Smart Sampa teve dados vazados por 11 meses e exposição de 58 mil câmeras
Credenciais e imagens do sistema de videomonitoramento da Prefeitura de São Paulo ficaram acessíveis em um repositório público por cerca de 11 meses. A prefeitura confirmou o vazamento, mas atribuiu o caso a um servidor da GCM, e não a uma falha no sistema.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Dados de acesso ao Smart Sampa, o sistema de videomonitoramento da Prefeitura de São Paulo que conecta mais de 58 mil câmeras públicas e usa reconhecimento facial para localizar pessoas procuradas e veículos roubados, ficaram expostos por cerca de 11 meses em um repositório público na internet. A descoberta foi revelada em investigação do UOL publicada nesta terça-feira (20).
O material encontrado reunia 181 combinações de login e senha, dados cadastrais de mais de 6 mil agentes de segurança e instruções sobre o funcionamento da plataforma. Com essas credenciais, a reportagem conseguiu acessar imagens em tempo real de ruas, escolas, creches, hospitais e bases da Guarda Civil Metropolitana (GCM), a corporação responsável pela fiscalização urbana no município. Também era possível consultar nomes, CPFs, placas de veículos, boletins de ocorrência e acompanhar a movimentação de agentes e viaturas.
A Prefeitura de São Paulo confirmou o vazamento, mas negou falha nos mecanismos de segurança do sistema. Segundo a gestão, as informações foram divulgadas ilegalmente por um servidor da GCM com acesso autorizado ao Smart Sampa, já identificado, afastado e sob investigação da Corregedoria da corporação.
Quem é afetado
O vazamento atinge diretamente os mais de 6 mil agentes de segurança que tiveram dados cadastrais expostos, incluindo informações que permitiam rastrear sua movimentação em serviço. Também afeta indiretamente qualquer cidadão que circule por vias públicas ou frequente equipamentos municipais como escolas e hospitais monitorados pelas câmeras, já que o acesso indevido ao sistema permitia observar essas imagens sem controle. A prefeitura afirma ter reforçado a segurança do Smart Sampa após o episódio, com senhas exclusivas, autenticação em duas etapas e validação por SMS.
O que fazer agora
- Agentes da GCM com cadastro no Smart Sampa devem trocar senhas e verificar se os novos mecanismos de autenticação em duas etapas já estão ativos em suas contas.
- Quem suspeitar de uso indevido de dados pessoais (CPF, placa de veículo) deve registrar boletim de ocorrência e acompanhar o andamento da investigação da Corregedoria da GCM.
- Órgãos de fiscalização e sociedade civil podem acompanhar pedidos de investigação independente sobre o uso de reconhecimento facial no sistema, tema que já gerou questionamentos antes deste episódio.
- Moradores podem solicitar à Prefeitura, via Lei de Acesso à Informação, esclarecimentos sobre auditorias de segurança aplicadas ao Smart Sampa desde a descoberta do vazamento.