Tópicos
- Onde estavam as câmeras expostas?
- Como apenas seis senhas deram acesso a milhares de câmeras?
- O que são infostealers e como eles roubam senhas?
- Ter autenticação em duas etapas impede o acesso?
- O que disseram Monuv e Fullcam?
- O caso tem relação com o vazamento do Smart Sampa?
- Como saber se minha câmera de segurança foi exposta?
- Como proteger câmeras de segurança contra invasões?
- Empresas podem ser responsabilizadas pela exposição de imagens?
- O que o vazamento revela sobre a segurança das câmeras?
- Fontes consultadas
Uma investigação publicada pelo UOL nesta segunda-feira (9) revelou que credenciais de acesso vazadas permitiam visualizar imagens de aproximadamente 5.300 câmeras de segurança espalhadas pelo Brasil. O problema atingiu redes de monitoramento instaladas em residências, estabelecimentos comerciais e serviços de saúde.
O dado mais preocupante é a quantidade de equipamentos acessíveis com poucas informações: segundo a reportagem, apenas seis conjuntos de credenciais foram suficientes para abrir sistemas que reuniam milhares de câmeras.
Os acessos identificados estavam relacionados a plataformas privadas de monitoramento. O caso demonstra como o roubo de uma senha pode comprometer uma rede inteira de vigilância, mesmo sem uma invasão direta aos equipamentos.
Onde estavam as câmeras expostas?
Segundo o levantamento conduzido pelo jornalista Artur Rodrigues, do UOL, as câmeras estavam distribuídas por seis estados e pelo Distrito Federal, abrangendo as cinco regiões brasileiras.
- Sudeste: São Paulo, Minas Gerais e Espírito Santo.
- Sul: Paraná.
- Nordeste: Bahia.
- Centro-Oeste: Distrito Federal.
- Norte: Amapá.
Entre os ambientes identificados estavam uma garagem aparentemente residencial em Taguatinga, no Distrito Federal, uma unidade de pronto atendimento em Curitiba e instalações de empresas em Macapá.
A exposição de imagens desse tipo representa um risco à privacidade e à segurança física. Dependendo do posicionamento da câmera, pessoas não autorizadas podem observar rotinas, horários de circulação e características internas de imóveis.
É importante destacar que a possibilidade de visualizar as transmissões não comprova que todos os equipamentos tenham sido acessados por criminosos ou que as gravações tenham sido divulgadas.
Como apenas seis senhas deram acesso a milhares de câmeras?
O problema está relacionado à forma como redes de videomonitoramento são administradas.
Em vez de exigir um login independente para cada câmera, muitas plataformas permitem que uma conta autorizada gerencie dezenas, centenas ou até milhares de equipamentos.
Se as credenciais dessa conta forem roubadas, terceiros podem conseguir visualizar todas as câmeras associadas às permissões do usuário comprometido.
As informações analisadas pelo UOL pertenciam a usuários de redes hospedadas nas plataformas Fullcam e Monuv.
O que são infostealers e como eles roubam senhas?
Especialistas consultados pela reportagem apontaram os infostealers como uma das principais origens das credenciais comercializadas ilegalmente.
Esses programas maliciosos são desenvolvidos para coletar informações armazenadas em computadores e outros dispositivos. Eles podem roubar senhas salvas no navegador, dados de autenticação e arquivos utilizados para manter contas conectadas.
Uma infecção pode começar com a instalação de programas adulterados, extensões desconhecidas ou downloads que prometem disponibilizar gratuitamente softwares e jogos pagos.
O Overdrive já mostrou como falsos emuladores de PS5 distribuídos pelo GitHub podem esconder malware capaz de roubar informações.
Depois de coletadas, as credenciais podem circular em bases compartilhadas ou comercializadas clandestinamente.
Ter autenticação em duas etapas impede o acesso?
A autenticação em duas etapas é uma das principais proteções contra o uso de senhas roubadas, mas não resolve todos os cenários.
Além dos dados de login, alguns programas maliciosos conseguem capturar cookies e tokens de sessão.
Esses arquivos são utilizados pelos serviços para reconhecer usuários que já fizeram login. Caso um invasor consiga reutilizar uma sessão ainda válida, poderá tentar acessar a conta sem repetir o processo tradicional de autenticação.
Por isso, além de ativar a verificação em duas etapas, é importante que os serviços ofereçam mecanismos para encerrar sessões, revogar acessos antigos e identificar atividades suspeitas.
O mesmo tipo de ameaça aparece em ataques contra contas de jogos. Veja como cookies e tokens roubados podem comprometer uma conta Steam.
O que disseram Monuv e Fullcam?
A Monuv informou ao UOL que oferece autenticação em dois fatores aos seus usuários e que está implementando gradualmente a obrigatoriedade desse recurso.
A empresa declarou que invalidou as senhas das contas identificadas com credenciais expostas e encerrou as respectivas sessões. Também afirmou que esses usuários deverão passar pela autenticação em duas etapas no próximo acesso.
