Vulnerabilidade no Smart Sampa expõe imagens de 17 mil câmeras em SP

Uma nova vulnerabilidade no programa Smart Sampa, utilizado pela Prefeitura de São Paulo para monitoramento por câmeras, expôs imagens de 17 mil câmeras de empresas parceiras. A falha estava no código-fonte de um site ligado à Sentinelx, empresa responsável pela plataforma tecnológica do sistema. Esta é a segunda exposição de grande escala identificada no Smart Sampa em menos de um mês, após outra revelação em 20 de outubro que expôs 58 mil câmeras.

Segundo a investigação do Uol, arquivos disponíveis na internet continham endereços de serviços que permitiam o acesso a cadastros, documentos de parceiros e links diretos para as transmissões das câmeras, sem a necessidade de senha ou qualquer credencial. A brecha permitiu o acesso a imagens ao vivo de ruas onde ficam residências de autoridades e pessoas públicas, como o ministro do STF Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso.

Vulnerabilidade permitiu acesso sem credenciais

Especialistas em cibersegurança identificaram no sistema uma vulnerabilidade conhecida como IDOR (referência direta insegura a objeto). Esse tipo de falha ocorre quando uma aplicação permite a consulta de recursos internos por identificadores sem verificar a autorização do usuário. A alteração de um identificador em uma requisição pode, assim, conceder acesso a informações restritas.

Para comprovar a falha, um repórter do Uol demonstrou em 27 de outubro que imagens em tempo real de câmeras na alameda Cleveland, em São Paulo, exibiam uma edição impressa do jornal Folha de S.Paulo daquele dia. Experimentos semelhantes foram repetidos em outras câmeras.

Prefeitura nega acesso público e aponta vazamento criminoso

A Prefeitura de São Paulo, por meio de nota oficial, negou que a lista de links mencionada pela reportagem estivesse disponível publicamente na internet. Segundo a administração municipal, a lista era parte de uma planilha elaborada pela PRODAM (empresa municipal de tecnologia da informação) durante uma análise de segurança iniciada em 20 de outubro, a pedido do prefeito Ricardo Nunes.

A Prefeitura classificou o envio da planilha ao Uol como “um novo ato criminoso de vazamento de dados sigilosos e confidenciais” e afirmou que adotará providências administrativas e legais para investigar e responsabilizar os envolvidos. Acrescentou que as mais de 20 mil câmeras próprias do município não constavam na planilha e que não há sinais de ataques externos ao sistema.

Respostas de Sentinelx e Monuv

Em comunicado, a Monuv, provedora de serviços de nuvem para sistemas de segurança, afirmou que mantém uma estrutura de segurança da informação com controles de acesso e proteção de dados, em linha com as boas práticas do setor. A empresa ressaltou que o acesso às câmeras compartilhadas por meio de sua plataforma segue as especificações de segurança definidas pelo próprio Smart Sampa.

A Sentinelx, empresa responsável pela plataforma, não respondeu ao Uol até a publicação da reportagem. Os links expostos deixaram de funcionar em 30 de outubro, um dia após o Uol questionar as empresas e a Prefeitura sobre o problema.