Smart Sampa teve senhas expostas desde 2024, aponta especialista em segurança digital

Na noite de terça-feira (27), o pesquisador Davi Mikael, conhecido como Penegui, publicou nas redes sociais um vídeo com uma conclusão incômoda para a Prefeitura de São Paulo: as senhas de acesso à plataforma do Smart Sampa, o maior programa de vigilância com reconhecimento facial do país, estavam na internet havia muito mais tempo do que se sabia. Segundo ele, desde 2024.

Mikael, que tem 13 anos de experiência em segurança da informação, começou a investigar o sistema depois de uma reportagem do UOL. Aquela reportagem mostrou o acesso indevido a mais de 58 mil câmeras do programa durante 11 meses. Na própria pesquisa, ele diz ter encontrado 15 credenciais de acesso ao Smart Sampa vazadas. A Folha recebeu parte dos dados disponíveis, e as credenciais indicam que o vazamento ocorreu ao menos desde outubro de 2024. O programa havia sido inaugurado oficialmente em julho daquele ano.

Segundo o relato, os logins e as senhas teriam sido obtidos por um programa malicioso do tipo infostealer, que rouba informações da máquina contaminada, como senhas salvas em navegadores e cookies de sessão, capazes de permitir acesso a contas já autenticadas. A contaminação pode ocorrer, por exemplo, quando a vítima executa um programa malicioso disfarçado de software legítimo. Os dados foram disponibilizados por um hacker na internet e só anos depois encontrados pelo especialista.

O pesquisador e outras fontes ouvidas pela reportagem afirmam que os problemas vão além do vazamento de senhas e da possibilidade de acessar imagens a partir de dados num repositório aberto. Mikael identificou, no site da SentinelX, empresa responsável pela plataforma tecnológica, subdomínios associados a outros municípios além de São Paulo. Isso indica a existência de ambientes digitais ligados a outras cidades. Se as câmeras de cidades diferentes estiverem nos mesmos servidores, sem isolamento adequado, uma falha poderia permitir acessos indevidos. Ele ressalva que isso não comprova a vulnerabilidade, apenas indica que ela pode existir.

Ele encontrou ainda uma página de login para VPN, espécie de entrada controlada para uma rede. O risco surge se credenciais da VPN vazarem e um invasor as usar sem proteção adicional, como a autenticação multifator: ele poderia entrar na rede e alcançar serviços internos, caso não haja restrições ao que cada usuário acessa. "Não temos um relatório de segurança do Smart Sampa que mostre que essas vulnerabilidades foram corrigidas", disse à Folha. Segundo ele, encontrar vulnerabilidades é comum, e a falta de testes frequentes pode fazer com que permaneçam desconhecidas por mais tempo.

As falhas já conhecidas expuseram imagens de equipamentos de saúde, escolas de ensino infantil e câmeras instaladas por empresas e condomínios particulares e integradas ao programa.

A prefeitura não respondeu sobre os indícios de vazamento desde 2024. Na semana passada, afirmou em nota que não há fragilidade nos mecanismos de segurança da plataforma e que houve um vazamento ilegal de dados por parte de um servidor da Guarda Civil Metropolitana, entre mais de 7.500 agentes. Disse que o servidor foi identificado, afastado e é investigado pela Corregedoria da GCM. A SentinelX foi procurada por email, telefonemas a sócios e assessores e mensagens por aplicativo, sem resposta até a publicação.

Mikael também criticou o prefeito Ricardo Nunes (MDB). Em entrevista coletiva, Nunes disse que a administração já sabia da falha e monitorava o funcionário, aguardando o momento propício para tirar do ar as informações sensíveis. Para o pesquisador, manter câmeras expostas após descobrir as falhas não faria sentido, e a "isca" citada pelo prefeito, usada para identificar a atividade de um invasor, só ocorre em ambientes simulados e nunca poderia permitir acesso contínuo a dados sensíveis.

O ponto a acompanhar é se a prefeitura ou a SentinelX responderão sobre os indícios e apresentarão algum relatório de segurança que mostre as correções.