Falha na segurança do Smart Sampa expõe imagens de 17 mil câmeras

São Paulo - A Prefeitura de São Paulo anunciou nesta terça-feira (3) uma investigação sobre uma falha de segurança que expôs a imagem de 17 mil câmeras integradas ao programa de monitoramento da cidade, o Smart Sampa, nesta terça-feira (3). 

A falha foi identificada após o portal UOL encontrar uma lista de 17 mil links que davam acesso direto aos equipamentos sem a necessidade de senhas. Esses endereços foram expostos no código-fonte de um site da empresa SentinelX, atual operadora do programa Smart Sampa.

Os links eram enviados pela plataforma de videomonitoramento Monuv, empresa que hospeda em nuvem as transmissões de empresas privadas – incluindo creches, hospitais e hotéis –  que cedem imagens à prefeitura.

Segundo a reportagem do UOL, as câmeras ficaram expostas por 5 dias, até 27 de outubro, quando o portal notificou a prefeitura sobre o vazamento. 

O incidente ocorre menos de um mês após outro caso, ainda maior. No dia 20 de outubro a Prefeitura investigou um vazamento que permitiu o acesso a mais de 58 mil câmeras. Na época, o episódio foi atribuído a um agente de segurança, que foi afastado do cargo

Responsabilidades e respostas

Envolvendo sistemas de diversos agentes, a responsabilidade pelo ocorrido não pode ser facilmente atribuída. A sócia de Proteção de Dados e Inteligência Artificial no BBL Advogados, Beatriz Haikal, explica que a atribuição depende da origem da falha, podendo ser da controladora (prefeitura) ou da operadora (empresas); mas todas as etapas possuem obrigações quanto à segurança.

Essa divisão não afasta os deveres de segurança de cada agente, visto que nas operações sujeitas à LGPD, o operador pode responder solidariamente pelos danos. 
Beatriz Haikal

Em nota, a Prefeitura negou qualquer ataque ao sistema e atribuiu a lista de links à uma análise de cibersegurança realizada pela Empresa de Tecnologia da Informação e Comunicação de São Paulo (PRODAM) feita a pedido do prefeito Ricardo Nunes (MDB). 

Ela também classificou o envio da lista para o UOL como “um novo ato criminoso de vazamento de dados sigilosos”. 

Já a Monuv explicou que  “o acesso às câmeras compartilhadas através da plataforma da Monuv segue as especificações de acesso e segurança definidas pelo próprio Smart Sampa”, e atribui a falha a um vazamento de credenciais do programa. 

Procurada pelo VIVA, a empresa Sentinelx – principal responsável pela operação, que recebe R$ 9,8 milhões por mês no contrato com a prefeitura – , não retornou o contato até a publicação desta reportagem. 

Leia a nota completa da Monuv:

“A Monuv mantém uma estrutura de segurança da informação que inclui controles de acesso, autenticação e proteção de dados e transmissões, em linha com as boas práticas do setor.

Na colaboração com programas de segurança pública, o compartilhamento de imagens é feito por clientes e parceiros devidamente homologados nesses programas. As empresas de segurança aderem ao programa por meio de convênio firmado diretamente com a Prefeitura e são responsáveis pela relação com seus clientes. No caso da integração com o Smart Sampa, o acesso às câmeras compartilhadas através da plataforma da Monuv segue as especificações de acesso e segurança definidas pelo próprio Smart Sampa.

Os endereços de transmissão citados foram expostos a partir do vazamento de credenciais de acesso na plataforma do Smart Sampa, que possui acesso às câmeras compartilhadas com o programa.

Com 10 anos de atuação no mercado, a Monuv é uma empresa dedicada à gestão em nuvem de câmeras, e tem como clientes empresas de segurança e monitoramento em todo o País. Desde a sua fundação, a Monuv tem a segurança como valor e segue comprometida com a proteção das imagens e dos dados de seus clientes.”

Leia a nota completa da Prefeitura de São Paulo:

"A Secretaria Municipal de Segurança Urbana informa que a lista com links mencionada pela reportagem nunca esteve pública ou disponível para acesso na internet. Trata-se de uma planilha de Excel resultado de um trabalho de análise de cibersegurança da plataforma do Smart Sampa, realizado pela PRODAM e iniciado no último dia 20, a pedido do prefeito Ricardo Nunes. Ela foi apresentada nesta semana à SMSU para medidas adicionais de proteção, o que prontamente foi feito.

O Programa Smart Sampa segue operando regularmente, sem evidências de ataques externos. É importante destacar que as mais de 20 mil câmeras próprias do Município não estão na planilha enviada ilegalmente à reportagem.

O envio ao UOL da planilha com links de câmeras de empresas parceiras do Smart Sampa configura um novo ato criminoso de vazamento de dados sigilosos e confidenciais. A gestão municipal reforça que o arquivo foi encaminhado ilegalmente à reportagem e que serão adotadas as providências administrativas e legais cabíveis para a devida investigação e responsabilização dos envolvidos. E reitera: não há sinais de ataque ao sistema.

Além da PRODAM, o Consórcio Smart City SP, responsável pela operação do programa, também contratou uma empresa independente para a realização de análises de segurança.

Em relação às câmeras de parceiros privados integradas ao Programa Smart Sampa, a Secretaria informa que essas empresas possuem infraestrutura tecnológica própria, sendo responsáveis pela administração, operação e pelos mecanismos de segurança de seus respectivos ambientes e equipamentos. Dessa forma, a integração não implica a transferência da gestão ou do controle da infraestrutura tecnológica dos parceiros ao Município, permanecendo sob responsabilidade de cada empresa a proteção de seus próprios sistemas e equipamentos."

Medidas futuras

Após o vazamento do dia 20, organizações do setor digital se juntaram para solicitar à Agência Nacional de Proteção de Dados (ANPD) uma apuração do Smart Sampa através de um Relatório de Impacto à Proteção de Dados Pessoais. 

Na época, a Prefeitura se recusou a emitir o relatório, alegando que a segurança pública se enquadra numa exceção da Lei Geral de Proteção de Dados (LGPD). 

Na análise do sócio do Campos Thomaz Advogados, Alan Campos Thomaz, essa exceção não funciona como salvo-conduto, sendo a privacidade e proteção de dados pessoais direitos fundamentais. 

O especialista acrescenta que o programa reúne câmeras privadas e imagens de creches, escolas e unidades de saúde, usos que vão além da segurança pública. 

Dois incidentes em menos de um mês, alcançando imagens de crianças, reforçam a necessidade de prestação de contas sobre riscos e controles"
Alan Campos Thomaz

Além do relatório. a ANPD também pode tomar outras medidas efetivas dependendo da gravidade comprovada do vazamento, como: 

• Multa de até 2% do faturamento para as empresas
• Advertência 
• Eliminação de dados sensíveis
• Suspensão dos serviços

* Estagiário sob supervisão de Claudio Marques