Segurança para Telemedicina: protegendo teleconsultas de interceptação e acesso indevido
Áudio, vídeo e dados clínicos trafegando em tempo real, expostos na internet. Mostramos a anatomia de um acesso não autorizado a salas de teleconsulta por links previsíveis — e como a Decripte descobre, contém e blinda esse risco com pentest, SOC 24x7, criptografia ponta a ponta e conformidade.
Resposta direta
Para proteger uma plataforma de telemedicina, trate a sala de teleconsulta como um ativo clínico crítico: substitua links previsíveis por convites de uso único com expiração curta, exija autenticação forte (MFA) de médico e paciente, force criptografia ponta a ponta no transporte de áudio e vídeo (WebRTC com DTLS-SRTP), segregue dados de sessão dos dados clínicos persistidos, monitore tentativas de ingresso em salas com um SOC 24x7 e valide tudo com pentest focado em signaling, geração de tokens e WebRTC. A Decripte cobre esses eixos com Pentest especializado, SOC 24x7, Resposta a Incidentes (contenção em até 1h) e adequação à LGPD e às resoluções do CFM sobre telemedicina.
24/7
SOC monitorando salas e signaling
<=1h
SLA de contenção em incidentes
LGPD
Dado de saúde é dado pessoal sensível
CFM
Telemedicina regulada (Res. 2.314/2022)
Em resumo
- ›Links de sala previsíveis (IDs sequenciais, tokens curtos ou sem expiração) são o vetor mais subestimado da telemedicina: permitem que um terceiro entre em uma teleconsulta sem nunca atacar a infraestrutura.
- ›Dado clínico transmitido em teleconsulta é dado pessoal sensível sob a LGPD; o tratamento exige base legal adequada, minimização e segurança técnica proporcional ao risco.
- ›Criptografia de transporte (HTTPS) não basta: a mídia WebRTC precisa de DTLS-SRTP e, em arquiteturas que passam por servidores de mídia, é preciso decidir explicitamente onde a sessão é descriptografada e quem tem acesso.
- ›Pentest de telemedicina não é só web app: cobre o canal de signaling, a geração e o ciclo de vida dos tokens de sala, o fluxo WebRTC, os apps móveis e o servidor TURN/SFU.
- ›A combinação que sustenta a operação é Pentest (descobre) + Segurança de Borda (protege o perímetro) + SOC 24x7 (detecta) + Resposta a Incidentes (contém em até 1h).
Cibersegurança para Telemedicina
Áudio, vídeo e dados clínicos trafegando em tempo real, expostos na internet. Mostramos a anatomia de um acesso não autorizado a salas de teleconsulta por links previsíveis — e como a Decripte descobre, contém e blinda esse risco com pentest, SOC 24x7, criptografia ponta a ponta e conformidade.
Por que a telemedicina é um alvo de alto valor e baixa fricção
A telemedicina mudou de canal alternativo para infraestrutura central de atendimento. Uma única plataforma de consulta remota concentra, em tempo real, três classes de informação extremamente sensíveis: o áudio e o vídeo da consulta, os dados de identificação e os dados clínicos discutidos ou registrados durante a sessão. Diferente de um sistema hospitalar tradicional, que vive atrás de firewalls e VPNs, a plataforma de teleconsulta precisa estar exposta na internet pública para que paciente e médico se conectem de qualquer lugar, em qualquer dispositivo. Essa exposição é a função do produto — e é exatamente o que cria a superfície de risco.
Do ponto de vista de um atacante, a telemedicina combina dois atributos que raramente coexistem: alto valor da informação e baixa fricção de acesso. O valor é evidente — dados de saúde são monetizáveis em fraudes, chantagem e venda em mercados ilícitos, além de carregarem peso reputacional e jurídico desproporcional. A baixa fricção vem de decisões de engenharia tomadas para tornar o produto fácil de usar: links de sala curtos e compartilháveis, ingresso sem cadastro para reduzir abandono, e tokens com prazos generosos para não frustrar o paciente que clica atrasado. Cada uma dessas escolhas, isolada, parece razoável. Juntas, podem transformar uma sala de teleconsulta em algo que qualquer pessoa com o link consegue acessar.
