Nova falha no Smart Sampa expõe imagens de 17 mil câmeras da plataforma, diz site
Brecha permitiu acesso a transmissões sem senha; Prefeitura nega exposição pública e afirma que vai apurar o caso
-1jy7orqt0u4hi.png "Redação Terra"){kind=small}
Uma nova vulnerabilidade no Smart Sampa, sistema de monitoramento por câmeras da Prefeitura de São Paulo, deixou 17 mil equipamentos de empresas conveniadas acessíveis, segundo apuração do UOL. O episódio representa a segunda falha de grande proporção identificada no programa em menos de um mês. Em 20 de outubro, o portal havia revelado que outras 58 mil câmeras estavam expostas.
Receba as principais notícias direto no WhatsApp! Inscreva-se no canal do Terra
Desta vez, a brecha permitiu que a reportagem do UOL acompanhasse, durante cinco dias, imagens de milhares de dispositivos armazenados na Monuv, empresa que fornece serviços de nuvem para câmeras de segurança. O Smart Sampa reúne equipamentos municipais e de companhias parceiras que aderiram ao programa.
O acesso foi interrompido na sexta-feira, 30 de outubro, um dia depois de o UOL procurar a Prefeitura de São Paulo, a Sentinelx -- esponsável pela tecnologia do sistema -- e a Monuv para questionar as empresas sobre a vulnerabilidade.
Durante o período em que as transmissões estavam disponíveis, não era necessário informar senha ou passar por qualquer etapa de autenticação para visualizar as imagens, de acordo com a reportagem. Entre os locais que puderam ser monitorados estavam ruas próximas às residências de autoridades e ex-autoridades, como o ministro do Supremo Tribunal Federal (STF) Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso. Também havia imagens de acessos a clubes tradicionais da elite paulistana, como a Hebraica e a Sociedade Hípica Paulista.
A Prefeitura de São Paulo, sob gestão de Ricardo Nunes (MDB), negou que as informações estivessem disponíveis publicamente na internet e afirmou que vai investigar o caso.
Como a nova falha permitia acessar as câmeras?
A vulnerabilidade identificada agora tem origem diferente daquela revelada pelo UOL em outubro. De acordo com uma fonte do setor de cibersegurança ouvida pelo portal, o problema estava no código-fonte de um site relacionado à Sentinelx.
Arquivos disponíveis na internet indicavam os endereços dos serviços utilizados pela plataforma para consultar informações de empresas e câmeras. A partir desses dados, era possível obter cadastros, documentos de parceiros e links das transmissões, que podiam ser acessados diretamente, sem passar pelo sistema do Smart Sampa.
O problema também envolvia uma falha conhecida como IDOR, sigla em inglês para referência direta insegura a objeto. Esse tipo de vulnerabilidade permite que alguém altere o código de identificação de um cadastro ou documento em uma página para consultar informações restritas, sem que o sistema confira se a pessoa tem autorização para isso.
Assim como na brecha anterior, a exposição também envolvia informações protegidas pela Lei Geral de Proteção de Dados (LGPD). Neste caso, os dados acessíveis estavam relacionados às empresas parceiras cadastradas no programa.
Falha também permitiu confirmar acesso às imagens
Na primeira reportagem sobre o assunto, o UOL mostrou que câmeras instaladas em escolas, unidades de saúde e outros equipamentos públicos da capital também podiam ser visualizadas. Para demonstrar que conseguia acessar as transmissões, a equipe chegou a gravar acenos diante de oito câmeras nos Campos Elíseos, região central de São Paulo.
Na semana seguinte, os jornalistas retornaram ao bairro e repetiram o procedimento. Na terça-feira, 27 de outubro, exibiram diante de uma câmera na alameda Cleveland uma edição impressa da Folha de S.Paulo daquele dia. Dois dias depois, fizeram novos acenos para equipamentos nas ruas Helvétia e Conselheiro Nébias.
Sentinelx tem sistemas associados a outras cidades
A empresa responsável pela tecnologia do Smart Sampa também tem utilizado o programa paulistano como referência para oferecer o modelo a outras administrações municipais. O UOL identificou subdomínios relacionados à Sentinelx com referências a Guarulhos, Campinas, Joinville, Goiânia, Mairiporã e Catanduva.
