Vazamento de dados do sistema municipal Smart Sampa expõe câmeras e informações de segurança

A Prefeitura de São Paulo confirmou nesta terça-feira (20) que houve um vazamento de dados do sistema Smart Sampa, ferramenta de monitoramento por câmeras e reconhecimento facial utilizada na capital paulista. Segundo informações divulgadas pela reportagem do UOL, um repositório de dados ficou exposto na internet por cerca de 11 meses, permitindo o acesso indevido a imagens captadas por mais de 58 mil câmeras distribuídas em ruas, escolas, creches, hospitais e outros locais da cidade.

De acordo com a administração municipal, o incidente não estaria ligado a uma falha técnica no sistema, mas a uma ação de um agente de segurança com acesso autorizado ao sistema. A prefeitura afirmou que esse agente foi identificado, afastado imediatamente e que sua conduta está sendo investigada pela Corregedoria da Guarda Civil Metropolitana. Ainda segundo a prefeitura, o vazamento ocorreu por meio de um servidor entre os mais de 7.500 agentes de segurança que têm permissão de acesso ao sistema. Essa pessoa teria divulgado ilegalmente os dados, incluindo credenciais de acesso, informações pessoais de agentes e instruções de reprodução do sistema em diferentes dispositivos.

Apesar de negar falhas na estrutura de segurança, a gestão municipal garantiu que tomou providências para reforçar a proteção do Smart Sampa. Entre as medidas estão o aumento do uso de senhas exclusivas, autenticação em dois fatores e a exigência de códigos enviados por SMS para criar ou alterar senhas. Além disso, o repositório que ficou acessível indevidamente foi removido do ar logo após o alerta sobre a exposição dos dados. Os riscos dessa exposição, segundo especialistas ouvidos pela reportagem, vão além da visualização de imagens; as credenciais também forneciam acesso a informações pessoais e registros de bancos de dados do sistema de segurança.

O especialista em segurança Rafael Alcadipani, da Fundação Getulio Vargas (FGV), destacou o perigo de o acesso às imagens permitir a identificação da movimentação de autoridades e equipamentos utilizados na segurança pública, o que poderia ser explorado por criminosos. Pedro Saliba, da Data Privacy Brasil, também criticou a vulnerabilidade, enfatizando que a exposição de credenciais e dados pessoais coloca a estrutura de segurança da cidade em risco e amplia o potencial de uso indevido por agentes mal-intencionados.

A própria plataforma da Sentinelx, empresa responsável pela tecnologia do sistema, foi acessada sem a necessidade de passar pela autenticação em duas etapas, embora o reforço dessas medidas tenha sido anunciado após o ocorrido. Para especialistas, a existência de interfaces que poderiam permitir a inserção de dados sem verificar adequadamente a identidade do usuário representa uma vulnerabilidade grave. A prefeitura afirmou que o sistema foi devidamente reforçado após o incidente, mas ainda não confirmou oficialmente todos os detalhes do vazamento.