O risco que ninguém vê no roadmap
O ataque mais provável contra uma plataforma de teleconsulta não é uma exploração sofisticada de zero-day. É alguém entrando em uma sala porque o identificador era adivinhável, o token não expirava, ou o sistema não verificava se quem entrou era realmente o paciente esperado. Esse vetor não aparece em scanner automatizado de vulnerabilidade — aparece em pentest de lógica de negócio.
O resultado é que muitas plataformas de telemedicina passam por auditorias de infraestrutura limpas — TLS configurado, headers de segurança presentes, dependências atualizadas — e ainda assim carregam um risco crítico de confidencialidade na própria mecânica de criação e acesso às salas. É esse tipo de risco, invisível para ferramentas e visível apenas para um analista que pensa como atacante, que a Decripte foi construída para encontrar antes que vire incidente.
O ponto cego: links de sala previsíveis e a anatomia do acesso indevido
Como um link vira uma porta aberta
Toda teleconsulta acontece dentro de uma sala virtual, e toda sala precisa de um identificador. A pergunta crítica de segurança é: quão difícil é, para alguém que não foi convidado, descobrir ou adivinhar o identificador de uma sala que está acontecendo agora? Quando a resposta é fácil, a plataforma tem um problema de confidencialidade na raiz, independentemente de quão bem o resto esteja configurado.
Os padrões inseguros que encontramos em campo seguem alguns arquétipos. O primeiro é o identificador sequencial ou semi-sequencial: salas numeradas em ordem, ou derivadas do ID do agendamento, do CPF, do número do paciente ou de um timestamp. Se a sala 10482 existe, um atacante testa 10481, 10483, 10484 e descobre o padrão. O segundo é o token curto e de baixa entropia: um código de seis caracteres alfanuméricos pode parecer suficiente, mas se há milhares de consultas simultâneas, o espaço de busca efetivo cai e a adivinhação por força bruta vira viável. O terceiro é o token sem expiração ou com expiração longa: o link de uma consulta de ontem ainda abre a sala hoje, ou a sala continua aberta após o fim da consulta. O quarto, e mais grave, é a ausência de verificação de identidade no ingresso: a sala confia em quem tem o link, sem checar se aquele dispositivo, aquela sessão autenticada ou aquele paciente é o esperado.
Os quatro defeitos que abrem uma sala
- ›Identificador previsível: salas derivadas de sequência, agendamento, CPF ou timestamp permitem enumeração.
- ›Token de baixa entropia: códigos curtos ficam adivinháveis sob volume de consultas simultâneas.
- ›Token sem expiração ou sala que não fecha: o link de ontem ainda funciona; a sala fica viva após a consulta.
- ›Ingresso sem verificação de identidade: a sala confia em quem tem o link, não em quem o link deveria pertencer.
Por que isso escapa das defesas tradicionais
Esse vetor é insidioso porque não viola nenhuma regra técnica óbvia. O HTTPS está perfeito. O WebRTC negocia DTLS-SRTP corretamente. O firewall de aplicação não vê nada de errado, porque o acesso à sala é uma requisição legítima com um token válido — apenas com um token que pertencia a outra pessoa. É um problema de lógica de autorização, não de configuração de transporte. Por isso a defesa não é um produto que se compra e liga: é uma combinação de design correto de tokens, autenticação forte no ingresso, expiração agressiva, e monitoramento que detecta o padrão de enumeração (muitas tentativas de ingresso falhas, ou ingressos a partir de origens improváveis) em tempo real.
O princípio que a Decripte aplica
Ter o link de uma sala não pode ser suficiente para entrar nela. O link convida; a autenticação autoriza. Toda sala de teleconsulta deve, no mínimo, exigir que o participante comprove ser quem deveria estar ali — por sessão autenticada com MFA, por código de uso único entregue por canal separado, ou por validação prévia no fluxo de agendamento.
Os dados de telemedicina já estão expostos ou à venda? Descubra agora — de graça.
Sem cartão, sem compromisso. Descubra em minutos o que já vazou da sua empresa e qual é o seu risco real.
