Uma nova falha de segurança na plataforma Smart Sampa permitiu o acesso indevido a imagens de pelo menos 17 mil câmeras de empresas parceiras da Prefeitura de São Paulo. O acesso foi possível durante cinco dias sem a necessidade de senha, através de um site relacionado à empresa Sentinelx, responsável pela infraestrutura do programa.
Este incidente ocorreu pouco mais de dez dias após outra vulnerabilidade, que permitiu acesso a mais de 58 mil câmeras do sistema. De acordo com uma reportagem, a nova falha impactou equipamentos hospedados na nuvem da empresa Monuv, também uma fornecedora do sistema municipal. Imagens ao vivo de diversas ruas, incluindo endereços de autoridades, foram acessadas durante o período de análise.
O método utilizado para contornar as proteções do sistema envolveu um código-fonte aberto vinculado à Sentinelx, que concedia facilmente os endereços dos servidores. Essa vulnerabilidade contradiz as diretrizes da Lei Geral de Proteção de Dados (LGPD), permitindo acesso a cadastros e transmissões privadas.
Reporteres demonstraram o acesso em tempo real em locais públicos, revelando preocupações sobre a segurança do sistema. Os acessos irregulares foram suspensos somente em 30 de outubro, após questionamentos sobre a confiabilidade da plataforma.
Uma apuração sobre o caso anterior revelou que um agente de segurança, que tinha acesso autorizado, vazou dados sensíveis, incluindo credenciais de outros agentes e do próprio sistema. Essa situação expôs 181 credenciais e informações de segurança que poderiam comprometer a integridade do monitoramento em São Paulo.
Embora a Prefeitura tenha reconhecido o primeiro vazamento, negou que uma falha de segurança tenha contribuído para os acessos indevidos. Especialistas apontam que a falta de medidas básicas de segurança, como autenticação em duas etapas, e a arquitetura do software da Sentinelx mostraram-se inadequadas.
O controle não autorizado sobre a vasta rede de vigilância gerou preocupações não apenas quanto à privacidade, mas também à segurança pública, afetando diversos estabelecimentos, como postos de saúde e colégios infantis. O Ministério Público de São Paulo já iniciou uma apuração sobre os fatos, embora ainda não tenha formalizado investigações quanto a esta nova vulnerabilidade.
Entidades de direitos humanos e digitais pediram à Agência Nacional de Proteção de Dados (ANPD) a abertura de processos de fiscalização, buscando responsabilizar a Prefeitura e a Sentinelx pelas falhas de segurança.
