Una nuova falla di sicurezza segnalata nel programma di videosorveglianza Smart Sampa di San Paolo ha esposto i flussi di 17.000 telecamere gestite da aziende che partecipano all’iniziativa cittadina. Secondo UOL, per cinque giorni è stato possibile accedere ai flussi senza password né verifica di sicurezza. Si tratta della seconda esposizione su larga scala che coinvolge il programma in meno di un mese: il 20 ottobre, la testata aveva riferito che altre 58.000 telecamere erano vulnerabili.
I flussi erano ospitati da Monuv, un fornitore di archiviazione cloud per telecamere di sicurezza. Comprendevano immagini di strade vicine alle abitazioni del giudice della Corte Suprema Federale Alexandre de Moraes e degli ex presidenti Michel Temer e Fernando Henrique Cardoso, oltre che degli ingressi di club di San Paolo, tra cui Hebraica e Sociedade Hípica Paulista. I link sono stati disattivati venerdì 30 ottobre, il giorno dopo che UOL aveva contattato il governo cittadino, Sentinelx, responsabile della tecnologia del programma, e Monuv.
La vulnerabilità più recente aveva una causa diversa da quella del precedente incidente. Una fonte di cybersicurezza ha riferito a UOL che la falla derivava dal codice sorgente di un sito web associato a Sentinelx. File disponibili online rivelavano gli indirizzi dei servizi utilizzati per cercare informazioni sulle aziende e sulle telecamere partecipanti. Ciò poteva esporre registri aziendali, documenti dei partner e link completi ai flussi delle telecamere, apribili al di fuori della piattaforma. La falla consentiva inoltre di accedere a dati relativi alle aziende partecipanti, tutelati dalla Legge generale brasiliana sulla protezione dei dati.
Tra i problemi individuati vi era un riferimento diretto a oggetti non sicuro, o IDOR. Questo tipo di vulnerabilità può consentire a qualcuno di modificare gli identificativi nell’indirizzo di un sito web per recuperare dati riservati, se il sistema non verifica che l’utente sia autorizzato. Uno specialista di cybersicurezza rimasto anonimo ha paragonato la piattaforma a «un formaggio svizzero». Il ricercatore Davi Mikael Cezar, noto come Penegui, ha affermato che concentrare gli indirizzi di accesso sotto lo stesso dominio utilizzato per promuovere il prodotto potrebbe facilitare gli accessi non autorizzati. Ha inoltre dichiarato a UOL che la compromissione di quel dominio potrebbe mettere a rischio le telecamere, a seconda di come è stato realizzato il sistema.
Cezar ha detto di aver trovato 15 credenziali di accesso a Smart Sampa in database trafugati, con registrazioni del 2024, 2025 e 2026. Ha spiegato che i dati erano stati raccolti da malware infostealer, capaci di sottrarre informazioni dai dispositivi infetti, comprese le password salvate nei browser. Anche Folha de S.Paulo ha riferito che le vulnerabilità potevano consentire l’accesso a dispositivi presenti in altri comuni. Una registrazione riguardava una telecamera per la lettura delle targhe a Campo Grande, raggiunta usando un account di San Paolo.
Sentinelx ha usato Smart Sampa come modello per proporre la propria tecnologia ad altre città. UOL ha individuato sottodomini legati all’azienda che riportavano i nomi di Guarulhos, Campinas, Joinville, Goiânia, Mairiporã e Catanduva. Sentinelx è entrata nel consorzio Smart City responsabile del programma nel dicembre 2025, sostituendo Camerite. Il consorzio si è aggiudicato l’appalto nel 2023, del valore di 588 milioni di R$ per cinque anni, con pagamenti mensili di 9,8 milioni di R$. I membri originari erano CLD, Flama Serviços, PK9 e Camerite.
La Segreteria municipale per la sicurezza urbana di San Paolo ha negato che l’elenco dei link fosse disponibile al pubblico. Ha dichiarato che il file era un foglio di calcolo prodotto dall’azienda tecnologica municipale PRODAM nell’ambito di una verifica di cybersicurezza avviata il 20 ottobre su richiesta del sindaco Ricardo Nunes. La città ha affermato che il programma è ancora operativo, che non ha trovato prove di attacchi esterni e che il foglio di calcolo non comprendeva più di 20.000 telecamere di proprietà del comune. Ha definito la trasmissione del file a UOL una fuga illegale di dati riservati e ha dichiarato che adotterà misure amministrative e legali per indagare.
Sentinelx non ha risposto alle domande di UOL. Monuv ha dichiarato di mantenere controlli di accesso, autenticazione e protezioni per i dati e i flussi video, aggiungendo che l’accesso alle telecamere condivise tramite Smart Sampa segue le specifiche di sicurezza stabilite dal programma.
Fonti: Olhar Digital.