📸 Créditos da imagem: Prefeitura de São Paulo
Exposição de 17 mil câmeras
Uma nova falha de segurança no Smart Sampa permitiu o acesso a 17 mil câmeras de empresas conveniadas à Prefeitura de São Paulo, sem necessidade de senha ou confirmação de segurança, permanecendo disponíveis por cinco dias.
Segunda vulnerabilidade em menos de um mês
Esta é a segunda falha de grande escala no sistema, depois da descoberta em 20 de outubro que expôs 58 mil câmeras, incluindo imagens de residências e clubes.
Detalhes da exposição
As transmissões estavam hospedadas na Monuv, empresa de armazenamento em nuvem, e incluíam ruas próximas às residências de figuras públicas como o ministro do STF Alexandre de Moraes e ex-presidentes Michel Temer e Fernando Henrique Cardoso, além de clubes paulistanos como a Hebraica e a Sociedade Hípica Paulista.
Remoção e respostas
Os links foram retirados na sexta-feira (30), um dia após a prefeitura ser questionada pela Sentinelx, responsável pela tecnologia do programa, e pela Monuv.
Origem da vulnerabilidade
A nova brecha tinha origem diferente da anterior: falha no código-fonte de um site da Sentinelx, que expôs endereços de serviços usados pela plataforma para consultar dados de empresas e câmeras, permitindo obter cadastros, documentos de parceiros e links completos das transmissões.
Vulnerabilidades técnicas
Especialistas apontaram a falha IDOR (referência direta insegura a objeto), que permite alterar códigos de cadastros ou documentos para acessar informações restritas sem verificação de autorização.
Reação de especialistas
Um pesquisador, que pediu anonimato, comparou a plataforma a um “queijo suíço”. Davi Mikael Cezar, conhecido como Penegui, encontrou 15 credenciais de acesso ao Smart Sampa em bases de dados vazados, indicando que infostealers capturaram dados de dispositivos infectados.
Impacto além de São Paulo
As vulnerabilidades também permitiram acessar equipamentos de outros municípios, como uma câmera de leitura de placas em Campo Grande (MS) acessada a partir de um login de São Paulo.
Uso da plataforma em outras cidades
A Sentinelx utiliza o Smart Sampa como referência para oferecer seu modelo tecnológico a cidades como Guarulhos, Campinas, Joinville, Goiânia, Mairiporã e Catanduva, com subdomínios relacionados à empresa.
Contrato e valores
O consórcio Smart City, responsável pelo programa, assinou contrato de R$ 588 milhões por cinco anos, com pagamento mensal de R$ 9,8 milhões, substituindo a Camerite em dezembro de 2025.
Resposta da prefeitura
A Secretaria Municipal de Segurança Urbana negou que a lista de links estivesse disponível publicamente, alegando que o arquivo era uma planilha produzida pela PRODAM durante uma análise de cibersegurança iniciada em 20 de outubro, a pedido do prefeito Ricardo Nunes.
Declarações das empresas
A Sentinelx não respondeu aos questionamentos, enquanto a Monuv afirmou manter controles de acesso, autenticação e proteção de dados, garantindo que o acesso às câmeras segue as especificações de segurança do programa.
Conclusão
O caso destaca a necessidade de reforçar medidas de segurança e monitoramento contínuo em sistemas de vigilância pública, especialmente diante de vulnerabilidades que podem comprometer dados sensíveis e a privacidade dos cidadãos.
📰 Leia a notícia completa em: Olhar Digital »