Eine neu gemeldete Sicherheitslücke im Überwachungsprogramm Smart Sampa von São Paulo legte Aufnahmen von 17.000 Kameras offen, die von Unternehmen betrieben werden, die an der städtischen Initiative teilnehmen. UOL zufolge konnten die Aufnahmen fünf Tage lang ohne Passwort oder Sicherheitsbestätigung abgerufen werden. Es handelt sich um den zweiten groß angelegten Vorfall dieser Art im Zusammenhang mit dem Programm innerhalb von weniger als einem Monat: Am 20. Oktober berichtete das Medium, dass weitere 58.000 Kameras gefährdet seien.

Die Aufnahmen wurden von Monuv gehostet, einem Cloud-Speicheranbieter für Überwachungskameras. Sie zeigten unter anderem Straßen in der Nähe der Wohnhäuser von Alexandre de Moraes, Richter am Obersten Bundesgericht, und der ehemaligen Präsidenten Michel Temer und Fernando Henrique Cardoso sowie Eingänge zu Clubs in São Paulo, darunter Hebraica und Sociedade Hípica Paulista. Die Links wurden am Freitag, dem 30. Oktober, offline genommen, einen Tag nachdem UOL die Stadtverwaltung, Sentinelx, die für die Technologie des Programms zuständig ist, und Monuv kontaktiert hatte.

Die jüngste Sicherheitslücke hatte eine andere Ursache als der vorherige Vorfall. Eine Quelle aus der Cybersicherheitsbranche teilte UOL mit, dass sie auf den Quellcode einer mit Sentinelx verbundenen Website zurückzuführen sei. Online verfügbare Dateien enthüllten Dienstadressen, über die Informationen zu teilnehmenden Unternehmen und Kameras abgerufen werden konnten. Dadurch konnten Unternehmensunterlagen, Partnerdokumente und vollständige Links zu Kamerastreams offengelegt werden, die sich außerhalb der Plattform öffnen ließen. Die Sicherheitslücke ermöglichte außerdem den Zugriff auf Daten teilnehmender Unternehmen, die durch Brasiliens Allgemeines Datenschutzgesetz geschützt sind.

Zu den festgestellten Problemen gehörte eine unsichere direkte Objektreferenz, kurz IDOR. Diese Art von Sicherheitslücke kann es ermöglichen, Kennungen in einer Webadresse zu ändern und so auf gesperrte Datensätze zuzugreifen, wenn das System nicht prüft, ob die betreffende Person dazu berechtigt ist. Ein nicht namentlich genannter Cybersicherheitsexperte verglich die Plattform mit „Schweizer Käse“. Der Forscher Davi Mikael Cezar, bekannt als Penegui, sagte, die Bündelung von Zugriffsadressen unter derselben Domain, die zur Bewerbung des Produkts genutzt werde, könne unbefugten Zugriff erleichtern. Er sagte UOL außerdem, dass eine Kompromittierung dieser Domain Kameras gefährden könnte – je nachdem, wie das System aufgebaut sei.

Cezar sagte, er habe in geleakten Datenbanken 15 Smart-Sampa-Zugangsdaten gefunden, mit Einträgen aus den Jahren 2024, 2025 und 2026. Seinen Angaben zufolge waren die Daten von Infostealer-Malware gesammelt worden, die Informationen von infizierten Geräten stehlen kann, darunter in Browsern gespeicherte Passwörter. Auch Folha de S.Paulo berichtete, dass die Sicherheitslücken den Zugriff auf Geräte in anderen Kommunen ermöglichen könnten. Ein Eintrag betraf eine Kennzeichenerkennungskamera in Campo Grande, auf die mit einem São-Paulo-Login zugegriffen wurde.

Sentinelx hat Smart Sampa als Referenz genutzt, um anderen Städten seine Technologie anzubieten. UOL identifizierte mit dem Unternehmen verbundene Subdomains, die die Namen Guarulhos, Campinas, Joinville, Goiânia, Mairiporã und Catanduva trugen. Sentinelx trat im Dezember 2025 dem für das Programm zuständigen Smart-City-Konsortium bei und ersetzte Camerite. Das Konsortium erhielt 2023 den Auftrag im Wert von R$588 Millionen über fünf Jahre, mit monatlichen Zahlungen von R$9,8 Millionen. Zu seinen ursprünglichen Mitgliedern gehörten CLD, Flama Serviços, PK9 und Camerite.

Das städtische Sekretariat für urbane Sicherheit von São Paulo bestritt, dass die Liste der Links öffentlich zugänglich gewesen sei. Es erklärte, bei der Datei habe es sich um eine Tabelle gehandelt, die das kommunale Technologieunternehmen PRODAM im Rahmen einer Cybersicherheitsprüfung erstellt habe. Diese Prüfung habe am 20. Oktober auf Veranlassung von Bürgermeister Ricardo Nunes begonnen. Die Stadt erklärte, das Programm sei weiterhin in Betrieb, es gebe keine Hinweise auf externe Angriffe, und die Tabelle habe keine der mehr als 20.000 Kameras im Besitz der Kommune enthalten. Sie bezeichnete die Weitergabe der Datei an UOL als illegales Durchsickern vertraulicher Daten und kündigte administrative und rechtliche Schritte zur Untersuchung an.

Sentinelx beantwortete die Fragen von UOL nicht. Monuv erklärte, das Unternehmen setze Zugriffskontrollen, Authentifizierung und Schutzmaßnahmen für Daten und Videoaufnahmen ein. Außerdem würden Zugriffe auf Kameras, die über Smart Sampa geteilt werden, den vom Programm festgelegten Sicherheitsvorgaben entsprechen.

Quellen: Olhar Digital.