Falhas no Smart Sampa permitiam acesso a c�meras de outras cidades, apontam documentos

Falhas de segurança no Smart Sampa, programa de vigilância da Prefeitura de São Paulo, permitiam que usuários tivessem acesso a imagens de câmeras de diversos municípios e a dados sigilosos de forma ilimitada, indicam documentos técnicos e relatos de especialistas em cibersegurança. Eles descrevem problemas generalizados no desenho da plataforma SentinelX —que serve como base para o programa de vigilância—, com várias vulnerabilidades que poderiam ser exploradas por invasores. A Folha conversou com dois especialistas em segurança digital que afirmaram ter comprovado essas vulnerabilidades. Quatro documentos enviados à reportagem também apontam as mesmas falhas, dois deles com imagens do sistema que mostram os problemas relatados. Questionada, a gestão Ricardo Nunes (MDB) não respondeu sobre os novos indícios de falhas, enviados em detalhes por email. A gestão municipal reiterou as informações da mesma nota enviada na semana passada sobre o assunto, afirmando que "não há nenhuma fragilidade nos mecanismos de segurança da plataforma do Programa Smart Sampa" e que "o que houve foi um vazamento ilegal de dados por parte de um servidor da Guarda Civil Metropolitana entre os mais de 7.500 agentes de segurança". Procurada por e-mail oficial, telefonemas a sócios e assessores, além de mensagens por aplicativo na terça (27) e na quarta-feira (28), a SentinelX e o Consórcio Smart City SP não responderam aos pedidos de comentários. Essas imagens apontam, por exemplo, que um usuário com credenciais básicas no sistema —ou seja, que não administra o sistema nem é um gestor com funções estratégicas— acessou uma câmera que faz leituras de placas de automóveis em Campo Grande (MS) a partir de um login em São Paulo. Mostram também que era possível ver as atividades de um funcionário público na plataforma: o que ele havia pesquisado, quais câmeras havia acessado, origem de acesso e horários das atividades. Dois especialistas que conversaram com a reportagem sob condição de anonimato disseram que conseguiram confirmar essas falhas e apresentaram indícios disso. Antes mesmo de colher essas informações, a Folha também recebeu dezenas de vídeos de câmeras de vigilância gravados clandestinamente. Essas gravações incluem imagens internas de dois equipamentos de saúde e também de câmeras particulares, integradas ao sistema por condomínios residenciais. Entre as falhas mais básicas do sistema, relatada em todos os documentos e entrevistas, está uma configuração que permitia que usuários tivessem logins e senhas idênticos entre si. Tanto a senha quanto o login utilizados era o número do registro funcional dos servidores na prefeitura. Esse número de registro está disponível no Diário Oficial do município, facilitando seu uso para invasão do sistema. Não havia autenticação em dois fatores, outra medida trivial de segurança digital. A reportagem conseguiu confirmar que endereços virtuais ligados a 13 cidades estão expostos na internet. Segundo especialistas, o ideal seria que esses domínios estivessem ocultos para dar mais proteção aos ambientes digitais. De acordo com um dos documentos revisados pela reportagem, que descreve em detalhes as vulnerabilidades da SentinelX descobertas a partir de testes, arquivos disponíveis sem restrição nos portais municipais expõem o código usado para criar os sites. Esse código revela endereços de sistemas internos e regras de verificação de acesso. Foi assim, segundo esse relatório, que foram encontradas informações de 181 credenciais de guardas civis que ainda usavam login e senha idênticos —essas informações estavam em um repositório público na internet havia 11 meses, mostrou reportagem do UOL. Há indícios de que os primeiros vazamentos de dados ocorreram antes disso, em outubro de 2024. Os especialistas consultados pela reportagem e os documentos obtidos apontam, no entanto, que os problemas de segurança do Smart Sampa vão muito além do vazamento. O problema mais grave seria a falta de controle de acesso às ferramentas mais poderosas do programa, permitindo que usuários comuns pudessem ver dados sigilosos sem restrição. Usuários com credenciais básicas teriam acesso às notificações de reconhecimento facial em tempo real —aproximadamente 2.000 faces por minuto, com dados biométricos—, de acordo com dois documentos e o relato de um dos entrevistados. Isso também ocorria com sistemas de leitura de placas, o que significa risco de permitir a um invasor rastrear um veículo em tempo real. Documentos mostram, com capturas de tela, que contas comuns também poderiam ter acesso a dados sigilosos como CPF e telefone de agentes da GCM (Guarda Civil Metropolitana), boletins de ocorrência elaborados pela guarda. O sistema também não tinha mecanismo para desconectar usuários que estivessem logados na plataforma há várias horas, segundo esses documentos —no jargão técnico, um mecanismo para renovação de tokens. Isso abre a possibilidade para um invasor manter-se no sistema sem limite de tempo. Um ataque hacker poderia explorar todas essas vulnerabilidades em cerca de 30 minutos, segundo uma estimativa à qual a Folha teve acesso. Os especialistas entrevistados destacaram que a plataforma estava vulnerável à invasão por qualquer um com conhecimentos de cibersegurança e que a forma como a plataforma foi desenhada permitia seu uso para cometimento de crimes --uma vez que era possível rastrear pessoas e monitorar o movimento de agentes públicos.