que imagens médicas íntimas podem causar danos excecionais e que, depois de copiadas e distribuídas, é difícil recuperá-las.

O debate sobre a política depende de factos que os investigadores ainda não esclareceram. Uma fuga a partir de câmaras instaladas fora do âmbito da obrigação apontaria para a necessidade de controlos mais abrangentes da videovigilância hospitalar. Provas de que um sistema obrigatório de sala de operações foi comprometido, ou de que foi utilizado equipamento inadequado em seu lugar, levantariam outras questões de conformidade. Nenhuma destas conclusões deve ser presumida antes de se identificarem o equipamento e as vias de acesso.

Porque não havia registo de incidentes com CCTV no Ministério da Saúde

Os dados do ministério apresentados ao gabinete de Heo registaram 109 incidentes de cibersegurança em instituições médicas entre 2021 e agosto de 2026. As instituições privadas foram responsáveis por 106 e as públicas por três. Os ataques de ransomware corresponderam a 98 incidentes, quase 90% do total, e nenhum foi identificado como envolvendo imagens de CCTV.

Essa ausência não demonstra que não tenham ocorrido violações de segurança relacionadas com câmaras. A polícia já tinha detido suspeitos por causa de gravações hospitalares em 2025, mas os registos do ministério não incluíam qualquer incidente de CCTV correspondente. A diferença aponta para uma lacuna entre a atividade policial e a informação que chega ao organismo responsável pela política de saúde.

Heo afirmou que as instituições médicas privadas comunicam ao Ministério da Saúde e do Bem-Estar as violações que envolvam registos clínicos eletrónicos, enquanto os incidentes que afetam outros sistemas são comunicados ao Ministério da Ciência e das TIC ou à Agência Coreana para a Internet e Segurança. Neste modelo, uma violação de segurança das câmaras de um hospital pode não constar dos registos de incidentes do Ministério da Saúde.

Jeong disse que tomou conhecimento das imagens através da cobertura noticiosa. Heo pediu uma inspeção abrangente que abranja a localização das câmaras, o armazenamento das gravações, a gestão de acessos e a responsabilidade pela segurança, em vez de uma verificação limitada à instalação das câmaras obrigatórias nas salas de operações.

A audição revelou fragilidades de segurança mais abrangentes

A investigação às câmaras foi abordada em conjunto com ataques que interromperam cuidados de saúde e expuseram outros dados de pacientes. Nos primeiros oito meses de 2026, registaram-se 14 casos de ransomware na rede interna de hospitais, contra oito em 2025. O total parcial do ano já era superior em seis casos, um aumento de 75%, embora os números abranjam períodos de duração diferente.

O ransomware bloqueia ou perturba normalmente sistemas informáticos para pressionar uma organização a pagar. No Hospital Universitário Nacional de Kangwon, um ataque interrompeu os tratamentos durante quatro horas e 50 minutos. No Hospital Universitário Nacional de Chonnam, em Hwasun, foi comunicada a fuga de 298 registos com dados pessoais.

A rede nacional de informação médica de emergência sofreu três interrupções em 2026. Uma falha que afetou o Centro Médico Nacional demorou até 32 horas a ser resolvida. Estas interrupções ilustram um risco distinto para a continuidade dos cuidados, mas os relatos apresentados na audição não estabeleceram que as três tenham resultado de ciberataques.

A deputada Han Ji-a, do Partido do Poder Popular, apresentou dados segundo os quais 16,7% dos 263 hospitais gerais, incluindo hospitais terciários, não tinham orçamento para segurança da informação. Em média, cada instituição tinha 0,9 profissionais de segurança. Referiu também a intrusão, em 2021, de um grupo de hackers norte-coreano no Hospital Universitário Nacional de Seul, que expôs informações de saúde relativas a cerca de 830.000 pessoas.

Estes incidentes envolvem sistemas diferentes e não devem ser tratados como uma única violação. Em conjunto, mostram por que razão a resposta do ministério está a alargar-se para além das câmaras, abrangendo recursos humanos, orçamentos, redes hospitalares e proteção da informação médica.

O que prometeu o Governo

Jeong comprometeu-se a elaborar um plano de segurança em conjunto com instituições médicas privadas e disse que o ministério pediu à Associação Médica Coreana e à Associação Hospitalar Coreana que reforçassem os controlos internos. Reconheceu que os hospitais apontam os custos e a falta de especialistas como obstáculos ao reforço da proteção.

A ministra da Saúde e do Bem-Estar, Jeong Eun-kyeong, descreveu o ritmo da ameaça durante a audição:

Não estamos a acompanhar a velocidade dos atacantes.

A resposta prevista inclui a ponderação de testes ofensivos de cibersegurança, ou seja, testes autorizados que imitam ataques para detetar vulnerabilidades antes de serem exploradas por criminosos. Han propôs começar por aplicar esta abordagem nos hospitais universitários nacionais, no Serviço Nacional do Seguro de Saúde e no Serviço de Revisão e Avaliação do Seguro de Saúde. O ministério afirmou também que iria estudar formas de assegurar especialistas e financiamento.

Para as vítimas das fugas de imagens, as prioridades imediatas são a remoção do material, o bloqueio de novas distribuições e a proteção contra exposições adicionais. Heo pediu também normas de segurança institucionais e inspeções que abranjam todo o equipamento de vídeo hospitalar, e não apenas as câmaras obrigatórias nas salas de operações.

Não foi anunciada qualquer data para a conclusão da investigação policial, a determinação do número final de vítimas, a publicação do plano de segurança abrangente ou uma decisão sobre a alteração das regras relativas às câmaras. As promessas são medidas ainda por desenvolver, não uma reforma concluída. Determinar se as gravações foram roubadas recentemente ou copiadas repetidamente será essencial para avaliar tanto a violação como a eficácia da resposta.

Pontos principais

• O gabinete de Heo identificou 80 vídeos de instituições médicas coreanas, incluindo 21 associados a uma clínica de obstetrícia e ginecologia de Seul.
• Foram identificadas cerca de 100 pessoas como vítimas; o número final ainda não foi determinado.
• A polícia de Chungbuk está a investigar a nova distribuição, depois de quatro suspeitos terem sido detidos em 2025.
• Suspeita-se que a fuga tenha ocorrido através de câmaras IP. Não foi confirmada qualquer ligação às câmaras CCTV obrigatórias nas salas de operações.
• Os registos do Ministério da Saúde contabilizaram 109 incidentes de cibersegurança em instituições médicas até agosto de 2026, mas nenhum envolveu CCTV.
• O Governo prometeu medidas de segurança conjuntas, controlos internos reforçados e a ponderação de testes autorizados que simulem ataques.
• O método da fuga, a dimensão total da exposição e o calendário das reformas continuam por esclarecer.