Uma falha de segurança recém-divulgada no programa de vigilância Smart Sampa, de São Paulo, expôs as transmissões de 17.000 câmeras operadas por empresas participantes da iniciativa municipal. Segundo o UOL, as transmissões podiam ser acessadas sem senha ou confirmação de segurança durante cinco dias. Este é o segundo caso de exposição em larga escala envolvendo o programa em menos de um mês: em 20 de outubro, o veículo noticiou que outras 58.000 câmeras estavam vulneráveis.
As transmissões eram hospedadas pela Monuv, uma provedora de armazenamento em nuvem para câmeras de segurança. Elas incluíam imagens de ruas próximas às residências do ministro do Supremo Tribunal Federal Alexandre de Moraes e dos ex-presidentes Michel Temer e Fernando Henrique Cardoso, além de entradas de clubes de São Paulo, entre eles Hebraica e Sociedade Hípica Paulista. Os links foram retirados do ar na sexta-feira, 30 de outubro, um dia depois de o UOL entrar em contato com a prefeitura, a Sentinelx, responsável pela tecnologia do programa, e a Monuv.
A vulnerabilidade mais recente teve uma causa diferente da do incidente anterior. Uma fonte de cibersegurança disse ao UOL que ela se originou no código-fonte de um site associado à Sentinelx. Arquivos disponíveis on-line revelaram endereços de serviços usados para consultar informações sobre empresas participantes e câmeras. Isso poderia expor registros comerciais, documentos de parceiros e links completos para as transmissões das câmeras, que podiam ser abertos fora da plataforma. A falha também permitia acesso a dados de empresas participantes protegidos pela Lei Geral de Proteção de Dados do Brasil.
Um dos problemas identificados foi uma referência direta insegura a objeto, ou IDOR. Esse tipo de vulnerabilidade pode permitir que alguém altere identificadores no endereço de um site para obter registros restritos, caso o sistema não verifique se essa pessoa tem autorização. Um especialista em cibersegurança não identificado comparou a plataforma a um “queijo suíço”. O pesquisador Davi Mikael Cezar, conhecido como Penegui, disse que concentrar os endereços de acesso no mesmo domínio usado para promover o produto poderia facilitar o acesso não autorizado. Ele também disse ao UOL que o comprometimento desse domínio poderia colocar as câmeras em risco, dependendo de como o sistema foi construído.
Cezar disse ter encontrado 15 credenciais de acesso ao Smart Sampa em bancos de dados vazados, com registros de 2024, 2025 e 2026. Segundo ele, os dados haviam sido coletados por malware infostealer, que pode roubar informações de dispositivos infectados, incluindo senhas salvas nos navegadores. A Folha de S.Paulo também noticiou que as vulnerabilidades poderiam permitir acesso a equipamentos de outros municípios. Um registro envolvia uma câmera de leitura de placas em Campo Grande, acessada com um login de São Paulo.
A Sentinelx tem usado o Smart Sampa como referência para oferecer sua tecnologia a outras cidades. O UOL identificou subdomínios relacionados à empresa com os nomes de Guarulhos, Campinas, Joinville, Goiânia, Mairiporã e Catanduva. A Sentinelx entrou no consórcio Smart City, responsável pelo programa, em dezembro de 2025, substituindo a Camerite. O consórcio venceu o contrato em 2023, no valor de R$588 milhões por cinco anos, com pagamentos mensais de R$9,8 milhões. Seus membros originais eram CLD, Flama Serviços, PK9 e Camerite.
A Secretaria Municipal de Segurança Urbana de São Paulo negou que a lista de links estivesse disponível publicamente. A secretaria disse que o arquivo era uma planilha produzida pela empresa municipal de tecnologia PRODAM como parte de uma análise de cibersegurança iniciada em 20 de outubro, a pedido do prefeito Ricardo Nunes. A prefeitura afirmou que o programa continua em funcionamento, que não encontrou evidências de ataques externos e que a planilha não incluía mais de 20.000 câmeras pertencentes ao município. Descreveu o envio do arquivo ao UOL como um vazamento ilegal de dados confidenciais e disse que tomaria medidas administrativas e legais para investigar o caso.
A Sentinelx não respondeu às perguntas do UOL. A Monuv disse que mantém controles de acesso, autenticação e proteções para dados e transmissões de vídeo, acrescentando que o acesso às câmeras compartilhadas pelo Smart Sampa segue as especificações de segurança estabelecidas pelo programa.
Fontes: Olhar Digital.