Una falla di sicurezza in Smart Sampa, il sistema di videosorveglianza urbana di San Paolo, avrebbe consentito l’accesso non autorizzato a 17.000 telecamere. È il secondo grave incidente che coinvolge il servizio a emergere nell’arco di tre settimane.

L’ultimo episodio segue un’indagine avviata a ottobre dalla Procura di San Paolo su precedenti fughe di dati che avrebbero esposto 58.000 telecamere nell’arco di 11 mesi. Secondo il rapporto, i link compromessi ai filmati ospitati dal provider cloud Monuv sono rimasti accessibili per cinque giorni prima di essere rimossi.

I flussi includevano riprese in diretta delle strade in cui vivono personaggi pubblici, tra cui il giudice della Corte suprema federale Alexandre de Moraes e gli ex presidenti Michel Temer e Fernando Henrique Cardoso.

La vulnerabilità segnalata di recente è stata attribuita a una falla nel codice sorgente di Sentinelx, che gestisce la piattaforma tecnologica di Smart Sampa. Alcuni file disponibili online rivelavano gli indirizzi dei servizi utilizzati per recuperare i dati, esponendo potenzialmente registri e link ai flussi delle telecamere.

La specialista di sicurezza Rafaela Silva ha dichiarato a Canaltech che il sistema era privo di misure di protezione quali l’autenticazione a più fattori e la separazione tra ambienti. Ha inoltre affermato che le piattaforme delle telecamere dovrebbero applicare maschere per la privacy, sfocando i volti nei video e limitando l’accesso alle immagini identificabili al personale autorizzato.

Dopo il precedente incidente, il governo municipale di San Paolo ha dichiarato che per accedere a Smart Sampa sarebbe stato necessario il riconoscimento facciale. In una dichiarazione a UOL, il Comune ha affermato che il repository contenente i link alle telecamere non era mai stato pubblico e ha descritto la fuga di dati come un atto criminale. Ha aggiunto che non vi erano indicazioni di un attacco a Smart Sampa e che PRODAM e il Consorzio Smart City SP avevano incaricato un’azienda indipendente di condurre verifiche di sicurezza.

Monuv, che fornisce il servizio cloud, ha dichiarato di disporre di una struttura di sicurezza in linea con le migliori pratiche del settore.

Fonti: Canaltech.