Une faille de sécurité dans Smart Sampa, le système de vidéosurveillance de la ville de São Paulo, aurait permis un accès non autorisé à 17 000 caméras. Il s’agit du deuxième incident majeur concernant ce service à être révélé en trois semaines.

Ce dernier incident fait suite à une enquête ouverte en octobre par le Ministère public de São Paulo sur des fuites antérieures qui auraient exposé 58 000 caméras sur une période de 11 mois. Selon le rapport, les liens compromis vers les images hébergées par le fournisseur de services cloud Monuv sont restés accessibles pendant cinq jours avant d’être supprimés.

Les flux vidéo comprenaient des images en direct de rues où résident des personnalités publiques, notamment Alexandre de Moraes, juge à la Cour suprême fédérale, ainsi que les anciens présidents Michel Temer et Fernando Henrique Cardoso.

La vulnérabilité récemment signalée a été attribuée à une faille dans le code source de Sentinelx, qui gère la plateforme technologique de Smart Sampa. Des fichiers accessibles en ligne révélaient les adresses de services utilisés pour récupérer des données, exposant potentiellement des dossiers et des liens vers les flux des caméras.

La spécialiste en sécurité Rafaela Silva a déclaré à Canaltech que le système ne disposait pas de mesures de protection telles que l’authentification multifacteur et la séparation des environnements. Elle a également indiqué que les plateformes de caméras devraient appliquer des masques de confidentialité pour flouter les visages dans les vidéos, en limitant l’accès aux images permettant d’identifier les personnes au personnel autorisé.

Après le précédent incident, la municipalité de São Paulo a déclaré que la reconnaissance faciale serait requise pour accéder à Smart Sampa. Dans une déclaration à UOL, la ville a affirmé que le dépôt contenant les liens vers les caméras n’avait jamais été public et a qualifié la fuite d’acte criminel. Elle a indiqué qu’aucun élément ne laissait supposer une attaque contre Smart Sampa et que PRODAM et le Consortium Smart City SP avaient engagé une entreprise indépendante pour réaliser des audits de sécurité.

Monuv, qui fournit le service cloud, a déclaré disposer d’une structure de sécurité conforme aux meilleures pratiques du secteur.

Sources: Canaltech.