Após exposição de 58 mil câmeras, Smart Sampa registra nova falha
Segunda falha em menos de um mês expõe fragilidades na segurança do sistema de monitoramento da capital paulista
O Smart Sampa, sistema de monitoramento da Prefeitura de São Paulo, voltou a apresentar uma vulnerabilidade que permitiu o acesso a milhares de câmeras de segurança.
Desta vez, 17 mil equipamentos de empresas parceiras ficaram acessíveis sem senha durante cinco dias, ampliando as preocupações sobre a proteção das imagens e dos dados integrados à plataforma.
A nova ocorrência representa a segunda exposição de grande escala envolvendo o sistema em menos de um mês. Em outubro, outra falha permitiu acessar mais de 58 mil câmeras vinculadas ao programa, incluindo equipamentos instalados em escolas, unidades de saúde e espaços públicos.
Leia também: Dados de câmeras do Smart Sampa são expostos; Prefeitura contesta falha de segurança
NOVA FALHA PERMITIU ACESSO A IMAGENS SEM SENHA
A vulnerabilidade envolveu câmeras de empresas conveniadas ao Smart Sampa e hospedadas na infraestrutura da Monuv, empresa que oferece serviços de armazenamento em nuvem para equipamentos de segurança.
Durante cinco dias, qualquer pessoa abria as transmissões diretamente, sem autenticação ou confirmação de identidade. Entre as imagens acessíveis estavam câmeras instaladas em ruas próximas às residências de autoridades públicas e em locais frequentados por moradores da capital, como clubes particulares.
A falha estava relacionada ao código-fonte de um site associado à Sentinelx, empresa responsável pela plataforma tecnológica do Smart Sampa. Arquivos disponíveis na internet revelavam endereços de serviços utilizados pelo sistema, permitindo localizar cadastros, documentos de parceiros e links das transmissões.
O problema também envolvia uma vulnerabilidade conhecida como IDOR, sigla em inglês para referência direta insegura a objeto. Esse tipo de falha permite acessar informações restritas ao alterar identificadores em endereços digitais, sem que o sistema verifique adequadamente a autorização do usuário.
PREFEITURA CONTESTA EXPOSIÇÃO E EMPRESAS SE MANIFESTAM
Em 30 de outubro, a Prefeitura, a Sentinelx e a Monuv retiraram os links do ar após receberem questionamentos sobre o problema.
A administração municipal afirmou que o material não circulava publicamente na internet e que os endereços integravam uma análise de segurança da Prodam.
A Prefeitura também sustenta que as mais de 20 mil câmeras próprias do município não estavam incluídas no documento. Segundo a gestão, não existem evidências de ataques externos ao programa e o caso será investigado para identificar os responsáveis pelo envio das informações.
Leia também: Smart Sampa: como a tecnologia que vigia São Paulo funciona e por que virou alvo de alerta?
FALHAS REACENDEM DEBATE SOBRE SEGURANÇA DO SISTEMA
A repetição de problemas em um intervalo curto levanta questionamentos sobre a proteção das informações armazenadas e compartilhadas pela plataforma.
Além das imagens, a nova vulnerabilidade permitia consultar dados cadastrais e documentos de empresas parceiras, informações que também exigem proteção conforme a Lei Geral de Proteção de Dados (LGPD). O episódio reforça a importância de controles de acesso, auditorias e mecanismos de segurança capazes de impedir consultas indevidas.
