Essa vulnerabilidade permitiu acesso a câmeras de vigilância hospedadas pela empresa Monuv, que oferece serviço de armazenamento em nuvem a empresas parceiras do Smart Sampa. O UOL afirma que a falha viabilizava o acesso a imagens de 17 mil câmeras.
Como prova, o colunista novamente circulou pelas ruas do centro de São Paulo, acenou para as câmeras e conseguiu coletar as imagens na plataforma.
Na semana passada, a Folha também conseguiu acessar uma câmera de segurança por meio de um link da Monuv —neste caso, imagens em tempo real na rua Dr. Mari Vianna, no bairro Santa Rosa, em Niterói (RJ)— mas não havia comprovado conexão com o Smart Sampa. Não foi necessário nenhum tipo de autenticação com senha para assistir às imagens.
Procurada, a Monuv afirmou que mantém uma estrutura de segurança "em linha com as boas práticas do setor" e que isso inclui "controles de acesso, autenticação e proteção de dados e transmissões".
A empresa disse que os links citados na reportagem "foram expostos a partir do vazamento de credenciais de acesso na plataforma do Smart Sampa, que possui acesso às câmeras compartilhadas".
A Prefeitura de São Paulo afirmou, por meio de nota, que a falha apontada na reportagem do UOL envolve uma "lista com links" de imagens de câmeras de segurança que "nunca esteve pública ou disponível para acesso na internet". Além disso, afirmou que "não há sinais de ataque ao sistema".
Segundo o UOL, foi possível acessar as transmissões das câmeras diretamente por cinco dias. O colunista afirma ter visto imagens ao vivo de ruas onde moram autoridades como o ministro do STF (Supremo Tribunal Federal) Alexandre de Moraes e os ex-presidentes Michel Temer e Fernando Henrique Cardoso.
Os primeiros problemas de segurança no sistema, apontados por reportagem do UOL em 20 de outubro, apontavam possibilidade de acesso indevido a 89 mil câmeras de vigilância.
Havia logins de servidores públicos num repositório público e era possível espelhar a transmissão de câmeras por meio de um prompt em programa de inteligência artificial. Imagens de locais como unidades de saúde, escolas de ensino infantil e outros equipamentos públicos estavam acessíveis.
No último sábado (31), a Folha mostrou que falhas na plataforma permitiam que usuários tivessem acesso a imagens de câmeras de diversos municípios e a dados sigilosos de forma ilimitada, indicam documentos técnicos e relatos de especialistas em cibersegurança .