Uma nova vulnerabilidade no sistema de vigilância Smart Sampa, da Prefeitura de São Paulo, permitiu acessar imagens de cerca de 17 mil câmeras de empresas parceiras, sem senha ou autorização. A falha foi revelada nesta terça-feira (3) pelo UOL, menos de duas semanas depois de outra brecha que deu acesso a mais de 58 mil câmeras integradas ao programa.
Câmeras ligadas à Monuv e ruas de autoridades
O problema atingiu equipamentos conectados à infraestrutura da Monuv, empresa de armazenamento em nuvem. Durante pelo menos cinco dias, a reportagem visualizou transmissões ao vivo de diferentes regiões da capital.
Entre os locais acessados estavam ruas próximas às residências dos ex-presidentes Michel Temer e Fernando Henrique Cardoso. Segundo o UOL, a vulnerabilidade estava ligada ao código de um site associado à Sentinelx, responsável pela plataforma tecnológica do Smart Sampa.
Nesse ambiente, era possível localizar cadastros de empresas parceiras e links diretos das transmissões, sem exigência de autenticação. Para comprovar o acesso em tempo real, jornalistas foram ao bairro dos Campos Elíseos e apareceram diante das câmeras com jornais do dia.
A brecha foi corrigida na sexta-feira (30), após questionamentos feitos às empresas envolvidas. O caso levantou dúvidas sobre o cumprimento da Lei Geral de Proteção de Dados (LGPD).
Caso se soma a exposição de credenciais da GCM
Em 20 de outubro, outra apuração do UOL revelou que 181 credenciais de acesso e informações de cerca de 6 mil agentes da Guarda Civil Metropolitana (GCM) ficaram expostas na internet por aproximadamente 11 meses. Com esses dados, foi possível reproduzir o painel de monitoramento do Smart Sampa e acessar imagens de mais de 58 mil câmeras, incluindo equipamentos instalados em escolas e unidades de saúde.
Um guarda municipal suspeito de divulgar informações sigilosas foi afastado e passou a ser investigado pela Corregedoria. A Prefeitura reconheceu a divulgação irregular das credenciais, mas negou que o sistema tenha sofrido invasão.
Posição da Prefeitura, da Monuv e da Sentinelx
Sobre o episódio mais recente, a Secretaria Municipal de Segurança Urbana afirmou ao UOL que os endereços das câmeras não estavam disponíveis publicamente na internet. Segundo a pasta, os links constavam de uma planilha produzida durante uma análise de segurança da Prodam, posteriormente repassada de forma ilegal à reportagem.
A administração também afirmou que as câmeras próprias do município não estavam incluídas no material e que os equipamentos de empresas conveniadas são de responsabilidade de seus operadores. A Monuv declarou possuir mecanismos de autenticação e proteção. A Sentinelx não respondeu aos questionamentos do UOL.