Criptografia ponta a ponta: o que realmente protege áudio e vídeo
Existe uma confusão comum entre criptografia de transporte e criptografia da mídia da chamada. Quando um paciente acessa a plataforma por HTTPS, o tráfego web está protegido em trânsito — mas isso diz respeito às páginas, às APIs e ao signaling, não necessariamente ao áudio e vídeo da consulta. O fluxo de mídia em tempo real usa WebRTC, e a proteção correta desse fluxo depende de DTLS-SRTP: as chaves são negociadas via DTLS e a mídia em si é cifrada com SRTP. Sem isso explicitamente garantido, há cenários em que pacotes de mídia poderiam ser capturados e reconstruídos.
O ponto mais sutil aparece na arquitetura de mídia. Chamadas ponto a ponto (entre dois participantes) podem manter a mídia cifrada de ponta a ponta de fato. Mas a maioria das plataformas usa um servidor de mídia — um SFU (Selective Forwarding Unit) ou MCU — para escalar, gravar consultas, transcrever ou suportar múltiplos participantes. Nessas arquiteturas, a mídia normalmente é descriptografada no servidor para ser reencaminhada. Isso não é necessariamente errado, mas é uma decisão que precisa ser consciente e protegida: quem tem acesso a esse servidor, em tese, tem acesso ao conteúdo da consulta. A pergunta de segurança correta não é apenas se há criptografia, mas onde a sessão é descriptografada e quem pode tocá-la naquele ponto.
Checklist de criptografia para teleconsulta
- ✓WebRTC com DTLS-SRTP confirmado e obrigatório para todo o fluxo de mídia, sem fallback inseguro.
- ✓Decisão explícita e documentada sobre arquitetura de mídia: P2P versus SFU/MCU, e onde a mídia é descriptografada.
- ✓Servidor de mídia (SFU/MCU) e servidor TURN endurecidos, segregados e com acesso administrativo restrito e auditado.
- ✓TLS moderno (sem versões obsoletas, sem cifras fracas) em toda a superfície web, API e signaling.
- ✓Gravações de consulta — quando existirem — cifradas em repouso, com base legal LGPD, retenção definida e acesso auditado.
- ✓Chaves e segredos fora do código, em cofre gerenciado, com rotação definida.
A Decripte valida cada um desses pontos em pentest e ajuda a estruturar a arquitetura de mídia de forma que a decisão sobre confidencialidade seja deliberada e defensável, e não um efeito colateral de como a biblioteca de WebRTC veio configurada por padrão.
A superfície completa: o que um pentest de telemedicina precisa cobrir
Pentest de plataforma de teleconsulta é mais amplo do que um teste de aplicação web convencional. A natureza tempo-real, multi-dispositivo e multi-protocolo da telemedicina cria superfícies que um escopo genérico não alcança. Um pentest de telemedicina bem feito atravessa toda a cadeia que liga o paciente ao médico.
Escopo de um pentest de telemedicina
- ✓Geração e ciclo de vida dos tokens de sala: entropia, previsibilidade, expiração, revogação ao fim da consulta.
- ✓Lógica de autorização de ingresso: a sala verifica identidade, ou confia em quem tem o link?
- ✓Canal de signaling (WebSocket/HTTP): autenticação, injeção de mensagens, sequestro de sessão de signaling.
- ✓Fluxo WebRTC: negociação DTLS-SRTP, exposição de IP via ICE/STUN, abuso do servidor TURN como relay.
- ✓Apps móveis (iOS/Android): armazenamento local de tokens, certificate pinning, exposição de dados em logs e cache.
- ✓APIs de backend: IDOR sobre prontuário, agendamento e gravações; controle de acesso entre médico, paciente e administrador.
- ✓Autenticação e sessão: MFA, política de senha, fixação e expiração de sessão, recuperação de conta.
- ✓Resistência a phishing: superfícies que um atacante imitaria para capturar credenciais de médicos.
O caso especial do servidor TURN
O servidor TURN existe para que a chamada funcione mesmo quando os participantes estão atrás de NATs e firewalls restritivos — ele faz relay da mídia. Mal configurado, vira dois problemas: pode vazar endereços IP internos dos participantes via candidatos ICE, e pode ser abusado por terceiros como relay aberto para tráfego arbitrário, transformando sua infraestrutura em trampolim para outros ataques. É um componente que raramente entra no escopo de auditorias genéricas e quase sempre tem algo a corrigir quando entra no nosso.
