Una falla de seguridad recientemente reportada en el programa de vigilancia Smart Sampa de São Paulo expuso las transmisiones de 17.000 cámaras operadas por empresas participantes en la iniciativa municipal. Según UOL, se podía acceder a las transmisiones durante cinco días sin contraseña ni confirmación de seguridad. El incidente es la segunda exposición a gran escala relacionada con el programa en menos de un mes: el 20 de octubre, el medio informó que otras 58.000 cámaras eran vulnerables.

Las transmisiones estaban alojadas por Monuv, un proveedor de almacenamiento en la nube para cámaras de seguridad. Incluían vistas de calles cercanas a las residencias del juez del Supremo Tribunal Federal Alexandre de Moraes y de los expresidentes Michel Temer y Fernando Henrique Cardoso, así como de las entradas de clubes de São Paulo, entre ellos Hebraica y Sociedade Hípica Paulista. Los enlaces se desactivaron el viernes 30 de octubre, un día después de que UOL se pusiera en contacto con el gobierno municipal, Sentinelx, responsable de la tecnología del programa, y Monuv.

La vulnerabilidad más reciente tuvo una causa distinta a la del incidente anterior. Una fuente de ciberseguridad dijo a UOL que se originó en el código fuente de un sitio web asociado con Sentinelx. Archivos disponibles en línea revelaron direcciones de servicios utilizadas para consultar información sobre las empresas y cámaras participantes. Esto podía exponer registros empresariales, documentos de socios y enlaces completos a las transmisiones de las cámaras, que podían abrirse fuera de la plataforma. La falla también permitía acceder a datos de empresas participantes protegidos por la Ley General de Protección de Datos de Brasil.

Uno de los problemas identificados fue una referencia directa insegura a objetos, o IDOR. Este tipo de vulnerabilidad puede permitir que alguien modifique identificadores en la dirección de un sitio web para obtener registros restringidos si el sistema no verifica su autorización. Un especialista en ciberseguridad cuyo nombre no se reveló comparó la plataforma con un «queso suizo». El investigador Davi Mikael Cezar, conocido como Penegui, dijo que concentrar las direcciones de acceso bajo el mismo dominio utilizado para promocionar el producto podría facilitar el acceso no autorizado. También dijo a UOL que una vulneración de ese dominio podría poner en riesgo las cámaras, dependiendo de cómo se hubiera construido el sistema.

Cezar dijo que encontró 15 credenciales de acceso a Smart Sampa en bases de datos filtradas, con registros de 2024, 2025 y 2026. Afirmó que los datos habían sido recopilados por malware infostealer, que puede robar información de dispositivos infectados, incluidas las contraseñas guardadas en los navegadores. Folha de S.Paulo también informó que las vulnerabilidades podían permitir el acceso a equipos de otros municipios. Uno de los registros correspondía a una cámara de lectura de matrículas en Campo Grande, a la que se accedió con un inicio de sesión de São Paulo.

Sentinelx ha utilizado Smart Sampa como referencia para ofrecer su tecnología a otras ciudades. UOL identificó subdominios relacionados con la empresa que llevaban los nombres de Guarulhos, Campinas, Joinville, Goiânia, Mairiporã y Catanduva. Sentinelx se incorporó en diciembre de 2025 al consorcio Smart City, responsable del programa, en sustitución de Camerite. El consorcio ganó el contrato en 2023, valorado en R$588 millones durante cinco años, con pagos mensuales de R$9,8 millones. Sus miembros originales eran CLD, Flama Serviços, PK9 y Camerite.

La Secretaría Municipal de Seguridad Urbana de São Paulo negó que la lista de enlaces hubiera estado disponible públicamente. Dijo que el archivo era una hoja de cálculo elaborada por la empresa municipal de tecnología PRODAM como parte de una revisión de ciberseguridad iniciada el 20 de octubre a pedido del alcalde Ricardo Nunes. La ciudad afirmó que el programa sigue operativo, que no ha encontrado pruebas de ataques externos y que la hoja de cálculo no incluía más de 20.000 cámaras propiedad del municipio. Describió la transmisión del archivo a UOL como una filtración ilegal de datos confidenciales y dijo que tomaría medidas administrativas y legales para investigarla.

Sentinelx no respondió a las preguntas de UOL. Monuv dijo que mantiene controles de acceso, autenticación y protecciones para los datos y las transmisiones de video, y añadió que el acceso a las cámaras compartidas a través de Smart Sampa sigue las especificaciones de seguridad establecidas por el programa.

Fuentes: Olhar Digital.