Pacific News #319: O Grande Irmão

Assunto do momento: SmartSampa: O maior sistema de vigilância da América Latina ficou exposto por quase 1 ano 

O que aconteceu? Uma falha no Smart Sampa, o maior sistema de vigilância pública da América Latina, permitiu por quase um ano o acesso indevido a mais de 58 mil câmeras ligadas à plataforma da Prefeitura de São Paulo. A revelação é da coluna do Artur Rodrigues, no UOL, que para provar colocou o próprio repórter diante das câmeras e o viu acessar o sistema ao vivo. O acesso não parava na imagem: dava pra pesquisar nomes, CPFs, placas e até abrir boletins de ocorrência. 

Por que isso importa? As credenciais de acesso a um sistema que deveria ser considerado crítico seguiam um padrão previsível, montado a partir dos próprios dados de cadastro dos agentes. Além disso, a plataforma não exigia verificação em duas etapas. Some a isso a exposição de dados pessoais sensíveis e você tem três problemas empilhados de uma vez: técnico, de privacidade e de segurança pública. 

O impacto: Entre as 58 mil câmeras expostas estavam 1.157 em UBSs, 427 em creches e educação infantil, 396 em escolas de ensino fundamental, 118 em CAPS, 80 em hospitais e 68 em UPAs. Ou seja, vigilância estatal ao vivo sobre crianças, pacientes e população em situação de vulnerabilidade, nas mãos de quem achasse o acesso. 

O X da questão: Nas mãos do crime organizado, o SmartSampa podia virar uma ferramenta de monitoramento de alvos, rastreio de viaturas e equipes e checagem de quem está ou não fichado. O professor da FGV Rafael Alcadipani chegou a classificar o caso como “questão de segurança nacional”, lembrando que saber onde estão autoridades e equipamentos de defesa da cidade é gravíssimo, e citou o precedente de Israel ter usado câmeras em Teerã para mapear a rotina da segurança de Khamenei. 

O estanque: A reação só veio depois de a falha persistir por cerca de 11 meses, e por provocação da imprensa. Após o UOL questionar a Prefeitura, o sistema passou a adotar a verificação em duas etapas. A Prefeitura também afastou um servidor, que agora é investigado pela Corregedoria da GCM. A Sentinelx, empresa que opera a plataforma, foi procurada e não se manifestou. 

Sim, mas: Como o acesso ficou aberto por quase um ano, somente adicionar MFA não é suficiente. Rotacionar todas as credenciais comprometidas e auditar os logs de todo o período para saber se alguém explorou a brecha também é fundamental. Em matéria legal, também falta a notificação à ANPD, obrigação prevista na LGPD. Como resume Pedro Saliba, da Data Privacy Brasil, concentrar dados em sistemas de vigilância sem controles bem estabelecidos amplia o risco de abuso a direitos fundamentais, e mesmo a segurança pública está sujeita à LGPD. Enquanto isso não vier, milhões de pessoas seguem sem saber se suas imagens e dados foram parar na mão errada. 

Saiba mais: A Prefeitura se defende dizendo que as câmeras ficam em áreas de circulação comum, sem abranger consultórios ou salas de atendimento, e que o reconhecimento facial só compara imagens com bases oficiais de procurados, foragidos e desaparecidos. Vale ressaltar que o sistema não é isento de erro mesmo funcionando, já que relatórios do próprio Smart Sampa apontam 268 conduções à delegacia seguidas de liberação e 75 inconsistências no reconhecimento facial, e já houve condenação da Prefeitura e do estado a indenizar um entregador abordado por engano.

Páginas de ajuda do WhatsApp Web expuseram, sem querer, as instruções internas que a Meta dá ao seu chatbot

O que aconteceu? Dezenas de páginas feitas para responder dúvidas de usuários sobre o aplicativo de mensagens criptografadas deixaram visíveis as orientações da empresa à IA. Entre elas havia seções intituladas “WHAT NOT TO SAY” (“o que não dizer”) a quem fizesse perguntas, além de ordens explícitas para que o assistente não oferecesse aconselhamento jurídico.

Por que isso importa? Trata-se, na prática, de um vazamento de system prompt. Ele revela como a Meta restringe e direciona as respostas do seu chatbot, informação que normalmente fica oculta do usuário. Esse tipo de exposição costuma facilitar a engenharia reversa do comportamento do modelo e tentativas de contornar suas restrições.

O que ainda não se sabe: Não se sabe exatamente quantas páginas foram afetadas, por quanto tempo o conteúdo ficou exposto, que outras instruções vazaram nem se a Meta já corrigiu o problema.

Papo Rápido

@Ataques

Criminosos estão usando a plataforma de IA de código aberto Cairn para automatizar ataques contra centenas de sites no mundo. A operação envolve invasões a plataformas de comércio eletrônico e sistemas de pagamento, com o objetivo de manter acesso aos sistemas e roubar dados financeiros, cartões de crédito e criptomoedas. (SecurityWeek)

@Atualizações

O Fortinet FortiSIEM corrigiu uma falha crítica (CVE-2026-106173)  que pode ser explorada sem autenticação para sobrescrever arquivos arbitrários e permitir a execução remota de código. A vulnerabilidade afeta a versão 7.5.0 e foi corrigida na versão 7.5.1 ou superior; a versão 7.6 não é afetada. (TheHackerNews)

O plugin Rank Math PRO para WordPress teve a versão 3.0.123 comprometida por malware distribuído pelo site oficial entre 15 e 16 de outubro de 2026. A versão corrigida é a 3.0.124, e sites que ativaram a versão maliciosa devem passar por limpeza completa, análise de segurança e troca de senhas e chaves de acesso. A versão gratuita do plugin não foi afetada. (BleepingComputer)

@Mundo

Um grupo criminoso chinês invadiu sistemas internos da Staples para emitir mais de 15 mil cartões-presente, avaliados em mais de US$5 milhões. Segundo documentos judiciais, o grupo explorou falhas no sistema para sequestrar sessões de funcionários e gerar os cartões, que foram usados para comprar eletrônicos em lojas como Target, Sephora e Lowe’s, com parte dos produtos enviada à China. (404Media)

Uma falha no Google Cloud em Londres afetou serviços da fintech Revolut, incluindo pagamentos com cartão e saques em caixas eletrônicos. A instabilidade também coincidiu com problemas no aplicativo ING Alemanha, embora não haja confirmação de relação entre os incidentes. A Revolut afirmou que o dinheiro e os dados dos clientes estão seguros. (SecurityAffairs)

Quer saber mais? Siga-nos nas redes sociais: Linkedin, Instagram.
Segurança nunca é demais, ainda mais nos dias de hoje.
Compartilhe o conhecimento, espalhe a segurança!

Siga nossa Newsletter e se mantenha atualizado sobre as últimas tendências em Cybersec!

Escrito por: Thaís Hudari Abib, Murilo Lopes e Cíntia Baltar
Arte: George Lopes e Anselmo Costa