IDOR é o vetor silencioso das APIs clínicas
Acesso Direto Inseguro a Objeto (IDOR) acontece quando a API entrega o prontuário, a gravação ou o agendamento de outro paciente apenas porque o ID foi trocado na requisição, sem checar se o solicitante tem direito àquele recurso. Em saúde, um único IDOR pode expor a base inteira de pacientes. É um dos primeiros alvos do nosso pentest de APIs de telemedicina.
Phishing contra médicos: o elo humano que contorna toda a criptografia
A criptografia mais forte não protege contra um médico que digita a senha em uma página falsa. Profissionais de saúde são alvos atraentes: têm acesso a múltiplos prontuários, costumam operar sob pressão de tempo e nem sempre passam por treinamento de segurança regular. Um e-mail que imita a plataforma de telemedicina, um falso aviso de consulta urgente, uma página de login clonada — qualquer um desses pode entregar a credencial de um médico, e com ela o acesso a tudo que aquele profissional alcança.
A mitigação tem três camadas, e as três importam. A primeira é técnica: MFA resistente a phishing reduz drasticamente o valor de uma credencial roubada, porque a senha sozinha deixa de bastar. A segunda é de monitoramento: o SOC 24x7 detecta o login anômalo — horário improvável, geolocalização incompatível, dispositivo novo, padrão de acesso atípico — e dispara antes que o invasor circule. A terceira é de inteligência de borda: monitorar o registro de domínios parecidos com o da plataforma (typosquatting) e páginas de phishing que imitam a marca, derrubando-as antes que sejam usadas contra os profissionais.
Defesa em profundidade contra phishing
MFA tira o valor da senha roubada. O SOC 24x7 detecta o uso anômalo da credencial comprometida. A inteligência de borda derruba o domínio falso antes do disparo. Nenhuma das três sozinha resolve; as três juntas tornam a campanha de phishing cara e barulhenta — exatamente o que afasta o atacante.
A Decripte trata phishing contra a equipe clínica como parte integrante da postura de segurança da plataforma, não como um problema separado de RH. O plano gratuito de Gestão de Ameaças em decripte.com.br/intelligence-center já dá visibilidade inicial sobre exposições e impersonação de marca associadas ao domínio da plataforma.
Quanto custaria um incidente em telemedicina? Veja o seu risco real antes que ele aconteça.
Sem cartão, sem compromisso. Descubra em minutos o que já vazou da sua empresa e qual é o seu risco real.
Conformidade: LGPD, ANPD e as regras do CFM para telemedicina
Dado de saúde é, pela LGPD, dado pessoal sensível. Isso eleva o nível de exigência sobre todo o ciclo de tratamento: a base legal precisa ser adequada à finalidade (tutela da saúde por profissional, consentimento quando aplicável, ou outra base prevista em lei), a coleta deve ser minimizada ao necessário, e as medidas de segurança técnicas e administrativas precisam ser proporcionais ao risco. Uma teleconsulta gera vários tipos de dado simultaneamente — identificação, conteúdo clínico, metadados de sessão, eventuais gravações — e cada um exige uma decisão consciente de base legal, finalidade e retenção.
Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a LGPD prevê comunicação à ANPD e aos titulares afetados em prazo razoável. Para uma plataforma de telemedicina, isso significa que a capacidade de detectar, dimensionar e documentar um incidente rapidamente não é só boa prática de segurança — é um requisito regulatório com consequências de prazo. Um incidente bem instrumentado, com timeline clara e escopo delimitado, é a diferença entre uma notificação controlada e uma crise.
Camadas regulatórias que a telemedicina precisa atender
- ›LGPD: dado de saúde é dado pessoal sensível; base legal adequada, minimização, segurança proporcional ao risco.
- ›ANPD: dever de comunicar incidentes com risco relevante aos titulares e à autoridade em prazo razoável.
- ›CFM (Resolução 2.314/2022): regula a prática da telemedicina, incluem-se requisitos de sigilo, registro e segurança das informações.
- ›Sigilo médico: a confidencialidade da relação médico-paciente é dever profissional e jurídico, reforçado no ambiente digital.
- ›ISO 27001 e SOC 2: frameworks que estruturam e comprovam a governança de segurança para clientes e parceiros institucionais.
