Nova vulnerabilidade no Smart Sampa revela imagens de 17 mil câmeras parceiras

Nova falha no Smart Sampa expõe imagens de 17 mil câmeras em São Paulo.

Uma vulnerabilidade recente no sistema Smart Sampa revelou imagens de 17 mil câmeras de empresas parceiras da Prefeitura de São Paulo. A falha estava relacionada ao código-fonte de um site da empresa responsável pela plataforma, a Sentinelx. A Prefeitura negou que os links das transmissões estivessem acessíveis publicamente na internet.

Esta é a segunda grande exposição de dados do Smart Sampa em menos de um mês. Em 20 de outubro, outra falha permitiu o acesso a imagens de 58 mil câmeras do sistema de vigilância, levantando preocupações sobre a segurança das informações geridas pela administração municipal.

Arquivos disponíveis na internet continham endereços de serviços utilizados pela plataforma para consultar informações sobre empresas e câmeras cadastradas. Com essas referências, era possível acessar cadastros, documentos de parceiros e endereços das transmissões sem a necessidade de senha ou qualquer outra credencial.

A investigação revelou que, durante cinco dias, foi possível acessar transmissões de câmeras hospedadas pela Monuv, provedora de serviços de nuvem. Os links deixaram de funcionar após questionamentos feitos pela imprensa à Prefeitura e às empresas envolvidas.

Entre as imagens acessadas estavam registros ao vivo de locais onde residem autoridades, como o ministro do STF Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso. Para comprovar a veracidade das imagens, um repórter realizou experimentos em locais específicos, confirmando que as transmissões eram em tempo real.

Especialistas em cibersegurança identificaram que a vulnerabilidade encontrada é do tipo IDOR (Insecure Direct Object Reference). Essa falha permite que uma aplicação consulte recursos internos sem verificar se o usuário tem autorização, possibilitando o acesso a informações restritas através da alteração de identificadores em requisições.

A Prefeitura de São Paulo declarou que a lista mencionada na reportagem era parte de uma planilha elaborada pela PRODAM, que estava sendo utilizada em uma análise de segurança do sistema. A administração municipal afirmou que a planilha foi obtida de forma ilegal e que nunca esteve disponível publicamente.

A Secretaria Municipal de Segurança Urbana informou que a lista de links nunca esteve acessível na internet e que as mais de 20 mil câmeras do Município não estavam incluídas na planilha. Além disso, a Prefeitura classificou o vazamento de dados como um ato criminoso e prometeu tomar medidas legais contra os responsáveis.

A Monuv, em sua defesa, afirmou que possui uma estrutura de segurança robusta, incluindo controles de acesso e proteção de dados. A empresa ressaltou que o acesso às câmeras compartilhadas segue as diretrizes de segurança estabelecidas pelo Smart Sampa. A Sentinelx não se manifestou até o fechamento da reportagem.