Segundo a Monuv, não foram encontrados indícios de invasão aos seus próprios sistemas. A empresa associou o problema ao roubo de informações em dispositivos de usuários.
A Fullcam também foi procurada pelo UOL, mas não havia respondido até a publicação da investigação, em 9 de novembro.
O caso tem relação com o vazamento do Smart Sampa?
A descoberta ocorre poucas semanas depois de outras investigações sobre problemas de segurança no Smart Sampa, programa de videomonitoramento da Prefeitura de São Paulo.
Em 20 de outubro, o UOL revelou falhas que permitiam acesso a mais de 58 mil câmeras relacionadas ao sistema. Em 3 de novembro, uma nova reportagem identificou links que possibilitavam visualizar transmissões de 17 mil câmeras de parceiros privados sem necessidade de login.
A Monuv também apareceu naquela investigação por hospedar links relacionados a parte dos equipamentos.
Após as revelações, a Prefeitura de São Paulo informou ter adotado medidas como troca de senhas, autenticação multifator obrigatória e mudanças nas regras de acesso.
Os números divulgados nas diferentes investigações não devem ser simplesmente somados, pois se referem a levantamentos e tipos de exposição distintos.
Como saber se minha câmera de segurança foi exposta?
Até a publicação desta matéria, não havia uma ferramenta pública oficial que permitisse consultar individualmente todas as câmeras envolvidas na investigação.
Também não é possível concluir que uma câmera foi comprometida apenas por ela funcionar por conexão Wi-Fi ou armazenar imagens na nuvem.
Quem utiliza serviços de monitoramento deve procurar os canais oficiais do fabricante ou da empresa responsável e verificar eventuais comunicados de segurança.
Não informe senhas em páginas desconhecidas que prometem identificar câmeras vazadas. Esse tipo de serviço pode ser utilizado para coletar novas credenciais.
Como proteger câmeras de segurança contra invasões?
A Comissão Federal de Comércio dos Estados Unidos (FTC) recomenda uma combinação de medidas para proteger câmeras conectadas à internet.
- Troque senhas padrão e reutilizadas. Utilize uma combinação exclusiva para a plataforma de câmeras, diferente das senhas de e-mail e redes sociais.
- Ative a autenticação em duas etapas. Prefira aplicativos autenticadores quando houver essa opção.
- Encerre sessões desconhecidas. Revise dispositivos conectados e revogue acessos que não reconhecer.
- Atualize câmeras e aplicativos. Instale as atualizações de firmware e software fornecidas pelos fabricantes.
- Proteja o roteador. Utilize uma senha forte, mantenha o equipamento atualizado e prefira conexões Wi-Fi protegidas com WPA2 ou WPA3.
- Revise o acesso remoto. Caso não precise visualizar as imagens pela internet, considere desativar essa funcionalidade.
- Verifique o computador e o celular. Se houver suspeita de malware, faça uma análise de segurança e altere as credenciais a partir de um dispositivo confiável.
Em redes empresariais, também é recomendável criar contas individuais para cada operador, limitar permissões e manter registros de acesso.
Se houver indícios de comprometimento, trocar a senha pode não ser suficiente. É necessário investigar possíveis infecções e encerrar sessões existentes para evitar que acessos indevidos continuem ativos.
Empresas podem ser responsabilizadas pela exposição de imagens?
A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece obrigações de segurança para organizações que tratam informações de pessoas identificadas ou identificáveis.
Imagens captadas por câmeras podem constituir dados pessoais quando permitem identificar indivíduos.
Segundo a Autoridade Nacional de Proteção de Dados (ANPD), incidentes confirmados que envolvam dados pessoais e possam causar risco ou dano relevante aos titulares devem ser comunicados à autoridade e às pessoas afetadas, observadas as regras aplicáveis.
A existência de uma vulnerabilidade, isoladamente, não comprova um incidente notificável. A avaliação depende das informações comprometidas, do contexto e dos possíveis impactos.
Quem suspeita de exposição pode solicitar esclarecimentos à organização responsável. Se não houver solução adequada, também é possível recorrer aos canais da ANPD.
O Overdrive explica como verificar comunicações oficiais em casos de vazamento de dados e quais cuidados tomar ao receber alertas de empresas.
O que o vazamento revela sobre a segurança das câmeras?
O principal alerta da investigação é que proteger fisicamente um equipamento não garante a segurança das imagens transmitidas por ele.
Uma câmera pode estar funcionando corretamente, com software atualizado e sem vulnerabilidades conhecidas, mas continuar exposta caso a conta responsável por acessá-la seja comprometida.
Por isso, a segurança depende não apenas do aparelho, mas também da proteção das credenciais, dos computadores utilizados pelos operadores e das plataformas que centralizam as transmissões.
Para empresas e consumidores, a prioridade é revisar quem tem acesso às câmeras, manter os dispositivos protegidos e exigir mecanismos de autenticação e gerenciamento de sessões dos fornecedores.
Fontes: UOL, consumer.ftc.gov e gov.br.
Comentários
Seja o primeiro a comentar