Smart Sampa: Nova falha expõe 17 mil câmeras de empresas parceiras em SP

Uma nova vulnerabilidade no sistema de vigilância Smart Sampa, da Prefeitura de São Paulo, permitiu o acesso não autorizado a imagens de aproximadamente 17 mil câmeras de empresas parceiras. A falha, revelada pelo UOL nesta terça-feira (3), possibilitou a visualização de transmissões ao vivo sem a necessidade de senha ou autorização, e durou pelo menos cinco dias.

Este é o segundo incidente de grande escala em menos de um mês. Em 20 de outubro, outra brecha expôs mais de 58 mil câmeras integradas ao programa, incluindo equipamentos em escolas e unidades de saúde. A nova falha atingiu equipamentos conectados à infraestrutura da Monuv, empresa que oferece armazenamento em nuvem.

Como ocorreu o acesso às imagens?

Segundo a reportagem, a vulnerabilidade estava relacionada ao código de um site associado à Sentinelx, responsável pela plataforma tecnológica do Smart Sampa. Informações disponíveis nesse ambiente permitiam localizar cadastros de empresas parceiras e links diretos das transmissões, sem exigência de autenticação. Jornalistas comprovaram o acesso em tempo real, aparecendo em imagens com jornais do dia.

Entre os locais cujas imagens foram acessadas estavam ruas próximas às residências de autoridades, como os ex-presidentes Michel Temer e Fernando Henrique Cardoso, além de entradas de clubes paulistanos como a Hebraica e a Sociedade Hípica Paulista. A brecha foi corrigida na sexta-feira (30), após questionamentos às empresas envolvidas.

Primeira falha e dados expostos

A primeira falha, revelada em 20 de outubro, permitiu o acesso a mais de 58 mil câmeras e 181 credenciais de acesso, além de informações de cerca de 6 mil agentes da Guarda Civil Metropolitana (GCM). Um guarda municipal suspeito de divulgar informações sigilosas foi afastado e investigado.

A Prefeitura de São Paulo reconheceu a divulgação irregular das credenciais na primeira falha, mas negou que o sistema tivesse sofrido uma invasão. Um especialista em cibersegurança comparou a plataforma a um “queijo suíço” devido às vulnerabilidades identificadas, incluindo o IDOR (referência direta insegura a objeto), que permite acessar informações restritas sem autorização.

Posição da Prefeitura e empresas

A Secretaria Municipal de Segurança Urbana afirmou que os endereços das câmeras não estavam disponíveis publicamente e que os links constavam de uma planilha produzida pela Prodam durante uma análise de segurança, que teria sido repassada ilegalmente à reportagem. A prefeitura ressaltou que câmeras próprias do município não estavam incluídas e que os equipamentos de empresas conveniadas são de responsabilidade de seus operadores.

A Monuv declarou possuir mecanismos de autenticação e proteção, afirmando que o acesso segue as especificações de segurança do programa. A Sentinelx, que integra o consórcio Smart City (contrato de R$ 588 milhões por cinco anos), não respondeu aos questionamentos. A Prefeitura informou que adotará medidas administrativas e legais para investigar o caso.