Daily Journal
Daily Journal

Falha no sistema Smart Sampa expõe 58 mil câmeras em São Paulo

Dados sigilosos do sistema de monitoramento da Prefeitura de São Paulo ficaram expostos na internet por 11 meses, permitindo acesso indevido a milhares de câmeras.

Daily Journal
Foto: Canaltech
||
20/10 às 11:01, atualizado 16:03

Pontos principais

  • O sistema Smart Sampa teve 181 logins e senhas expostos em um repositório público na internet por cerca de 11 meses.
  • A exposição permitiu o acesso indevido a mais de 58 mil câmeras de monitoramento em locais como escolas, hospitais e unidades de saúde.
  • Dados de mais de 6.000 agentes de segurança também ficaram acessíveis durante o período de falha.
  • A Prefeitura de São Paulo negou fragilidades no sistema e atribuiu o vazamento a um servidor da Guarda Civil Metropolitana, que foi afastado.
  • O Ministério Público de São Paulo abriu uma investigação para apurar o caso e as condições de governança de dados do programa.
  • Após a denúncia, a gestão municipal implementou autenticação em dois fatores e senhas exclusivas para reforçar a segurança da plataforma.

Uma falha de segurança no sistema de monitoramento Smart Sampa, da Prefeitura de São Paulo, permitiu o acesso indevido a mais de 58 mil câmeras de segurança por um período de aproximadamente 11 meses. O incidente ocorreu devido à exposição de um repositório público na internet que continha 181 logins e senhas de usuários autorizados, além de informações detalhadas de mais de 6.000 agentes de segurança. Com essas credenciais, era possível acessar imagens em tempo real de diversos pontos da capital paulista, incluindo unidades básicas de saúde, creches e escolas municipais.

A Prefeitura de São Paulo, por meio de nota, negou a existência de fragilidades estruturais nos mecanismos de segurança da plataforma. A gestão municipal afirmou que o vazamento foi causado pelo compartilhamento ilegal de dados por um servidor da Guarda Civil Metropolitana, que já foi identificado e afastado de suas funções para responder a um processo na Corregedoria. Em resposta ao episódio, a prefeitura informou que retirou o repositório do ar e reforçou a segurança do sistema com a implementação de senhas exclusivas e autenticação em dois fatores.

O caso agora é alvo de investigação pelo Ministério Público de São Paulo, que busca esclarecer as falhas na governança de dados do programa. O Smart Sampa, operado pelo Consórcio Smart City SP, utiliza inteligência artificial para o reconhecimento facial e de placas, sendo um dos pilares da estratégia de segurança pública da capital. O prefeito Ricardo Nunes declarou que a segurança do sistema é aprimorada gradativamente e que novas atualizações estão previstas para os próximos meses.

Fontes primárias

UOL (apuração exclusiva)

Falha de segurança permite acesso indevido a 58 mil câmeras do Smart Sampa

Dados sigilosos do Smart Sampa ficaram por cerca de 11 meses em um repositório público na internet: 181 logins e senhas de usuários autorizados, dados de mais de 6.000 agentes de segurança e instruções para reproduzir a interface do sistema. Com essas credenciais, a reportagem acessou a plataforma e afirma que o acesso indevido alcançou mais de 58 mil câmeras, incluindo creches, escolas, UBS, hospitais e bases da Guarda Civil. Em teste presencial de 7/10, gravou os próprios acenos em oito câmeras de totens privados conveniados no centro. Os logins também davam entrada na plataforma da Sentinelx, mantenedora do sistema, sem verificação em duas etapas, implementada pela prefeitura após questionamento. O repositório foi retirado do ar após contato do UOL.

Prefeitura de São Paulo (nota à imprensa, íntegra via UOL)

Nota da Prefeitura de São Paulo sobre o caso Smart Sampa (íntegra, reproduzida pelo UOL)

A prefeitura afirma que não há fragilidade nos mecanismos de segurança da plataforma do Smart Sampa. Diz que houve vazamento ilegal de dados por um servidor entre mais de 7.500 agentes de segurança, já identificado, afastado e investigado pela Corregedoria da Guarda Civil Metropolitana, e classifica o caso como ato criminoso. Afirma que não houve uso indevido da plataforma, que o repositório foi retirado do ar e que a pasta reforçou a segurança com senhas exclusivas e autenticação em dois fatores, além de validação por SMS. Diz ser fiscalizada pelo Tribunal de Contas do Município e por consultoria em governança e privacidade, e acusa a reportagem de classificar como falha um acesso a partir de vazamento ilegal.

Tópicos relacionados

Cobertura da mídia

Comentários