A prática da telemedicina no Brasil é regulada pelo Conselho Federal de Medicina, com a Resolução CFM nº 2.314/2022 como marco vigente. Ela trata, entre outros pontos, do dever de sigilo, da segurança e da integridade das informações na consulta remota. A conformidade técnica que a Decripte estrutura — criptografia, controle de acesso, auditoria, retenção — é precisamente o que sustenta o cumprimento desses deveres. Segurança e conformidade, em telemedicina, são duas faces do mesmo trabalho.
Conformidade no papel não é conformidade na prática
Ter uma política de privacidade e um termo de consentimento não significa que a plataforma esteja segura. A ANPD avalia a adequação das medidas técnicas reais. Uma sala acessível por link previsível é uma falha de segurança que se traduz, juridicamente, em tratamento inseguro de dado sensível — com a plataforma como controladora responsável.
Como a Decripte estrutura a defesa em camadas da plataforma
Nenhuma camada isolada protege uma plataforma de teleconsulta. A defesa eficaz é em profundidade: cada camada assume que a anterior pode falhar e limita o dano. A Decripte organiza essa defesa em torno do fluxo real de uma consulta — do momento em que o paciente clica no link até o encerramento e a guarda dos dados.
As camadas que sustentam uma teleconsulta segura
- ✓Identidade: MFA para médicos e verificação forte do paciente antes do ingresso na sala.
- ✓Sala: tokens de alta entropia, uso único, expiração curta e revogação automática ao fim da consulta.
- ✓Mídia: WebRTC com DTLS-SRTP obrigatório e decisão consciente sobre onde a mídia é descriptografada.
- ✓Borda: WAF e proteção DDoS protegendo signaling, APIs e endpoints públicos; mitigação de bots e enumeração.
- ✓Dados: segregação entre dados de sessão e prontuário, cifragem em repouso, retenção e auditoria de acesso.
- ✓Detecção: SOC 24x7 correlacionando tentativas de ingresso, logins anômalos e padrões de enumeração.
- ✓Resposta: plano de Resposta a Incidentes com contenção em até 1 hora e suporte à notificação regulatória.
- ✓Validação: pentest recorrente cobrindo tokens, signaling, WebRTC, APIs e apps móveis.
O fio que costura tudo é a telemetria. De nada adianta cada camada existir se ninguém observa o conjunto em tempo real. O SOC 24x7 da Decripte consome os sinais de cada camada — falhas de ingresso, logins improváveis, picos de tráfego no signaling, abuso do TURN — e os correlaciona para distinguir o ruído normal de um ataque em curso. É essa visão integrada que permite conter um incidente em até uma hora, antes que uma sala comprometida vire um vazamento de base.
Exemplo real descaracterizado: acesso não autorizado a salas por links previsíveis
Exemplo real descaracterizado
Exemplo real descaracterizado (sem identificar o cliente). Uma plataforma de telemedicina de porte médio operava centenas de teleconsultas por dia. As salas eram criadas com identificadores derivados do número sequencial do agendamento, e o link de acesso permanecia válido por 24 horas sem verificação de identidade no ingresso — bastava ter o link para entrar. A equipe de produto considerava isso uma conveniência: o paciente que perdia o horário ainda conseguia entrar. A criptografia de transporte estava correta e auditorias anteriores de infraestrutura haviam passado sem apontar o problema, porque o defeito estava na lógica de autorização, não na configuração técnica.
Descoberta (Pentest)
Durante um pentest contratado, a Decripte mapeou que os identificadores de sala eram previsíveis a partir do número de agendamento e que o ingresso não validava identidade. Em ambiente controlado e autorizado, a equipe demonstrou que era possível enumerar salas ativas e ingressar em uma teleconsulta de teste sem ter sido convidada — sem tocar na infraestrutura, apenas explorando a lógica do link. O achado foi classificado como crítico de confidencialidade.
Detecção e alerta (SOC 24x7)
Com a hipótese confirmada, o SOC instrumentou a telemetria de ingresso e imediatamente identificou, no tráfego real, padrões compatíveis com enumeração: múltiplas tentativas de ingresso em salas sequenciais a partir de origens atípicas. O que antes era invisível passou a gerar alerta em tempo real, evidenciando que o vetor não era apenas teórico.
Contenção (<=1h)
Acionado o plano de Resposta a Incidentes, a contenção ocorreu dentro do SLA de até uma hora: encurtamento agressivo da validade dos tokens, invalidação dos links ativos não verificados, bloqueio das origens que executavam enumeração e ativação de mitigação na borda para barrar a varredura de identificadores.
