Smart Sampa: Nova brecha expõe câmeras de empresas parceiras da Prefeitura de SP

Uma nova brecha de segurança na plataforma Smart Sampa, utilizada pela Prefeitura de São Paulo para monitoramento por câmeras, expôs imagens de 17 mil câmeras de empresas parceiras. A vulnerabilidade, identificada pelo UOL, permitia o acesso às transmissões ao vivo sem a necessidade de senhas ou credenciais.

Esta é a segunda grande exposição de dados no sistema em menos de um mês. Em 20 de outubro, outra falha já havia revelado o acesso a imagens de 58 mil câmeras.

Acesso sem credenciais a imagens sensíveis

A reportagem do UOL conseguiu acessar, por cinco dias, transmissões de câmeras hospedadas pela provedora de serviços de nuvem Monuv. O acesso não exigia qualquer tipo de autenticação. Entre as imagens disponíveis estavam registros ao vivo de ruas onde residem autoridades e figuras públicas, como o ministro do STF Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso.

Para comprovar a veracidade das imagens em tempo real, a reportagem exibiu edições impressas do jornal Folha de S.Paulo e realizou acenos em frente a equipamentos de monitoramento instalados em diferentes pontos da capital paulista.

Brecha ligada ao código-fonte da Sentinelx

Segundo fontes do setor de cibersegurança ouvidas pelo UOL, a nova falha estava relacionada ao código-fonte de um site ligado à Sentinelx, empresa responsável pela plataforma tecnológica do Smart Sampa. Arquivos disponíveis na internet continham endereços de serviços usados pela plataforma para consultar informações sobre câmeras e empresas cadastradas.

Especialistas identificaram problemas de segurança, incluindo uma vulnerabilidade conhecida como IDOR (Insecure Direct Object Reference), que ocorre quando uma aplicação permite o acesso a recursos internos por meio de identificadores sem verificar adequadamente a autorização do usuário.

Prefeitura nega acesso público e aponta crime

Em resposta ao TecMundo, a Prefeitura de São Paulo negou que os links das transmissões estivessem disponíveis publicamente. A administração municipal afirmou que a lista citada pela reportagem era uma planilha interna elaborada pela PRODAM (Empresa de Tecnologia da Informação e Comunicação do Município de São Paulo) durante uma análise de segurança iniciada em 20 de outubro, a pedido do prefeito Ricardo Nunes.

A Prefeitura declarou que a planilha foi apresentada à Secretaria Municipal de Segurança Urbana (SMSU) para medidas adicionais de proteção, que foram prontamente tomadas. A gestão municipal reforçou que as mais de 20 mil câmeras próprias do município não estavam na planilha e que o envio do arquivo ao UOL configura um ato criminoso de vazamento de dados sigilosos e confidenciais. A administração disse que adotará providências administrativas e legais para investigar e responsabilizar os envolvidos, reiterando que não há sinais de ataque ao sistema.

A Prefeitura informou ainda que o Consórcio Smart City SP, responsável pela operação do programa, contratou uma empresa independente para análises de segurança. Quanto às câmeras de parceiros privados, a Prefeitura esclareceu que essas empresas possuem infraestrutura tecnológica própria e são responsáveis pela administração, operação e segurança de seus equipamentos, não havendo transferência de controle ao município.

Respostas de Monuv e Sentinelx

A Monuv afirmou em comunicado que mantém uma estrutura de segurança da informação alinhada às boas práticas do setor e que o compartilhamento de imagens em programas de segurança pública ocorre por meio de clientes e parceiros homologados. A empresa explicou que o acesso às câmeras compartilhadas através de sua plataforma segue as especificações de segurança definidas pelo próprio Smart Sampa.

A Sentinelx não respondeu ao contato do UOL até a publicação da reportagem.