Uma falha de segurança no Smart Sampa, o sistema de vigilância da cidade de São Paulo, teria permitido o acesso não autorizado a 17 mil câmeras. O caso é a segunda grande violação envolvendo o serviço a vir à tona em três semanas.

O incidente mais recente ocorre após uma investigação aberta em outubro pelo Ministério Público de São Paulo sobre vazamentos anteriores que teriam exposto 58 mil câmeras durante um período de 11 meses. Segundo a reportagem, links comprometidos para imagens hospedadas pela provedora de nuvem Monuv permaneceram acessíveis por cinco dias antes de serem removidos.

As transmissões incluíam imagens ao vivo de ruas onde moram figuras públicas, entre elas o ministro do Supremo Tribunal Federal Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso.

A vulnerabilidade divulgada mais recentemente foi atribuída a uma falha no código-fonte da Sentinelx, que administra a plataforma tecnológica do Smart Sampa. Arquivos disponíveis on-line revelaram endereços de serviços usados para recuperar dados, podendo expor registros e links para transmissões das câmeras.

A especialista em segurança Rafaela Silva disse ao Canaltech que o sistema não contava com medidas de proteção, como autenticação multifator e separação entre ambientes. Ela também afirmou que plataformas de câmeras devem aplicar máscaras de privacidade para desfocar rostos nos vídeos, limitando o acesso a imagens que permitam identificar pessoas ao pessoal autorizado.

Após o incidente anterior, a Prefeitura de São Paulo afirmou que seria necessário usar reconhecimento facial para acessar o Smart Sampa. Em nota ao UOL, a prefeitura disse que o repositório que continha os links das câmeras nunca foi público e classificou o vazamento como um ato criminoso. Afirmou não haver indícios de um ataque ao Smart Sampa e que a PRODAM e o Consórcio Smart City SP contrataram uma empresa independente para realizar análises de segurança.

A Monuv, que fornece o serviço de nuvem, afirmou manter uma estrutura de segurança alinhada às melhores práticas do setor.

Fontes: Canaltech.