Falha expôs acesso a mais de 58 mil câmeras do Smart Sampa

Dados sigilosos do Smart Sampa, sistema de monitoramento por câmeras e reconhecimento facial da Prefeitura de São Paulo, ficaram expostos na internet por cerca de 11 meses e permitiram acessar imagens de mais de 58 mil câmeras. A informação é de uma investigação do UOL, divulgada em 20 de outubro. A prefeitura confirmou o vazamento, mas nega falha de segurança na plataforma.

O que foi exposto?

O repositório público reunia 181 logins e senhas de usuários autorizados, dados de mais de 6 mil agentes de segurança e instruções para reproduzir o sistema em computadores e celulares. Com esse material, a reportagem conseguiu ver imagens de ruas, creches, hospitais e centros de atendimento a dependentes químicos. Entre as informações acessadas estavam:

• Dados pessoais: consulta a nomes, CPFs e placas de veículos.
• Registros policiais: acesso a boletins de ocorrência.
• Movimentação de agentes: possibilidade de acompanhar viaturas e equipes.

Um teste feito em 7 de outubro mostrou imagens de oito câmeras privadas, nos Campos Elíseos, região central da capital.

A investigação também apontou que o sistema não contava com autenticação em dois fatores, uma camada extra de proteção que exige uma segunda verificação além da senha. O prefeito Ricardo Nunes afirmou que a implementação de medidas de segurança ocorria de forma gradual. Após ser alertada sobre a exposição, a prefeitura retirou os dados do repositório e informou ter reforçado a proteção da plataforma com autenticação em dois fatores, senhas exclusivas e validação por SMS na criação de novas senhas.

O que diz a prefeitura?

Em nota, a Prefeitura de São Paulo afirmou que não há fragilidade nos mecanismos de segurança do programa e que houve um vazamento de dados ilegal por parte de um servidor, entre os mais de 7.500 agentes autorizados. Segundo a gestão, ele foi identificado, afastado e é investigado pela Corregedoria da Guarda Civil Metropolitana.

A administração também disse que o repositório não continha menção a senhas, o que contrasta com o relato da reportagem sobre credenciais de acesso. A Secretaria Municipal de Segurança Urbana informou que reforçou a proteção com senhas exclusivas, autenticação de dois fatores e validação por SMS na criação de novas senhas.

O professor Rafael Alcadipani, da Fundação Getulio Vargas, alertou que o acesso às imagens pode revelar a movimentação de autoridades e de equipamentos de segurança. Para Pedro Saliba, da Data Privacy Brasil, trata-se de uma "falha gravíssima em termos de privacidade e vigilância", que precisa respeitar princípios da Lei Geral de Proteção de Dados (LGPD), como segurança e finalidade.

O Smart Sampa usa reconhecimento facial para localizar pessoas procuradas ou desaparecidas e identificar veículos roubados ou furtados. Para entender como vazamentos desse tipo afetam a sua segurança digital, vale acompanhar as orientações de proteção de dados pessoais.