Credenciais e código-fonte de sistema de vigilância ficaram 11 meses expostos — e o caso virou investigação da ANPD

Um repositório acessível pela internet manteve por cerca de 11 meses 181 credenciais de acesso, registros de aproximadamente 6 mil agentes de segurança e o código-fonte da plataforma Smart Sampa, o sistema de monitoramento por câmeras da cidade de São Paulo. Com esse material era possível recriar o painel de vigilância e navegar pelas imagens de mais de 58 mil equipamentos — vias públicas, postos de saúde, unidades de pronto atendimento, creches e alas psiquiátricas. O caso foi revelado pelo UOL em 20 de outubro; a prefeitura confirmou o vazamento, afastou um agente da Guarda Civil Metropolitana e afirmou que o repositório exposto foi retirado do ar.

Segundo a apuração, o acesso ao painel não exigia autenticação em duas etapas e se apoiava em combinações de senhas elementares vinculadas aos cadastros dos guardas. Análises técnicas também apontaram canais de dados de placas e rostos sem verificação de origem, o que permitiria inserir registros forjados na base oficial. A prefeitura nega falha de segurança e sustenta que a brecha seria uma "isca" para flagrar invasores, versão contestada por especialistas ouvidos pela imprensa. A ANPD informou que acompanha o incidente e que a prefeitura ainda não a notificou, com prazo de três dias; o Ministério Público de São Paulo avalia abrir investigação.

Fonte: O Globo · CNN Brasil

Por que isso importa

O caso não é sobre uma câmera mal configurada. Ele reúne, num só episódio, quatro falhas que se repetem em qualquer organização que opera sistemas críticos: segredo fora de controle (credenciais e código-fonte em local acessível), autenticação fraca em painel administrativo, ausência de trilha de auditoria do uso dessas credenciais — especialistas apontam que elas provavelmente eram usadas em locais diferentes, sem registro — e detecção inexistente por quase um ano. Nenhuma delas é exótica; todas são comuns em ambientes que cresceram por camadas, com contas de serviço criadas uma vez e nunca revistas.

Para o setor financeiro regulado, há um agravante de governança: o relógio da notificação começa quando a organização toma ciência do incidente, não quando ele vira manchete. Um vazamento silencioso de 11 meses não é só um problema técnico — é exposição regulatória acumulada, com dever de comunicar e de documentar o que aconteceu, quando e com qual escopo.

O que a organização deveria testar e monitorar

• Inventário de credenciais de máquina: contas de serviço, chaves de API e tokens antigos — quem usa, de onde, com qual permissão, e o que ainda está válido.
• Onde estão os segredos: código-fonte, repositórios, buckets e artefatos de build expostos, inclusive de terceiros e fornecedores que operam a plataforma.
• MFA e privilégio mínimo em painéis administrativos, com revisão periódica de quem ainda tem acesso.
• Trilha de auditoria de acesso a dados sensíveis, com retenção suficiente para reconstruir um incidente meses depois.
• Tempo de detecção: se uma credencial sua vazasse hoje, quem descobriria primeiro — você ou o atacante?

Esse é o padrão do setor que vale acompanhar: o incidente raramente começa com um ataque sofisticado. Começa com algo que estava exposto e ninguém estava olhando.