Uma nova vulnerabilidade no programa Smart Sampa expôs imagens de 17 mil câmeras de empresas parceiras da Prefeitura de São Paulo. A brecha estava no código-fonte de um site ligado à Sentinelx, empresa responsável pela plataforma tecnológica do sistema de monitoramento. A Prefeitura negou que os links das transmissões estivessem disponíveis publicamente na internet.
A investigação, publicada pelo Uol nesta terça-feira (3), é a segunda exposição de grande escala identificada no Smart Sampa em menos de um mês. Em 20 de outubro, o mesmo veículo havia revelado outra falha que permitia acessar imagens de 58 mil câmeras do sistema de vigilância.
Segundo o Uol, arquivos disponíveis na internet continham endereços de serviços utilizados pela plataforma para consultar informações sobre empresas e câmeras cadastradas. A partir dessas referências, era possível acessar cadastros, documentos de parceiros e endereços completos das transmissões, inclusive fora do ambiente do Smart Sampa. O acesso não exigia senha ou qualquer outra credencial.
Leia também: Docusign compra Suplari e integra IA para gestão de compras
Segunda brecha em menos de um mês no Smart Sampa
A reportagem conseguiu acessar, durante cinco dias, transmissões de câmeras hospedadas pela Monuv, provedora de serviços de nuvem para sistemas de segurança. Os links deixaram de funcionar na sexta-feira (30) de outubro, um dia depois de o Uol questionar a Prefeitura, a Sentinelx e a Monuv sobre o problema.
Entre as imagens acessadas estavam registros ao vivo de ruas onde ficam as residências de autoridades e pessoas públicas, entre elas o ministro do Supremo Tribunal Federal (STF) Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso.
Para comprovar que as imagens correspondiam a transmissões em tempo real, o repórter do Uol foi às ruas na terça-feira (27) de outubro. Diante de uma câmera instalada na alameda Cleveland, na região central de São Paulo, exibiu uma edição impressa da Folha de S.Paulo daquele dia. A imagem apareceu na transmissão acessada pela reportagem. Na quinta-feira (29), o repórter repetiu o experimento com acenos diante de equipamentos posicionados nas ruas Helvétia e Conselheiro Nébias.
Vulnerabilidade do tipo IDOR
Especialistas em cibersegurança consultados pelo Uol identificaram, entre os problemas encontrados, uma vulnerabilidade conhecida como referência direta insegura a objeto (IDOR). Esse tipo de falha ocorre quando uma aplicação permite consultar recursos internos por identificadores sem verificar se o usuário tem autorização para acessá-los. Com isso, a alteração do identificador em uma requisição pode dar acesso a informações que deveriam permanecer restritas.
Prefeitura nega acesso público
A Prefeitura de São Paulo afirmou que a lista citada pela reportagem fazia parte de uma planilha elaborada pela PRODAM (empresa municipal de tecnologia da informação) durante uma análise de segurança do Smart Sampa, iniciada em 20 de outubro a pedido do prefeito Ricardo Nunes. Segundo a administração municipal, a planilha foi encaminhada ilegalmente ao Uol e não esteve disponível publicamente na internet.
“A Secretaria Municipal de Segurança Urbana (SMSU) informa que a lista com links mencionada pela reportagem nunca esteve pública ou disponível para acesso na internet. Trata-se de uma planilha de Excel resultado de um trabalho de análise de cibersegurança da plataforma do Smart Sampa, realizado pela PRODAM e iniciado no último dia 20, a pedido do prefeito Ricardo Nunes”, diz a nota oficial. A Prefeitura acrescentou que as mais de 20 mil câmeras próprias do Município não constavam na planilha e que não há sinais de ataques externos ao sistema.
A administração municipal classificou o envio da planilha ao Uol como “um novo ato criminoso de vazamento de dados sigilosos e confidenciais” e afirmou que adotará providências administrativas e legais para investigar e responsabilizar os envolvidos.
Respostas de Monuv e Sentinelx
Em comunicado, a Monuv afirmou que “mantém uma estrutura de segurança da informação que inclui controles de acesso, autenticação e proteção de dados e transmissões, em linha com as boas práticas do setor”. A empresa observa que o acesso às câmeras compartilhadas por meio de sua plataforma “segue as especificações de acesso e segurança definidas pelo próprio Smart Sampa”.
A Sentinelx não respondeu ao Uol até a publicação da reportagem.
Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!
