Falha no Smart Sampa expõe 17 mil câmeras de empresas parceiras
Falha no Smart Sampa deixou imagens ao vivo de 17 mil câmeras de empresas parceiras acessíveis sem senha por cinco dias, incluindo ruas onde moram autoridades.
Pontos principais
- Segundo o UOL, arquivos públicos de um site ligado à plataforma revelavam endereços de serviços que davam acesso a cadastros e documentos de parceiros, dados protegidos pela LGPD, além dos links completos das transmissões.
- O UOL classifica a falha como IDOR: trocar o código de um cadastro na página abria dados restritos sem checar autorização.
- A Folha de S.Paulo já havia revelado acesso a câmeras de outros municípios; o UOL registrou uma câmera de leitura de placas em Campo Grande (MS) acessada com login paulista.
- A Prefeitura diz que a lista é uma planilha da PRODAM, feita em análise de cibersegurança iniciada em 20 de outubro, enviada ilegalmente ao UOL, e que as mais de 20 mil câmeras próprias do município não estão nela.
- A Monuv diz manter controles de acesso e autenticação; a Sentinelx não respondeu aos questionamentos do UOL.
- O consórcio que opera o programa contratou empresa independente para análises de segurança.
Uma nova falha no Smart Sampa, sistema de vigilância da Prefeitura de São Paulo, permitiu por cinco dias o acesso sem senha a imagens ao vivo de 17 mil câmeras de empresas conveniadas. Para confirmar o acesso, o UOL acenou para câmeras do bairro Campos Elíseos em 27 e 29 de outubro, e as imagens cobriam ruas próximas às casas do ministro do STF Alexandre de Moraes e dos ex-presidentes Michel Temer e Fernando Henrique Cardoso. Segundo o UOL, a brecha estava no código de um site ligado à Sentinelx, empresa responsável pela tecnologia do programa. Os links foram retirados do ar na sexta-feira (30/10), um dia depois de o UOL questionar a prefeitura, a Sentinelx e a Monuv.
Em menos de um mês, esta é a segunda brecha de larga escala no sistema, segundo o UOL. Em 20 de outubro, como revelou o UOL, credenciais da Guarda Civil Metropolitana expostas na internet por cerca de 11 meses deram acesso a mais de 58 mil câmeras. A Prefeitura nega que a lista de links estivesse pública e diz que não há sinais de ataque ao sistema. O caso levanta questionamentos sobre a robustez da infraestrutura de monitoramento da capital, e o Ministério Público de São Paulo investiga os vazamentos revelados em outubro.
