Según se informó, una falla de seguridad en Smart Sampa, el sistema de videovigilancia municipal de São Paulo, permitió el acceso no autorizado a 17.000 cámaras. El incidente es la segunda brecha importante relacionada con el servicio que sale a la luz en tres semanas.

El último incidente se produce después de que, en octubre, la Fiscalía de São Paulo abriera una investigación sobre filtraciones anteriores que, según se informó, expusieron 58.000 cámaras durante un período de 11 meses. El informe señaló que los enlaces comprometidos a grabaciones alojadas por el proveedor de servicios en la nube Monuv siguieron accesibles durante cinco días antes de ser retirados.

Las transmisiones incluían imágenes en vivo de calles donde viven figuras públicas, entre ellas Alexandre de Moraes, juez del Supremo Tribunal Federal, y los expresidentes Michel Temer y Fernando Henrique Cardoso.

La vulnerabilidad recién divulgada se atribuyó a una falla en el código fuente de Sentinelx, que gestiona la plataforma tecnológica de Smart Sampa. Archivos disponibles en línea revelaban direcciones de servicios utilizados para recuperar datos, lo que podía exponer registros y enlaces a las transmisiones de las cámaras.

La especialista en seguridad Rafaela Silva dijo a Canaltech que el sistema carecía de protecciones como la autenticación multifactor y la separación entre entornos. También señaló que las plataformas de cámaras deberían aplicar máscaras de privacidad para desenfocar los rostros en los videos y limitar el acceso a imágenes que permitan identificar a las personas al personal autorizado.

Después del incidente anterior, el gobierno municipal de São Paulo dijo que se exigiría reconocimiento facial para acceder a Smart Sampa. En una declaración a UOL, el municipio dijo que el repositorio que contenía los enlaces a las cámaras nunca había sido público y calificó la filtración de acto delictivo. También afirmó que no había indicios de un ataque contra Smart Sampa y que PRODAM y el Consorcio Smart City SP habían contratado a una empresa independiente para realizar revisiones de seguridad.

Monuv, que proporciona el servicio en la nube, dijo que mantiene una estructura de seguridad alineada con las mejores prácticas del sector.

Fuentes: Canaltech.