A Prefeitura de São Paulo abriu nesta terça-feira (3) uma nova investigação sobre o Smart Sampa, o programa municipal de monitoramento por câmeras. Desta vez, o problema envolve cerca de 17 mil câmeras de empresas de vigilância privadas que são parceiras do programa, e não os equipamentos da própria Prefeitura. É a segunda apuração aberta sobre o sistema em menos de um mês, segundo o g1.
O caso foi revelado pelo portal UOL. De acordo com a reportagem, links de acesso às transmissões ficaram disponíveis por cinco dias e permitiam ver, ao vivo, imagens de câmeras instaladas em locais privados, como condomínios e residências de autoridades. As câmeras estavam hospedadas no serviço de nuvem da empresa Monuv. O Canaltech relata que a brecha foi atribuída a uma falha no código-fonte da plataforma SentinelX, usada no Smart Sampa, e que os links comprometidos foram removidos depois. A Monuv afirmou que mantém uma estrutura de segurança alinhada às boas práticas do setor.
A gestão Nunes nega ataque ao sistema. Segundo a Prefeitura, a lista com os links é uma planilha produzida numa análise de cibersegurança feita pela Prodam, a empresa de processamento de dados do município, e foi enviada ilegalmente ao UOL; por isso, a administração trata o episódio como um novo vazamento criminoso de dados sigilosos. A Prefeitura diz ainda que as mais de 20 mil câmeras próprias não estavam na planilha e que o programa segue funcionando normalmente. Em outubro, o UOL já havia mostrado senhas que davam acesso a cerca de 58 mil câmeras; naquela ocasião, a Prefeitura atribuiu o caso a um servidor, que foi afastado.
Um ponto da resposta oficial interessa diretamente a quem vende e instala segurança eletrônica: segundo a Secretaria Municipal de Segurança Urbana, a infraestrutura das câmeras das empresas parceiras continua sob responsabilidade delas próprias, e a integração ao Smart Sampa não transfere esse controle ao município, como informou também a Convergência Digital. Ou seja, a proteção de cada câmera ligada ao programa depende de quem a instalou e administra. Ouvida pelo Canaltech, uma especialista da fabricante Genetec apontou falhas básicas no caso, como a falta de autenticação em dois ou mais fatores e a ausência de separação de acessos, e defendeu máscaras de privacidade que borram rostos para operadores sem permissão especial.
Para lojas e instaladores de CFTV, a recomendação prática vale para qualquer cliente, de condomínio a comércio: trocar senhas padrão, ativar a verificação em duas etapas nos aplicativos e serviços de nuvem, dar a cada usuário só o acesso de que ele precisa e não compartilhar links de transmissão por planilhas ou mensagens.