Erradicação
A raiz foi corrigida: os identificadores sequenciais foram substituídos por tokens de alta entropia, de uso único e com expiração curta, revogados automaticamente ao fim da consulta. O ingresso passou a exigir verificação de identidade — sessão autenticada do paciente e MFA obrigatório para os médicos. A sala deixou de confiar em quem tem o link e passou a autorizar quem prova ser o participante esperado.
Recuperação
A plataforma voltou à operação plena com a nova mecânica de salas. O fluxo de mídia foi revalidado para garantir DTLS-SRTP obrigatório, e a arquitetura do servidor de mídia foi revista para tornar explícito e restrito o ponto onde a sessão é descriptografada. As gravações passaram a ser cifradas em repouso, com retenção e acesso auditados.
Monitoramento contínuo
O SOC 24x7 assumiu a vigilância permanente: detecção de tentativas de enumeração, de logins anômalos de médicos e de abuso do servidor TURN, com correlação entre as camadas. A inteligência de borda passou a monitorar domínios e páginas que imitassem a marca para antecipar phishing contra a equipe clínica.
Lições aprendidas
O incidente demonstrou que a maior ameaça à confidencialidade não estava na criptografia, mas na lógica de acesso à sala — exatamente o tipo de falha que scanner automatizado não enxerga e que só um pentest com mentalidade de atacante revela. Conveniência de produto e segurança de acesso precisam ser negociadas de forma deliberada, com pentest recorrente como guarda permanente.
Desfecho com a Decripte
Em um único ciclo, a Decripte transformou um risco crítico e silencioso de confidencialidade em uma postura defensável: links previsíveis substituídos por tokens não adivináveis de uso único, MFA para médicos, verificação de identidade no ingresso, mídia confirmadamente cifrada e SOC 24x7 vigiando o padrão de abuso. A plataforma passou a ter não só a correção, mas a capacidade de detectar e conter o próximo incidente em até uma hora — e a documentação necessária para sustentar a conformidade com a LGPD e as resoluções do CFM. Por ser um exemplo real descaracterizado, ele resume o método que a Decripte aplica de forma adaptada a cada plataforma real.
Não espere o incidente acontecer. Comece a blindar telemedicina hoje mesmo.
Comece pelo diagnóstico gratuito agora e veja em minutos o que já vazou. SOC 24x7 e contenção em até 1h nos planos pagos.
Como a Decripte responde a um incidente em telemedicina
Quando uma plataforma de teleconsulta sofre um incidente de confidencialidade — acesso indevido a salas, suspeita de interceptação ou comprometimento de credenciais médicas — cada minuto pesa em risco clínico, jurídico e regulatório. A Decripte segue uma sequência estruturada, com contenção em até uma hora.
- Acionamento e triagem imediata: o time de Resposta a Incidentes assume o caso, classifica a gravidade e dimensiona o escopo provável (quantas salas, quais dados, quais titulares potencialmente afetados).
- Contenção em até 1 hora: invalidação dos tokens e links ativos suspeitos, bloqueio das origens maliciosas, encurtamento de validade das sessões e ativação de mitigação na borda para barrar enumeração e abuso.
- Preservação forense: coleta e preservação de logs de ingresso, signaling e autenticação para reconstruir a timeline do incidente e sustentar a investigação sem destruir evidências.
- Erradicação da causa raiz: correção do defeito que permitiu o acesso — tokens previsíveis, ausência de verificação de identidade, expiração frouxa ou credencial comprometida — e não apenas dos sintomas.
- Recuperação segura: retorno à operação com a mecânica de salas corrigida, MFA reforçado, mídia revalidada e monitoramento intensificado durante o período de maior risco pós-incidente.
- Suporte à notificação regulatória: apoio na avaliação de risco aos titulares e na documentação para eventual comunicação à ANPD e aos pacientes, conforme a LGPD, dentro do prazo adequado.
- Monitoramento reforçado pós-incidente: o SOC 24x7 eleva a sensibilidade dos alertas sobre o vetor explorado e padrões correlatos para detectar tentativas de reincidência.
- Relatório e lições aprendidas: entrega de relatório executivo e técnico com timeline, causa raiz, ações tomadas e recomendações para fechar a janela de risco de forma permanente.
