Vazamento do Smart Sampa e a lição do 2FA para pequenas empresas
A prefeitura de São Paulo diz que um servidor vazou dados do Smart Sampa, sistema que não tinha 2FA. O caso serve de alerta para PMEs que guardam dados de clientes e funcionários: veja o que revisar em senhas e acessos.
O vazamento de dados do Smart Sampa, plataforma de videomonitoramento da cidade de São Paulo, chama atenção por um detalhe técnico que vale para qualquer empresa: o sistema não tinha autenticação em dois fatores (2FA). Segundo a Convergência Digital, esse é um recurso básico de segurança da informação. Se a prefeitura de uma capital convive com essa lacuna, uma pequena empresa precisa se perguntar se está melhor.
O que se sabe até agora
De acordo com a Convergência Digital, o prefeito Ricardo Nunes afirmou que os sistemas passam por uma ação contínua de segurança e que, por isso, não tinham 2FA. Ele também disse que não houve "acesso indevido" e que a tecnologia é segura. A prefeitura atribui o vazamento a um servidor concursado da Guarda Civil Metropolitana, que já teria sido afastado. Ainda conforme a reportagem, esse servidor mantinha senhas em uma plataforma, e a prefeitura sabia disso, tratando a fragilidade como uma "isca" para detectar acessos irregulares.
Reportagem do UOL, citada pela fonte, indicou que estavam expostas mais de mil câmeras em Unidades Básicas de Saúde, 427 em escolas municipais de educação infantil e 118 em centros de atenção psicossocial. O Ministério Público de São Paulo investiga o caso. Detalhes técnicos de como o material foi obtido não foram divulgados na fonte, e as versões ainda não foram confirmadas de forma independente.
Por que isso importa para uma PME
O episódio junta dois problemas comuns em empresas pequenas: senhas guardadas em lugar inadequado e acesso protegido por uma única barreira. Quando só a senha separa um estranho dos dados, qualquer vazamento dela, intencional ou não, abre a porta. O 2FA exige uma segunda confirmação, como código por e-mail, biometria ou código gerado por aplicativo, o que reduz bastante o estrago de uma senha exposta.
Há ainda a lição sobre quem tem acesso. O caso envolve uma pessoa de dentro da organização, e não um ataque externo, segundo a prefeitura. Em uma PME, funcionários, ex-funcionários e prestadores muitas vezes mantêm acessos que ninguém revisa.
Comece pelos sistemas que guardam dados de clientes e funcionários, como e-mail, CRM, sistema de gestão, folha de pagamento e painéis de câmeras: ative o 2FA em todos que oferecerem. Prefira aplicativo autenticador a código por mensagem, quando possível.
Em seguida, proíba senhas em planilhas, bloco de notas ou mensagens, e adote um gerenciador de senhas. Revise quem tem acesso a quê, dê a cada pessoa apenas o necessário e retire na hora o acesso de quem saiu da empresa. Ative registros de login, quando a ferramenta permitir, para notar acessos fora do padrão. Como esses dados pessoais podem estar sob a LGPD, vale documentar essas medidas.
Fechamento
Segurança básica raramente chama atenção até falhar. O caso do Smart Sampa mostra que a ausência do 2FA e o descuido com senhas viram notícia quando algo vaza. Para uma PME, ativar a segunda camada e revisar acessos custa pouco perto de um incidente.
Fontes
Continue lendo
Anatel manda bloquear SMS sem cadastro: o que sua empresa faz
A Anatel determinou que operadoras bloqueiem SMS corporativos de remetentes sem cadastro. Empresas que enviam avisos, cobranças ou códigos por SMS precisam checar se estão no novo diretório antes do fim do prazo de 90 dias.
CibersegurançaVazamento no FGC: o que empresas devem revisar na LGPD
O FGC admitiu acesso indevido a nomes, CPFs e e-mails de investidores. O caso serve de roteiro para pequenas empresas revisarem acessos, fornecedores e o preparo para comunicar um incidente à ANPD.