Une faille de sécurité récemment signalée dans le programme de vidéosurveillance Smart Sampa de São Paulo a exposé les flux de 17 000 caméras exploitées par des entreprises participant à l’initiative municipale. Selon UOL, les flux pouvaient être consultés sans mot de passe ni confirmation de sécurité pendant cinq jours. Il s’agit du deuxième incident d’exposition à grande échelle impliquant le programme en moins d’un mois : le 20 octobre, le média avait rapporté qu’une autre faille concernait 58 000 caméras.

Les flux étaient hébergés par Monuv, un fournisseur de stockage dans le nuage pour les caméras de sécurité. Ils comprenaient des vues de rues proches des domiciles du juge de la Cour suprême fédérale Alexandre de Moraes et des anciens présidents Michel Temer et Fernando Henrique Cardoso, ainsi que des entrées de clubs de São Paulo, notamment Hebraica et Sociedade Hípica Paulista. Les liens ont été désactivés le vendredi 30 octobre, un jour après qu’UOL a contacté la municipalité, Sentinelx, responsable de la technologie du programme, et Monuv.

La cause de la dernière vulnérabilité était différente de celle de l’incident précédent. Une source spécialisée en cybersécurité a déclaré à UOL qu’elle provenait du code source d’un site web associé à Sentinelx. Des fichiers disponibles en ligne révélaient les adresses de services utilisés pour rechercher des informations sur les entreprises et les caméras participantes. Cela pouvait exposer des dossiers d’entreprises, des documents de partenaires et les liens complets vers les flux des caméras, qui pouvaient être ouverts en dehors de la plateforme. La faille permettait également d’accéder à des données concernant les entreprises participantes, protégées par la loi générale brésilienne sur la protection des données.

L’un des problèmes identifiés était une référence directe à un objet non sécurisée, ou IDOR. Ce type de vulnérabilité peut permettre à quelqu’un de modifier des identifiants dans l’adresse d’un site web pour obtenir des dossiers restreints, si le système ne vérifie pas ses autorisations. Un spécialiste en cybersécurité non identifié a comparé la plateforme à « du gruyère ». Le chercheur Davi Mikael Cezar, connu sous le nom de Penegui, a déclaré que le fait de regrouper les adresses d’accès sous le même domaine que celui utilisé pour promouvoir le produit pouvait faciliter les accès non autorisés. Il a également indiqué à UOL qu’une compromission de ce domaine pourrait mettre des caméras en danger, selon la manière dont le système avait été conçu.

Cezar a déclaré avoir trouvé 15 identifiants d’accès à Smart Sampa dans des bases de données ayant fait l’objet de fuites, avec des données datant de 2024, 2025 et 2026. Selon lui, ces données avaient été collectées par un logiciel malveillant de type infostealer, capable de voler des informations sur des appareils infectés, notamment des mots de passe enregistrés dans les navigateurs. Folha de S.Paulo a également rapporté que les vulnérabilités pouvaient donner accès à des équipements dans d’autres municipalités. Un dossier concernait une caméra de lecture des plaques d’immatriculation à Campo Grande, à laquelle on avait accédé avec un identifiant de São Paulo.

Sentinelx a présenté Smart Sampa comme une référence pour proposer sa technologie à d’autres villes. UOL a identifié des sous-domaines associés à l’entreprise portant les noms de Guarulhos, Campinas, Joinville, Goiânia, Mairiporã et Catanduva. Sentinelx a rejoint le consortium Smart City responsable du programme en décembre 2025, en remplacement de Camerite. Le consortium a remporté le marché en 2023, pour un montant de 588 millions de R$, sur cinq ans, avec des paiements mensuels de 9,8 millions de R$. Ses membres d’origine étaient CLD, Flama Serviços, PK9 et Camerite.

Le Secrétariat municipal à la sécurité urbaine de São Paulo a nié que la liste de liens ait été accessible au public. Il a déclaré que le fichier était un tableur produit par l’entreprise technologique municipale PRODAM dans le cadre d’un examen de cybersécurité lancé le 20 octobre à la demande du maire Ricardo Nunes. La municipalité a affirmé que le programme restait opérationnel, qu’elle n’avait trouvé aucune preuve d’attaques externes et que le tableur ne contenait pas plus de 20 000 caméras appartenant à la municipalité. Elle a qualifié la transmission du fichier à UOL de fuite illégale de données confidentielles et a déclaré qu’elle prendrait des mesures administratives et juridiques pour enquêter.

Sentinelx n’a pas répondu aux questions d’UOL. Monuv a déclaré qu’elle maintenait des contrôles d’accès, une authentification et des protections pour les données et les flux vidéo, ajoutant que l’accès aux caméras partagées par l’intermédiaire de Smart Sampa respectait les spécifications de sécurité établies par le programme.

Sources: Olhar Digital.