Mot de passe exposé dans un dépôt : leçons de Smart Sampa

Imaginez qu'un membre de l'équipe, avec les meilleures intentions, enregistre une liste d'accès dans un fichier et la publie dans un dépôt qu'il croit privé. Des mois plus tard, on découvre qu'il était public. C'est ce type de situation que la presse a rapporté en octobre 2026 au sujet de Smart Sampa, le système de caméras de la ville de São Paulo (Brésil). Ce cas montre comment un mot de passe exposé dans un dépôt peut ouvrir des portes bien plus grandes que le fichier où il se trouvait.

Ce qui a été rapporté sur le cas Smart Sampa

Selon un reportage d'UOL publié le 20 octobre et repris par TecMundo et d'autres médias, des données du système sont restées accessibles dans un dépôt public pendant environ 11 mois. D'après le reportage, elles comprenaient 181 identifiants et mots de passe d'utilisateurs autorisés ainsi que des informations sur plus de 6 000 agents. L'article indique aussi que certains accès suivaient un schéma prévisible et que la vérification en deux étapes n'a été mise en place qu'après les questions posées.

La Mairie de São Paulo a confirmé l'exposition de données et indique mener une enquête. Elle conteste toutefois la description : elle affirme qu'il n'y a pas eu de faille de sécurité dans la plateforme et attribue l'épisode à la conduite d'un agent disposant d'un accès autorisé. L'enquête étant en cours, mieux vaut considérer ces détails comme les récits de la presse et de la Mairie, et non comme une conclusion définitive.

Pourquoi cela concerne votre entreprise

Pas besoin d'exploiter un système de caméras pour vivre une situation semblable. Les identifiants finissent souvent dans des endroits inattendus : feuilles de calcul partagées, messages de messagerie, scripts, dépôts de code et dossiers de projet. Quand un mot de passe fuite, le risque ne se limite pas au fichier d'origine. Si le compte n'exige pas de seconde confirmation, celui qui a trouvé le mot de passe peut simplement se connecter.

Il y a aussi les prestataires. Le reportage mentionne que les identifiants donnaient également accès à la plateforme d'une entreprise liée au système. Dans beaucoup d'organisations, partenaires et tiers accèdent à l'environnement avec des comptes que personne ne revoit depuis des années.

Comment se protéger d'un mot de passe exposé dans un dépôt

Aucun contrôle ne suffit seul, mais ces précautions réduisent le risque qu'un mot de passe divulgué devienne un accès indu :

1. Exigez le MFA sur tous les comptes, y compris ceux des prestataires et partenaires. Dans Microsoft Entra ID, les paramètres de sécurité par défaut et les stratégies d'accès conditionnel aident à le rendre obligatoire. Voyez la marche à suivre dans comment activer le MFA dans Microsoft 365 sur tous les comptes.

2. Utilisez l'accès conditionnel pour limiter d'où et comment chaque compte peut se connecter, par exemple en bloquant les connexions depuis des appareils non gérés. Les fonctionnalités disponibles dépendent de votre abonnement.

3. Ne stockez pas de mots de passe dans des fichiers, tableurs ou dépôts. Utilisez un coffre-fort de mots de passe ou un gestionnaire de secrets et analysez régulièrement le code et les dossiers pour retrouver les identifiants oubliés.

4. Changez immédiatement les mots de passe exposés et évitez les schémas prévisibles, comme la même structure de mot de passe pour tous les utilisateurs.

5. Révisez les accès à date fixe. Listez qui a accès à quoi, retirez ce qui n'est plus nécessaire et incluez les comptes de tiers dans la revue.

Si des données personnelles sont exposées, la LGPD brésilienne prévoit que l'entreprise évalue l'incident et, en cas de risque important, informe l'ANPD et les personnes concernées.

Source

Reportage de TecMundo (Estadão) du 20 octobre 2026, citant l'enquête d'UOL et la position de la Mairie de São Paulo : Smart Sampa: entenda o que vazou e quem são as empresas que operam o sistema de câmeras de SP (en portugais).

Besoin d'aide ?

WRA IT, partenaire Microsoft, aide les entreprises à configurer le MFA, l'accès conditionnel et la revue des accès dans Microsoft 365. Contactez-nous sur www.wra.com.br.