Eine Sicherheitslücke bei Smart Sampa, dem Überwachungssystem der Stadt São Paulo, ermöglichte Berichten zufolge den unbefugten Zugriff auf 17.000 Kameras. Der Vorfall ist die zweite größere Sicherheitsverletzung im Zusammenhang mit dem Dienst, die innerhalb von drei Wochen bekannt wurde.

Der jüngste Vorfall folgt auf Ermittlungen, die die Staatsanwaltschaft von São Paulo im Oktober zu früheren Datenlecks aufgenommen hatte. Diese hatten Berichten zufolge innerhalb von elf Monaten 58.000 Kameras offengelegt. Dem Bericht zufolge blieben kompromittierte Links zu Aufnahmen, die beim Cloud-Anbieter Monuv gehostet wurden, fünf Tage lang zugänglich, bevor sie entfernt wurden.

Die Übertragungen zeigten unter anderem Straßen, in denen Persönlichkeiten des öffentlichen Lebens wie Alexandre de Moraes, Richter am Obersten Bundesgericht, sowie die ehemaligen Präsidenten Michel Temer und Fernando Henrique Cardoso leben.

Die neu gemeldete Schwachstelle wurde einem Fehler im Quellcode von Sentinelx zugeschrieben, das die Technologieplattform von Smart Sampa verwaltet. Online verfügbare Dateien gaben Adressen von Diensten preis, die zum Abrufen von Daten verwendet werden, wodurch möglicherweise Datensätze und Links zu Kamerastreams offengelegt wurden.

Die Sicherheitsexpertin Rafaela Silva sagte gegenüber Canaltech, dem System hätten Schutzmaßnahmen wie eine Multi-Faktor-Authentifizierung und die Trennung von Umgebungen gefehlt. Sie sagte außerdem, dass Kameraplattformen Datenschutzmasken einsetzen sollten, um Gesichter in Videos unkenntlich zu machen und den Zugriff auf identifizierbare Bilder auf befugtes Personal zu beschränken.

Nach dem früheren Vorfall erklärte die Stadtverwaltung von São Paulo, dass für den Zugriff auf Smart Sampa eine Gesichtserkennung erforderlich sein werde. In einer Stellungnahme gegenüber UOL erklärte die Stadt, das Repository mit den Kameralinks sei nie öffentlich gewesen, und bezeichnete das Leck als kriminelle Handlung. Sie erklärte, es gebe keine Hinweise auf einen Angriff auf Smart Sampa und PRODAM sowie das Smart City SP Consortium hätten ein unabhängiges Unternehmen mit Sicherheitsprüfungen beauftragt.

Monuv, der Anbieter des Cloud-Dienstes, erklärte, das Unternehmen verfüge über eine Sicherheitsstruktur, die an den branchenüblichen Best Practices ausgerichtet sei.

Quellen: Canaltech.