Como a Decripte estrutura a segurança de uma plataforma de telemedicina
Responder a incidentes é necessário, mas o objetivo é que eles não aconteçam. A Decripte estrutura a segurança da telemedicina em pilares que se reforçam mutuamente, do código ao monitoramento contínuo.
Validação ofensiva contínua (Pentest)
Pentest especializado em telemedicina cobre a geração e o ciclo de vida dos tokens de sala, a lógica de autorização de ingresso, o canal de signaling, o fluxo WebRTC, o servidor TURN, as APIs e os apps móveis. Encontramos a falha de lógica que o scanner não vê, antes que o atacante a encontre.
Acesso forte e salas blindadas
Tokens de alta entropia, de uso único e com expiração curta, revogados ao fim da consulta; MFA para médicos e verificação de identidade do paciente no ingresso. A sala autoriza quem prova ser o participante, não quem apenas tem o link.
Criptografia e arquitetura de mídia
WebRTC com DTLS-SRTP obrigatório, decisão explícita e protegida sobre onde a mídia é descriptografada em arquiteturas com SFU/MCU, endurecimento do TURN e cifragem em repouso de gravações com retenção e auditoria definidas.
Segurança de Borda
WAF e proteção DDoS sobre signaling, APIs e endpoints públicos, com mitigação de bots e de enumeração de identificadores de sala, mantendo a plataforma disponível e filtrando o tráfego malicioso antes que ele alcance a aplicação.
Detecção e resposta (SOC 24x7)
Monitoramento ininterrupto correlacionando tentativas de ingresso, logins anômalos de médicos, picos no signaling e abuso do TURN, com plano de Resposta a Incidentes capaz de conter em até uma hora.
Conformidade por design
Adequação à LGPD para dado de saúde sensível, suporte ao dever de notificação à ANPD e alinhamento com as resoluções do CFM sobre telemedicina, estruturados com frameworks como ISO 27001 e SOC 2 para comprovar governança a parceiros institucionais.
Planos recomendados para Telemedicina
Pentest
Descobre o vetor mais perigoso da telemedicina — salas acessíveis por links previsíveis e ingresso sem verificação de identidade — além de validar tokens, signaling, WebRTC, TURN, APIs e apps móveis. É a camada que enxerga a falha de lógica que nenhum scanner automatizado encontra.
Ver plano →SOC 24x7
Teleconsultas acontecem a qualquer hora; um acesso indevido a uma sala precisa ser detectado em tempo real, não no dia seguinte. O SOC correlaciona enumeração de salas, logins anômalos de médicos e abuso de infraestrutura de mídia, vigiando 24 horas por dia.
Ver plano →Segurança de Borda
WAF e proteção DDoS blindam o signaling, as APIs e os endpoints públicos contra enumeração, bots e indisponibilidade, mantendo a plataforma de teleconsulta acessível para pacientes legítimos e fechada para varreduras maliciosas.
Ver plano →Conformidade
Dado clínico é dado pessoal sensível sob a LGPD e a telemedicina é regulada pelo CFM; a adequação estrutura base legal, segurança proporcional ao risco e prontidão para a notificação à ANPD, traduzindo a segurança técnica em conformidade defensável.
Ver plano →Perguntas frequentes
Links de teleconsulta podem ser interceptados ou adivinhados por terceiros?
Sim, quando o identificador da sala é previsível (sequencial, derivado do agendamento ou do CPF), o token é curto ou não expira, e o ingresso não verifica identidade. Nesses casos, alguém pode enumerar salas e entrar em uma consulta sem ter sido convidado. A correção é usar tokens de alta entropia, de uso único, com expiração curta, e exigir autenticação no ingresso. A Decripte identifica exatamente esse risco em pentest.
A criptografia HTTPS já protege o áudio e o vídeo da consulta?
Não totalmente. O HTTPS protege as páginas, APIs e o signaling. O áudio e o vídeo trafegam por WebRTC e precisam de DTLS-SRTP para estarem cifrados. Além disso, se a plataforma usa um servidor de mídia (SFU/MCU) para gravar ou escalar, é preciso decidir conscientemente onde a mídia é descriptografada e quem tem acesso a esse ponto.
