Credenciais de acesso à plataforma digital do Smart Sampa, maior programa de vigilância com reconhecimento facial do país, estavam disponíveis na internet desde 2024, segundo um especialista em cibersegurança ouvido pela Folha que apresentou indícios das falhas de segurança.
O vazamento indica que havia vulnerabilidades expostas por mais tempo do que se sabia a partir da reportagem do UOL, que mostrou o acesso indevido a mais de 58 mil câmeras do programa por um período de 11 meses.
Ele e outras fontes indicam que os problemas de segurança da plataforma iam além do vazamento de senhas e da possibilidade de acessar imagens de câmeras a partir de dados encontrados em um repositório com dados abertos.
Davi Mikael, pesquisador com 13 anos de experiência na área de segurança de informação, diz que começou a pesquisar as vulnerabilidades do programa após a publicação do UOL e encontrou 15 credenciais de acesso ao Smart Sampa vazadas desde 2024.
Conhecido como Penegui, ele publicou um vídeo em suas redes sociais, na noite desta terça-feira (27), em que relata as fragilidades encontradas e que identifica também indícios de outras vulnerabilidades no sistema.
A Folha recebeu parte dos dados que estavam disponíveis. As credenciais indicam que o vazamento ocorreu ao menos a partir de outubro de 2024. O Smart Sampa foi inaugurado oficialmente em julho daquele ano.
Questionada sobre os índicios de vazamentos desde 2024, a Prefeitura de São Paulo não respondeu. Na semana passada, a gestão afirmou em nota que "não há nenhuma fragilidade nos mecanismos de segurança da plataforma do Programa Smart Sampa" e que "o que houve foi um vazamento ilegal de dados por parte de um servidor da Guarda Civil Metropolitana entre os mais de 7.500 agentes de segurança".
A reportagem procurou a SentinelX, empresa responsável pela plataforma tecnológica do Smart Sampa, por email oficial, telefonemas a sócios e assessores, além de mensagens por aplicativo. Não houve resposta até a publicação deste texto.
Os dados de login e senha de 15 credenciais teriam sido obtidos por meio de um programa malicioso —software do tipo "infostealer", que rouba informações da máquina contaminada— e disponibilizado por um hacker na internet. Anos depois, foi encontrado pelo especialista durante a pesquisa.
Esse tipo de programa infecta computadores e furta informações, como senhas salvas nos navegadores e cookies de sessão, que podem permitir o acesso a contas já autenticadas. Isso pode ocorrer, por exemplo, quando a vítima executa um programa malicioso disfarçado de software legítimo.
Outro problema de segurança identificado são subdomínios associados a outros municípios, além de São Paulo, no site da SentinelX . Esses endereços indicam a existência de ambientes digitais ligados a outras cidades na plataforma.
Segundo o especialista, se as câmeras de diferentes cidades estiverem nos mesmos servidores e não houver isolamento adequado entre os ambientes, uma falha de segurança poderá permitir acessos indevidos. Embora não comprove essa vulnerabilidade, esse é um indicativo de que essa falha pode existir.
Ele também encontrou uma página de login para VPN (Rede Privada Virtual), o que é uma preocupação adicional. A VPN funciona como uma entrada controlada para uma rede: determinados ambientes podem ser acessados apenas por quem está conectado a ela.
O perigo aparece se credenciais da VPN vazarem e um invasor conseguir usá-las, por exemplo, na ausência de uma proteção adicional como a autenticação multifator. Ele poderia entrar na rede e alcançar serviços internos, se não houver restrições internas para o que cada usuário pode acessar.
"Não temos um relatório de segurança do Smart Sampa que mostre que essas vulnerabilidades foram corrigidas", ele disse à Folha. "Encontrar vulnerabilidades é comum, e a falta de testes de segurança frequentes pode fazer com que elas permaneçam desconhecidas por mais tempo."
Isca
Penegui também criticou a resposta do prefeito Ricardo Nunes (MDB) sobre o caso. Durante entrevista coletiva, ele disse que a administração municipal já sabia da falha de segurança que permitia acessos não autorizados às imagens internas do programa.
Afirmou também que a prefeitura monitorava o funcionário supostamente responsável pelo vazamento e aguardava o momento propício para retirar as informações sensíveis do ar. A prefeitura informou que o servidor "foi identificado e afastado. e sua conduta está sendo investigada pela Corregedoria da Guarda Civil Metropolitana".
Os problemas de segurança da plataforma permitiram acesso a imagens de equipamentos de saúde, escolas de ensino infantil e aquelas instaladas por empresas e condomínios particulares e integradas ao programa.
Penegui afirmou que não faria sentido manter a exposição dessas câmeras após a descoberta das falhas e que o procedimento citado por Nunes —uma "isca" para identificar a atividade de um invasor do sistema virtual— ocorre apenas em ambientes simulados, e nunca poderia permitir acesso contínuo a informações sensíveis.
