Segunda brecha em um mês expõe 17 mil câmeras no Smart Sampa
Uma falha deixou 17 mil câmeras de empresas conveniadas ao Smart Sampa acessíveis sem senha por cinco dias, atingindo até residências de autoridades. É a segunda brecha do sistema em menos de um mês.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
O Smart Sampa, sistema de monitoramento por câmeras da Prefeitura de São Paulo, voltou a ser alvo de uma falha de segurança. Uma vulnerabilidade expôs 17 mil câmeras de empresas conveniadas ao programa, que ficaram acessíveis sem exigir senha ou qualquer confirmação de segurança por cinco dias.
Segundo levantamento do Olhar Digital, o problema teve origem em código-fonte exposto em um site ligado à Sentinelx, que revelava endereços de serviços internos. Pesquisadores de segurança identificaram falhas do tipo IDOR (Insecure Direct Object Reference), que permitem acesso não autorizado a recursos simplesmente manipulando identificadores em URLs. O pesquisador Penegui também encontrou 15 credenciais roubadas em bancos de dados vazados entre 2024 e 2026, capturadas por malware.
Foto: reprodução/olhardigital.com.br
Essa é a segunda brecha no sistema em menos de um mês. Em 20 de outubro, uma falha anterior já havia exposto o acesso a mais de 58 mil câmeras ligadas ao Smart Sampa, hospedadas na nuvem da Monuv, outra empresa parceira do programa municipal.
Quem é afetado
Entre as câmeras expostas nesta nova brecha estão equipamentos instalados nas imediações de residências de figuras públicas, como o ministro do STF Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso. Também foram identificadas câmeras em entradas de clubes como a Hebraica e a Sociedade Hípica Paulista, além de equipamentos de empresas privadas, o que levanta questões sobre dados pessoais protegidos pela LGPD.
Foto: reprodução/olhardigital.com.br
A Prefeitura de São Paulo negou que os links estivessem "publicamente disponíveis" e afirmou que o material divulgado seria uma planilha interna de análise de segurança. Em nota, a gestão municipal disse que "a plataforma continua operando normalmente e não há evidências de ataques externos", classificou a divulgação como um vazamento ilegal de dados e afirmou que vai tomar medidas legais contra os responsáveis.
O que fazer agora
Para quem mora ou atua perto de pontos ligados ao Smart Sampa, ou lida com empresas conveniadas ao sistema, vale redobrar a atenção:
- Acompanhe comunicados oficiais da Prefeitura e das empresas parceiras sobre eventuais correções aplicadas ao sistema;
- Empresas conveniadas devem revisar credenciais de acesso às câmeras e trocar senhas expostas ou reaproveitadas de vazamentos anteriores;
- Quem suspeitar que câmeras de seu condomínio, empresa ou comércio estão integradas ao programa pode buscar orientação sobre configuração de acesso remoto e autenticação;
- Fique atento a notícias sobre a apuração da Prefeitura e do Ministério Público, já que a primeira brecha, em outubro, também motivou abertura de investigação;
- Evite reaproveitar senhas entre sistemas corporativos e serviços de monitoramento, já que credenciais vazadas foram apontadas como parte do problema.