Telemedicina precisa cumprir a LGPD mesmo sendo área da saúde?
Precisa, e com rigor maior. Dado de saúde é dado pessoal sensível pela LGPD, o que exige base legal adequada, minimização da coleta, segurança proporcional ao risco e, em caso de incidente relevante, comunicação à ANPD e aos titulares. A prática também é regulada pelo CFM, com a Resolução 2.314/2022 como marco vigente.
Como proteger os médicos de phishing que rouba acesso à plataforma?
Com três camadas: MFA resistente a phishing, que tira o valor da senha roubada; SOC 24x7, que detecta o login anômalo da credencial comprometida; e inteligência de borda, que monitora e derruba domínios e páginas falsas que imitam a marca antes que sejam usados contra a equipe clínica.
O que um pentest de telemedicina avalia além da aplicação web?
Cobre a geração e o ciclo de vida dos tokens de sala, a lógica de autorização de ingresso, o canal de signaling, o fluxo WebRTC, o servidor TURN (que pode vazar IPs ou ser abusado como relay), os apps móveis (armazenamento de tokens, pinning) e as APIs de backend, onde falhas como IDOR podem expor prontuários inteiros.
Quanto tempo a Decripte leva para conter um incidente em uma plataforma de teleconsulta?
A Resposta a Incidentes da Decripte trabalha com SLA de contenção de até uma hora. Na prática, isso significa invalidar tokens e links suspeitos, bloquear origens maliciosas e ativar mitigação na borda rapidamente, enquanto se preserva a evidência forense para a investigação e o suporte à notificação regulatória.
Posso avaliar o risco da minha plataforma antes de contratar?
Sim. O plano gratuito de Gestão de Ameaças da Decripte, em decripte.com.br/intelligence-center, dá uma visão inicial das exposições e da impersonação de marca associada ao seu domínio. Para um pentest completo e estruturação da segurança, é possível contratar em decripte.io/start ou falar com a equipe em decripte.io/contato.
Gravações de teleconsulta exigem cuidado especial de segurança?
Sim. Gravações concentram conteúdo clínico sensível e precisam de base legal específica sob a LGPD, cifragem em repouso, política de retenção definida, controle de acesso restrito e auditoria de quem acessa. Guardar gravações sem essas medidas amplia muito o impacto de um eventual vazamento.
Termos do setor
- WebRTC / DTLS-SRTP
- WebRTC é a tecnologia que permite áudio e vídeo em tempo real direto no navegador. DTLS-SRTP é o mecanismo que negocia chaves (DTLS) e cifra a mídia (SRTP), garantindo que o conteúdo da teleconsulta trafegue protegido, e não em claro.
- Servidor TURN
- Servidor que faz relay da mídia quando os participantes estão atrás de NATs ou firewalls restritivos, permitindo a chamada funcionar. Mal configurado, pode vazar endereços IP internos ou ser abusado por terceiros como relay aberto para tráfego arbitrário.
- SFU / MCU
- Servidores de mídia que recebem e reencaminham os fluxos de áudio e vídeo para escalar chamadas, gravar ou suportar múltiplos participantes. Nessas arquiteturas a mídia costuma ser descriptografada no servidor, o que exige decisão consciente sobre quem tem acesso a esse ponto.
- IDOR (Insecure Direct Object Reference)
- Falha em que a aplicação entrega um recurso de outro usuário — prontuário, gravação, agendamento — apenas porque o identificador foi trocado na requisição, sem verificar autorização. Em saúde, um único IDOR pode expor a base inteira de pacientes.
- Dado pessoal sensível (LGPD)
- Categoria da LGPD que inclui dados de saúde. Recebe proteção reforçada: base legal específica, minimização da coleta e segurança proporcional ao risco. Tratá-lo de forma insegura configura violação com responsabilidade do controlador da plataforma.
- Resolução CFM 2.314/2022
- Marco vigente do Conselho Federal de Medicina que regulamenta a prática da telemedicina no Brasil, abordando, entre outros pontos, o dever de sigilo e a segurança e integridade das informações na consulta remota.
A Decripte protege e responde a incidentes no setor de telemedicina.
Pentest, SOC 24x7, resposta a incidentes com SLA de contenção de 1 hora e conformidade — sem você montar um time interno. Ou comece de graça vendo o que já vazou da sua empresa.