Contraseña expuesta en un repositorio: lecciones de Smart Sampa

Imagine que alguien del equipo, con la mejor intención, guarda una lista de accesos en un archivo y lo publica en un repositorio que cree privado. Meses después se descubre que era público. Algo así fue lo que la prensa informó en octubre de 2026 sobre Smart Sampa, el sistema de cámaras de la ciudad de São Paulo (Brasil). El caso muestra cómo una contraseña expuesta en un repositorio puede abrir puertas mucho mayores que el archivo en que estaba.

Qué se informó sobre el caso Smart Sampa

Según un reportaje de UOL publicado el 20 de octubre y recogido por TecMundo y otros medios, datos del sistema estuvieron accesibles en un repositorio público durante unos 11 meses. Entre ellos, de acuerdo con el reportaje, había 181 inicios de sesión y contraseñas de usuarios autorizados e información de más de 6.000 agentes. La nota también relata que algunos accesos seguían un patrón predecible y que la verificación en dos pasos solo se implementó después de los cuestionamientos.

La Alcaldía de São Paulo confirmó la exposición de datos e informó que investiga el caso. Al mismo tiempo, discute la descripción: afirma que no hubo una falla de seguridad en la plataforma y atribuye el episodio a la conducta de un funcionario con acceso autorizado. Como la investigación sigue en curso, conviene tratar los detalles como relatos de la prensa y de la Alcaldía, no como una conclusión definitiva.

Por qué importa a su empresa

No hace falta operar un sistema de cámaras para pasar por algo parecido. Las credenciales suelen terminar en lugares inesperados: hojas de cálculo compartidas, mensajes de chat, scripts, repositorios de código y carpetas de proyectos. Cuando una contraseña se filtra, el riesgo no se limita al archivo original. Si la cuenta no exige una segunda confirmación, quien la encontró puede simplemente entrar.

Están además los proveedores. El reportaje menciona que las credenciales también daban acceso a la plataforma de una empresa que participa en el sistema. En muchas organizaciones, socios y terceros acceden al entorno con cuentas que nadie revisa desde hace años.

Cómo protegerse de una contraseña expuesta en un repositorio

Ningún control resuelve esto por sí solo, pero estos cuidados reducen el riesgo de que una contraseña filtrada se convierta en un acceso indebido:

1. Exija MFA en todas las cuentas, incluidas las de proveedores y socios. En Microsoft Entra ID, los valores predeterminados de seguridad y las políticas de acceso condicional ayudan a hacerlo obligatorio. Vea el paso a paso en cómo activar el MFA en Microsoft 365 en todas las cuentas.

2. Use acceso condicional para limitar desde dónde y cómo puede entrar cada cuenta, por ejemplo bloqueando inicios de sesión desde dispositivos no administrados. Los recursos disponibles dependen del plan contratado.

3. No guarde contraseñas en archivos, hojas de cálculo ni repositorios. Use un gestor de contraseñas o de secretos y haga análisis periódicos para encontrar credenciales olvidadas en el código y las carpetas.

4. Cambie de inmediato las contraseñas expuestas y evite patrones predecibles, como la misma estructura de contraseña para todos los usuarios.

5. Revise los accesos con fecha marcada. Liste quién tiene acceso a qué, elimine lo que ya no se necesita e incluya las cuentas de terceros en la revisión.

Si se exponen datos personales, la LGPD de Brasil prevé que la empresa evalúe el incidente y, si hay riesgo relevante, comunique a la ANPD y a los titulares afectados.

Fuente

Reportaje de TecMundo (Estadão) del 20 de octubre de 2026, que cita la investigación de UOL y el posicionamiento de la Alcaldía de São Paulo: Smart Sampa: entenda o que vazou e quem são as empresas que operam o sistema de câmeras de SP (en portugués).

¿Necesita ayuda?

WRA IT, socio de Microsoft, ayuda a las empresas a configurar MFA, acceso condicional y revisión de accesos en Microsoft 365. Contáctenos en www.wra.com.br.