Uma nova brecha de segurança no Smart Sampa expôs imagens de 17 mil câmeras de empresas parceiras da Prefeitura de São Paulo, reportou o UOL nesta terça-feira (3). Desta vez, o problema estava relacionado ao código-fonte de um site ligado à Sentinelx, empresa responsável pela plataforma tecnológica do sistema de monitoramento. Questionada, a administração municipal negou que os links das transmissões estivessem disponíveis publicamente.Esta é a segunda exposição de grande escala identificada no Smart Sampa em menos de um mês. Em 20 de outubro, o UOL havia revelado outra vulnerabilidade que permitia acessar imagens de 58 mil câmeras do sistema de vigilância.Na nova investigação, o veículo conseguiu acessar, durante cinco dias, transmissões de câmeras hospedadas pela Monuv, provedora de serviços de nuvem para sistemas de segurança. Os links deixaram de funcionar na sexta-feira (30), um dia depois de o UOL questionar a Prefeitura, a Sentinelx e a Monuv sobre o problema. O Smart Sampa é a plataforma de monitoramento por câmeras da Prefeitura de São Paulo. Foto: Pedro Kirilos/Estadao Segundo a reportagem, o acesso às transmissões não exigia senha ou qualquer outra credencial. Entre as imagens disponíveis estavam registros ao vivo de ruas onde ficam as residências de autoridades e pessoas públicas, como o ministro do Supremo Tribunal Federal (STF) Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso.Imagens ao vivo foram comprovadasAssim como fez na primeira denúncia, o UOL foi às ruas na terça-feira (27) para comprovar que as imagens acessadas correspondiam a transmissões em tempo real.Desta vez, em vez de acenar para as câmeras, o repórter exibiu uma edição impressa do jornal Folha de S.Paulo daquele dia diante de um equipamento instalado na alameda Cleveland, na região central da capital paulista. A imagem pôde ser conferida na transmissão acessada pela reportagem.Na quinta-feira (29), o repórter repetiu o experimento com acenos às câmeras, desta vez diante de equipamentos posicionados nas ruas Helvétia e Conselheiro Nébias.Brecha estava relacionada ao código-fonte de site da SentinelxSegundo uma fonte do setor de cibersegurança ouvida pelo UOL, a nova exposição estava relacionada ao código-fonte de um site ligado à Sentinelx.Arquivos disponíveis na internet continham endereços de serviços utilizados pela plataforma para consultar informações sobre empresas e câmeras cadastradas. A partir dessas referências, era possível acessar cadastros, documentos de parceiros e endereços completos das transmissões, inclusive fora do ambiente do Smart Sampa. A brecha mais recente estava contida no código-fonte de um site relacionado à Sentinelx, mantenedora da plataforma. Foto: Prefeitura de São Paulo/Divulgação Especialistas consultados pelo veículo identificaram problemas de segurança, incluindo uma vulnerabilidade conhecida como IDOR (Insecure Direct Object Reference, ou referência direta insegura a objeto).Esse tipo de falha acontece quando uma aplicação permite consultar recursos internos por meio de identificadores, mas não verifica adequadamente se o usuário tem autorização para acessá-los. Assim, a alteração do identificador enviado em uma requisição pode permitir a consulta de informações que deveriam permanecer restritas.Prefeitura nega que links estivessem públicosQuestionada pelo TecMundo, a Prefeitura de São Paulo negou que os links das transmissões estivessem disponíveis publicamente na internet.A administração municipal afirmou que a lista citada pela reportagem fazia parte de uma planilha elaborada pela PRODAM durante uma análise de segurança do Smart Sampa, iniciada em 20 de outubro a pedido do prefeito Ricardo Nunes. A Prefeitura também negou a existência de sinais de ataques externos ao sistema.Abaixo, confira a resposta na íntegra:“A Secretaria Municipal de Segurança Urbana informa que a lista com links mencionada pela reportagem nunca esteve pública ou disponível para acesso na internet. Trata-se de uma planilha de Excel resultado de um trabalho de análise de cibersegurança da plataforma do Smart Sampa, realizado pela PRODAM e iniciado no último dia 20, a pedido do prefeito Ricardo Nunes. Ela foi apresentada nesta semana à SMSU para medidas adicionais de proteção, o que prontamente foi feito.O Programa Smart Sampa segue operando regularmente, sem evidências de ataques externos. É importante destacar que as mais de 20 mil câmeras próprias do Município não estão na planilha enviada ilegalmente à reportagem.O envio ao UOL da planilha com links de câmeras de empresas parceiras do Smart Sampa configura um novo ato criminoso de vazamento de dados sigilosos e confidenciais. A gestão municipal reforça que o arquivo foi encaminhado ilegalmente à reportagem e que serão adotadas as providências administrativas e legais cabíveis para a devida investigação e responsabilização dos envolvidos. E reitera: não há sinais de ataque ao sistema.Além da PRODAM, o Consórcio Smart City SP, responsável pela operação do programa, também contratou uma empresa independente para a realização de análises de segurança. Em relação às câmeras de parceiros privados integradas ao Programa Smart Sampa, a Secretaria informa que essas empresas possuem infraestrutura tecnológica própria, sendo responsáveis pela administração, operação e pelos mecanismos de segurança de seus respectivos ambientes e equipamentos. Dessa forma, a integração não implica a transferência da gestão ou do controle da infraestrutura tecnológica dos parceiros ao Município, permanecendo sob responsabilidade de cada empresa a proteção de seus próprios sistemas e equipamentos."Respostas da Monuv e SentinelxEm comunicado enviado ao UOL, a Monuv afirmou que “mantém uma estrutura de segurança da informação que inclui controles de acesso, autenticação e proteção de dados e transmissões, em linha com as boas práticas do setor”. Segundo a empresa, o compartilhamento de imagens em programas de segurança pública acontece por meio de clientes e parceiros devidamente homologados.“As empresas de segurança aderem ao programa por meio de convênio firmado diretamente com a Prefeitura e são responsáveis pela relação com seus clientes. No caso da integração com o Smart Sampa, o acesso às câmeras compartilhadas através da plataforma da Monuv segue as especificações de acesso e segurança definidas pelo próprio Smart Sampa”, disseram em nota.A Sentinelx não respondeu ao e-mail enviado pelo UOL até a publicação da reportagem.Quer ficar por dentro das novidades do mundo da tecnologia? Acesse o TecMundo e acompanhe as últimas notícias sobre cibersegurança, vigilância digital e privacidade. /Com informações de UOL.