A Folha de S.Paulo já havia noticiado que vulnerabilidades no sistema permitiam o acesso a câmeras de outros municípios. A informação foi baseada em documentos técnicos e relatos de especialistas. O UOL afirma ter encontrado os mesmos dados, entre eles o registro de acesso a uma câmera de leitura de placas em Campo Grande (MS) por meio de um login vinculado a São Paulo.
Como a Sentinelx entrou no contrato do Smart Sampa?
A Sentinelx foi criada em 2023, um mês depois da assinatura do contrato do Smart Sampa. O consórcio Smart City, inicialmente composto pelas empresas CLD, Flama Serviços, PK9 e Camerite, venceu a licitação com uma proposta de R$ 9,8 milhões mensais. Duas concorrentes foram desclassificadas, incluindo uma que havia apresentado oferta de R$ 9,2 milhões.
O contrato prevê o pagamento de R$ 588 milhões ao longo de cinco anos. Em dezembro de 2025, um aditivo formalizou a entrada da Sentinelx no consórcio, em substituição à Camerite.
Desde 2025, Jorge Marques Moura integra o quadro societário da Sentinelx. Ele também é sócio da CLD e assinou o aditivo contratual na condição de administrador do consórcio.
O que dizem a Prefeitura, a Sentinelx e a Monuv?
Em resposta aos questionamentos do UOL, a Prefeitura de São Paulo negou que a lista de links citada pela reportagem tenha ficado disponível publicamente na internet. A administração municipal também afirmou que o Smart Sampa continua funcionando normalmente e que não há indícios de ataques externos. Confira a íntegra da manifestação:
"A Secretaria Municipal de Segurança Urbana informa que a lista com links mencionada pela reportagem nunca esteve pública ou disponível para acesso na internet. Trata-se de uma planilha de Excel resultado de um trabalho de análise de cibersegurança da plataforma do Smart Sampa, realizado pela PRODAM e iniciado no último dia 20, a pedido do prefeito Ricardo Nunes. Ela foi apresentada nesta semana à SMSU para medidas adicionais de proteção, o que prontamente foi feito.
O Programa Smart Sampa segue operando regularmente, sem evidências de ataques externos. É importante destacar que as mais de 20 mil câmeras próprias do Município não estão na planilha enviada ilegalmente à reportagem.
O envio ao UOL da planilha com links de câmeras de empresas parceiras do Smart Sampa configura um novo ato criminoso de vazamento de dados sigilosos e confidenciais. A gestão municipal reforça que o arquivo foi encaminhado ilegalmente à reportagem e que serão adotadas as providências administrativas e legais cabíveis para a devida investigação e responsabilização dos envolvidos. E reitera: não há sinais de ataque ao sistema.
Além da PRODAM, o Consórcio Smart City SP, responsável pela operação do programa, também contratou uma empresa independente para a realização de análises de segurança. Em relação às câmeras de parceiros privados integradas ao Programa Smart Sampa, a Secretaria informa que essas empresas possuem infraestrutura tecnológica própria, sendo responsáveis pela administração, operação e pelos mecanismos de segurança de seus respectivos ambientes e equipamentos. Dessa forma, a integração não implica a transferência da gestão ou do controle da infraestrutura tecnológica dos parceiros ao Município, permanecendo sob responsabilidade de cada empresa a proteção de seus próprios sistemas e equipamentos."
A Sentinelx, responsável pela tecnologia do programa, não respondeu aos questionamentos do UOL.
Já a Monuv declarou que adota medidas de proteção para os dados e as transmissões realizadas por sua plataforma. A empresa afirmou que "mantém uma estrutura de segurança da informação que inclui controles de acesso, autenticação e proteção de dados e transmissões, em linha com as boas práticas do setor".
A companhia também explicou que a disponibilização de imagens para programas de segurança pública ocorre por meio de clientes e parceiros autorizados. Segundo a Monuv, "as empresas de segurança aderem ao programa por meio de convênio firmado diretamente com a Prefeitura e são responsáveis pela relação com seus clientes. No caso da integração com o Smart Sampa, o acesso às câmeras compartilhadas através da plataforma da Monuv segue as especificações de acesso e segurança definidas pelo próprio Smart Sampa".
-qy1ohgw30rw7.jpg)
Comentários
Os comentários são de responsabilidade exclusiva de seus autores e não representam a opinião deste site. Se achar algo que viole os termos de uso, denuncie.