Senhas do sistema Smart Sampa ficaram expostas na internet por 11 meses
Repositório público na internet expôs 181 logins do Smart Sampa, sistema de videomonitoramento de São Paulo, e deu acesso a imagens de mais de 58 mil câmeras por cerca de 11 meses.
Pontos principais
- Repositório público na internet manteve 181 logins e senhas de usuários autorizados por cerca de 11 meses, segundo o UOL.
- O repositório também tinha dados de mais de 6.000 agentes de segurança e instruções para reproduzir o Smart Sampa em computador ou celular.
- A prefeitura diz que o repositório não tinha senhas de acesso e que o vazamento partiu de um servidor entre mais de 7.500 agentes de segurança.
- A Sentinelx foi criada um mês após a assinatura do contrato do consórcio, de R$ 588 milhões por cinco anos, e entrou no grupo por aditivo de dezembro de 2025.
- Após o alerta do UOL, os dados saíram do repositório e o acesso à plataforma passou a exigir verificação em duas etapas.
- A prefeitura admitiu não haver auditorias independentes dos modelos de reconhecimento facial do Smart Sampa.
O sistema de monitoramento Smart Sampa, da prefeitura de São Paulo, no Brasil, teve 181 logins e senhas de usuários autorizados expostos em um repositório público na internet por cerca de 11 meses. Segundo apuração do UOL, essas credenciais davam acesso a imagens de mais de 58 mil câmeras, entre elas as de creches, escolas, hospitais e bases da Guarda Civil Metropolitana. Com elas, o UOL entrou na plataforma e gravou os próprios acenos para oito câmeras de totens privados nos Campos Elíseos, todas conveniadas ao programa.
A prefeitura afirma que houve vazamento ilegal de dados por parte de um servidor, afastado e investigado pela Corregedoria da Guarda Civil Metropolitana, e que não há fragilidade nos mecanismos de segurança da plataforma. Segundo o UOL, os logins também davam acesso direto à plataforma da Sentinelx, empresa do consórcio que opera o sistema, sem verificação em duas etapas. A Sentinelx não se manifestou.
Em resposta ao UOL pela Lei de Acesso à Informação, a Secretaria da Segurança Urbana disse que a prefeitura não tem acesso ao código-fonte nem aos modelos de inteligência artificial do reconhecimento facial, que ficam sob controle da Sentinelx. O pesquisador Pedro Saliba, da Data Privacy Brasil, classifica o caso como “uma falha gravíssima em termos de privacidade e vigilância”.
