Uma nova vulnerabilidade no Smart Sampa permitiu o acesso sem senha a cerca de 17 mil câmeras de empresas parceiras do programa de vigilância da Prefeitura de São Paulo, segundo reportagem do UOL. É a segunda falha de grande alcance revelada em menos de um mês: em 20 de outubro, o veículo havia identificado a exposição de 58 mil câmeras vinculadas ao sistema.
Durante cinco dias, a reportagem conseguiu abrir diretamente transmissões hospedadas na Monuv, empresa que oferece armazenamento em nuvem para câmeras de segurança. Os links foram desativados na sexta-feira (30), um dia depois de o UOL procurar a prefeitura, a Monuv e a Sentinelx, responsável pela plataforma tecnológica do Smart Sampa.
Entre as imagens acessadas estavam transmissões ao vivo de ruas onde moram o ministro do Supremo Tribunal Federal (STF) Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso. Também foi possível visualizar entradas de clubes como a Hebraica e a Sociedade Hípica Paulista.
A gestão do prefeito Ricardo Nunes nega que a lista de links estivesse disponível publicamente na internet. Segundo a administração municipal, o material integra uma análise de segurança e foi encaminhado ilegalmente à reportagem.
Acesso a imagens e dados de parceiros
Para verificar se as transmissões eram atuais, o UOL voltou às ruas dos Campos Elíseos, na região central da capital. Na terça-feira (27), a reportagem exibiu diante de uma câmera na alameda Cleveland um exemplar da Folha de S.Paulo daquele dia. Na quinta-feira (29), repetiu acenos diante de equipamentos nas ruas Helvétia e Conselheiro Nébias.
Segundo uma fonte do setor de cibersegurança ouvida pelo veículo, a nova vulnerabilidade estava no código-fonte de um site relacionado à Sentinelx. Arquivos disponíveis na internet expunham endereços de serviços utilizados pela plataforma, permitindo obter cadastros, documentos de parceiros e links de transmissões que podiam ser abertos fora do sistema.
O problema também possibilitava acesso a informações de parceiros cadastrados protegidas pela Lei Geral de Proteção de Dados (LGPD), conforme a reportagem.
Especialistas consultados pelo UOL manifestaram preocupação com as vulnerabilidades. Um deles, que pediu anonimato, classificou a plataforma como um “queijo suíço”.
Entre os problemas identificados está o IDOR, sigla em inglês para “referência direta insegura a objeto”. Esse tipo de falha ocorre quando o sistema permite consultar informações de outro cadastro ou documento sem verificar adequadamente a autorização de quem faz o acesso.
Especialistas apontam riscos na estrutura do sistema
O pesquisador de segurança digital Davi Mikael Cezar, conhecido como Penegui, analisou informações públicas sobre a estrutura do Smart Sampa e questionou a organização dos endereços de acesso sob o mesmo domínio utilizado para divulgar o produto.
“Se isso [o domínio] for comprometido, todas as câmeras, dependendo de como foi formado o sistema, estão comprometidas”, diz. “É em coisas mínimas que um especialista da área de segurança percebe que o sistema foi criado por alguém que não tem experiência no mercado”, completa.
A Sentinelx tem oferecido o modelo adotado em São Paulo a outros municípios. O UOL localizou subdomínios relacionados à empresa com referências a Guarulhos, Campinas, Joinville, Goiânia, Mairiporã e Catanduva.
Segundo documentos técnicos e relatos de especialistas mencionados pela Folha de S.Paulo, falhas permitiam que usuários acessassem câmeras de outras cidades. O UOL informou ter consultado os mesmos registros, incluindo o acesso a um equipamento de leitura de placas em Campo Grande (MS) por meio de um login de São Paulo.
Penegui também encontrou 15 credenciais de acesso ao Smart Sampa em bases de dados vazados, com registros de 2024, 2025 e 2026. Segundo ele, as informações foram capturadas por um programa malicioso conhecido como infostealer. “Ele vai lá e rouba credenciais salvas no navegador”, explica.
O contrato do programa prevê R$ 588 milhões por cinco anos. A licitação foi vencida pelo consórcio Smart City, com proposta de R$ 9,8 milhões mensais, após a desclassificação de duas concorrentes. Uma delas havia apresentado valor de R$ 9,2 milhões.
Criada um mês depois da assinatura do contrato, em 2023, a Sentinelx passou a integrar formalmente o consórcio em dezembro de 2025, substituindo a Camerite. Desde aquele ano, tem entre seus sócios Jorge Marques Moura, também sócio da CLD, outra integrante do grupo.
Prefeitura contesta exposição e empresas se manifestam
Em nota ao UOL, a Prefeitura de São Paulo afirmou:
“A Secretaria Municipal de Segurança Urbana informa que a lista com links mencionada pela reportagem nunca esteve pública ou disponível para acesso na internet. Trata-se de uma planilha de Excel resultado de um trabalho de análise de cibersegurança da plataforma do Smart Sampa, realizado pela PRODAM e iniciado no último dia 20, a pedido do prefeito Ricardo Nunes. Ela foi apresentada nesta semana à SMSU para medidas adicionais de proteção, o que prontamente foi feito.
O Programa Smart Sampa segue operando regularmente, sem evidências de ataques externos. É importante destacar que as mais de 20 mil câmeras próprias do Município não estão na planilha enviada ilegalmente à reportagem.
O envio ao UOL da planilha com links de câmeras de empresas parceiras do Smart Sampa configura um novo ato criminoso de vazamento de dados sigilosos e confidenciais. A gestão municipal reforça que o arquivo foi encaminhado ilegalmente à reportagem e que serão adotadas as providências administrativas e legais cabíveis para a devida investigação e responsabilização dos envolvidos. E reitera: não há sinais de ataque ao sistema.
Além da PRODAM, o Consórcio Smart City SP, responsável pela operação do programa, também contratou uma empresa independente para a realização de análises de segurança. Em relação às câmeras de parceiros privados integradas ao Programa Smart Sampa, a Secretaria informa que essas empresas possuem infraestrutura tecnológica própria, sendo responsáveis pela administração, operação e pelos mecanismos de segurança de seus respectivos ambientes e equipamentos. Dessa forma, a integração não implica a transferência da gestão ou do controle da infraestrutura tecnológica dos parceiros ao Município, permanecendo sob responsabilidade de cada empresa a proteção de seus próprios sistemas e equipamentos.”
A Sentinelx não respondeu ao email enviado pelo UOL. A Monuv declarou que “mantém uma estrutura de segurança da informação que inclui controles de acesso, autenticação e proteção de dados e transmissões, em linha com as boas práticas do setor”.
A empresa acrescentou que o compartilhamento de imagens em programas de segurança pública é realizado por clientes e parceiros homologados.
“As empresas de segurança aderem ao programa por meio de convênio firmado diretamente com a Prefeitura e são responsáveis pela relação com seus clientes. No caso da integração com o Smart Sampa, o acesso às câmeras compartilhadas através da plataforma da Monuv segue as especificações de acesso e segurança definidas pelo próprio Smart Sampa”.
Relacionadas
Deixe um comentário