Uma nova brecha de segurança no Smart Sampa expôs imagens de 17 mil câmeras de empresas parceiras da Prefeitura de São Paulo, reportou o UOL nesta terça-feira (3). Desta vez, o problema estava relacionado ao código-fonte de um site ligado à Sentinelx, empresa responsável pela plataforma tecnológica do sistema de monitoramento. Questionada, a administração municipal negou que os links das transmissões estivessem disponíveis publicamente.
Esta é a segunda exposição de grande escala identificada no Smart Sampa em menos de um mês. Em 20 de outubro, o UOL havia revelado outra vulnerabilidade que permitia acessar imagens de 58 mil câmeras do sistema de vigilância.
Na nova investigação, o veículo conseguiu acessar, durante cinco dias, transmissões de câmeras hospedadas pela Monuv, provedora de serviços de nuvem para sistemas de segurança. Os links deixaram de funcionar na sexta-feira (30), um dia depois de o UOL questionar a Prefeitura, a Sentinelx e a Monuv sobre o problema.
Segundo a reportagem, o acesso às transmissões não exigia senha ou qualquer outra credencial. Entre as imagens disponíveis estavam registros ao vivo de ruas onde ficam as residências de autoridades e pessoas públicas, como o ministro do Supremo Tribunal Federal (STF) Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso.
Imagens ao vivo foram comprovadas
Assim como fez na primeira denúncia, o UOL foi às ruas na terça-feira (27) para comprovar que as imagens acessadas correspondiam a transmissões em tempo real.
Desta vez, em vez de acenar para as câmeras, o repórter exibiu uma edição impressa do jornal Folha de S.Paulo daquele dia diante de um equipamento instalado na alameda Cleveland, na região central da capital paulista. A imagem pôde ser conferida na transmissão acessada pela reportagem.
Na quinta-feira (29), o repórter repetiu o experimento com acenos às câmeras, desta vez diante de equipamentos posicionados nas ruas Helvétia e Conselheiro Nébias.
Brecha estava relacionada ao código-fonte de site da Sentinelx
Segundo uma fonte do setor de cibersegurança ouvida pelo UOL, a nova exposição estava relacionada ao código-fonte de um site ligado à Sentinelx.
Arquivos disponíveis na internet continham endereços de serviços utilizados pela plataforma para consultar informações sobre empresas e câmeras cadastradas. A partir dessas referências, era possível acessar cadastros, documentos de parceiros e endereços completos das transmissões, inclusive fora do ambiente do Smart Sampa.
Especialistas consultados pelo veículo identificaram problemas de segurança, incluindo uma vulnerabilidade conhecida como IDOR (Insecure Direct Object Reference, ou referência direta insegura a objeto).
Esse tipo de falha acontece quando uma aplicação permite consultar recursos internos por meio de identificadores, mas não verifica adequadamente se o usuário tem autorização para acessá-los. Assim, a alteração do identificador enviado em uma requisição pode permitir a consulta de informações que deveriam permanecer restritas.
Prefeitura nega que links estivessem públicos
Questionada pelo TecMundo, a Prefeitura de São Paulo negou que os links das transmissões estivessem disponíveis publicamente na internet.
A administração municipal afirmou que a lista citada pela reportagem fazia parte de uma planilha elaborada pela PRODAM durante uma análise de segurança do Smart Sampa, iniciada em 20 de outubro a pedido do prefeito Ricardo Nunes. A Prefeitura também negou a existência de sinais de ataques externos ao sistema.
Abaixo, confira a resposta na íntegra:
“A Secretaria Municipal de Segurança Urbana informa que a lista com links mencionada pela reportagem nunca esteve pública ou disponível para acesso na internet. Trata-se de uma planilha de Excel resultado de um trabalho de análise de cibersegurança da plataforma do Smart Sampa, realizado pela PRODAM e iniciado no último dia 20, a pedido do prefeito Ricardo Nunes. Ela foi apresentada nesta semana à SMSU para medidas adicionais de proteção, o que prontamente foi feito.
O Programa Smart Sampa segue operando regularmente, sem evidências de ataques externos. É importante destacar que as mais de 20 mil câmeras próprias do Município não estão na planilha enviada ilegalmente à reportagem.
O envio ao UOL da planilha com links de câmeras de empresas parceiras do Smart Sampa configura um novo ato criminoso de vazamento de dados sigilosos e confidenciais. A gestão municipal reforça que o arquivo foi encaminhado ilegalmente à reportagem e que serão adotadas as providências administrativas e legais cabíveis para a devida investigação e responsabilização dos envolvidos. E reitera: não há sinais de ataque ao sistema.
Além da PRODAM, o Consórcio Smart City SP, responsável pela operação do programa, também contratou uma empresa independente para a realização de análises de segurança. Em relação às câmeras de parceiros privados integradas ao Programa Smart Sampa, a Secretaria informa que essas empresas possuem infraestrutura tecnológica própria, sendo responsáveis pela administração, operação e pelos mecanismos de segurança de seus respectivos ambientes e equipamentos. Dessa forma, a integração não implica a transferência da gestão ou do controle da infraestrutura tecnológica dos parceiros ao Município, permanecendo sob responsabilidade de cada empresa a proteção de seus próprios sistemas e equipamentos."
Respostas da Monuv e Sentinelx
Em comunicado enviado ao UOL, a Monuv afirmou que “mantém uma estrutura de segurança da informação que inclui controles de acesso, autenticação e proteção de dados e transmissões, em linha com as boas práticas do setor”. Segundo a empresa, o compartilhamento de imagens em programas de segurança pública acontece por meio de clientes e parceiros devidamente homologados.
“As empresas de segurança aderem ao programa por meio de convênio firmado diretamente com a Prefeitura e são responsáveis pela relação com seus clientes. No caso da integração com o Smart Sampa, o acesso às câmeras compartilhadas através da plataforma da Monuv segue as especificações de acesso e segurança definidas pelo próprio Smart Sampa”, disseram em nota.
A Sentinelx não respondeu ao e-mail enviado pelo UOL até a publicação da reportagem.
Quer ficar por dentro das novidades do mundo da tecnologia? Acesse o TecMundo e acompanhe as últimas notícias sobre cibersegurança, vigilância digital e privacidade. /Com informações de UOL.