Semáforo UOL: Atención
Datos de acceso al sistema de cámaras de São Paulo quedaron expuestos en internet durante meses; el caso sirve a cualquier empresa que maneje accesos de empleados.
Durante cerca de 11 meses, un repositorio público de internet contuvo información interna de Smart Sampa, el sistema de videovigilancia de la alcaldía de São Paulo. Según una investigación del portal brasileño UOL (no confundir con este sitio), entre los archivos había 181 combinaciones de usuario y contraseña, datos de registro de más de 6.000 agentes de seguridad y acceso a parte de las más de 58.000 cámaras del programa, ubicadas en calles, escuelas, guarderías y hospitales.
Qué pasó y qué dice cada parte
El portal brasileño UOL publicó el caso el martes 20 de octubre. Según su relato, con esos datos pudo entrar a la plataforma y ver imágenes en tiempo real. Para el medio, hubo una falla de seguridad.
La alcaldía confirmó la filtración, pero da otra versión. Sostiene que los datos fueron divulgados de forma ilegal por un funcionario con acceso autorizado, que ya fue identificado, apartado de sus tareas y está bajo investigación de la Corregedoria de la Guardia Civil Metropolitana. Afirma además que la plataforma no tiene fallas, que el repositorio retirado de internet no contenía contraseñas y que no hubo uso indebido. También informó que reforzó el acceso con contraseñas exclusivas, doble factor de autenticación y un código por SMS para crear contraseñas nuevas.
El Ministerio Público de São Paulo abrió un procedimiento preliminar, llamado «notícia de fato». Un fiscal decidirá si corresponde iniciar una investigación civil formal.
Por qué importa en Uruguay
Más allá de quién tenga razón en este caso, el mecanismo es conocido y no depende del tamaño de la organización. Un repositorio es el lugar donde se guarda el código y los archivos de configuración de un sistema, en servicios como GitHub o GitLab. Si alguien deja allí usuarios y contraseñas, y el repositorio es público o se comparte de más, cualquiera que lo encuentre puede usarlos. Ya informamos un problema similar con credenciales expuestas por agentes de IA.
El otro punto es la persona con acceso legítimo. Un empleado que cambia de tarea o deja la empresa, un proveedor que terminó un trabajo o una cuenta compartida que nadie controla son puertas que siguen abiertas si nadie las cierra. Y una contraseña sola, sin un segundo control, alcanza para entrar. Sobre ese segundo control, vea también nuestra nota sobre el doble factor de autenticación en el Estado y las pymes.
Un ejemplo hipotético: un técnico externo configura el sistema de cámaras de un comercio, guarda la clave de administración en un archivo compartido y meses después ese archivo sigue accesible para personas que ya no trabajan allí.
Qué hacer hoy:
- Pida a quien administra su código o sus sistemas que revise si algún repositorio, público o privado, contiene usuarios, contraseñas o claves de acceso, y que las cambie si aparecen.
- Guarde las contraseñas en un gestor de contraseñas, no en archivos de texto, planillas ni carpetas compartidas.
- Dé de baja los accesos de quien deja la organización el mismo día de su salida, incluidas cuentas de proveedores.
- Exija doble factor de autenticación en correo, sistemas de gestión y paneles de cámaras o alarmas.
- Revise una vez por mes la lista de usuarios activos de cada sistema y elimine los que nadie reconoce.
Fuentes:
- Terra: MP apura vazamento de dados sigilosos de câmeras do Smart Sampa
- Metrópoles: Ministério Público de SP vai apurar vazamento do Smart Sampa
- Gazeta do Povo: Prefeitura de SP investiga vazamento do Smart Sampa
Por Valentina Suárez
Deje una respuesta