A Prefeitura de São Paulo informou à Agência Nacional de Proteção de Dados (ANPD) que identificou 178 usuários do sistema de videomonitoramento Smart Sampa com o mesmo padrão de senha. Em resposta à fiscalização da agência, a administração municipal reconheceu a ocorrência de acesso não autorizado à plataforma e apresentou medidas adotadas para reforçar os mecanismos de segurança.
As informações constam de um ofício encaminhado à ANPD em 29 de outubro, assinado por representantes da Secretaria Municipal de Segurança Urbana e da Controladoria-Geral do Município. O documento foi elaborado em resposta a uma solicitação de esclarecimentos sobre a exposição de dados relacionados ao programa.
De acordo com a Prefeitura, as 178 contas representavam 2,73% dos 6.529 usuários identificados em um repositório externo de arquivos na internet. O documento, entretanto, não detalha qual era o padrão de senha compartilhado. A administração ressalvou que esse número não corresponde à quantidade de contas efetivamente acessadas de forma indevida. Segundo os registros técnicos apresentados pelo Consórcio Smart City SP, responsável pela operação do programa, apenas uma conta foi diretamente relacionada ao episódio investigado.
As falhas de segurança do Smart Sampa vieram a público em 20 de outubro, quando uma reportagem revelou que informações disponíveis na internet permitiam acessar imagens de câmeras do sistema, inclusive em creches e unidades de saúde. Posteriormente, também foram divulgados problemas envolvendo o acesso a imagens de aproximadamente 17 mil câmeras de empresas parceiras do programa.
Em relação a esse segundo episódio, a Prefeitura afirmou que os links estavam armazenados em uma planilha confidencial, negou indícios de ataque externo e informou que investigaria o possível envio do arquivo à imprensa.
No ofício encaminhado à ANPD, a administração municipal relatou a retirada de funcionalidades administrativas que permitiam o cadastramento de senhas fora dos padrões de segurança estabelecidos. Também informou que passou a exigir a troca de senhas e a autenticação multifator para todos os usuários, sem exceções.
As novas credenciais devem conter pelo menos 14 caracteres, incluindo letras maiúsculas e minúsculas, números e símbolos. Outra medida anunciada foi a obrigatoriedade do reconhecimento facial para acesso à plataforma.
A Prefeitura sustentou que o episódio teve origem na divulgação de informações associadas a um guarda municipal que possuía acesso legítimo ao sistema. Segundo o documento, o servidor foi afastado e passou a ser investigado pela Corregedoria da Guarda Civil Metropolitana e pela Polícia Civil.
A administração afirmou ainda que não encontrou indícios de quebra de senhas ou de ataques automatizados em larga escala. De acordo com sua versão, foram utilizadas credenciais válidas em acessos não autorizados, sem identificação de logins e senhas publicados no repositório externo.
A conta diretamente relacionada ao incidente, segundo a Prefeitura, permitia a visualização de câmeras, mas não possuía privilégios administrativos irrestritos nem autorização para alterar as bases oficiais integradas ao programa.
O documento também apresenta a justificativa da administração para não ter encaminhado uma comunicação separada à ANPD sobre o incidente. Conforme a cronologia apresentada, a Prefeitura recebeu, em 16 de outubro, um aviso preliminar sobre a possível publicação de uma reportagem e confirmou a ocorrência em reunião com o operador do sistema no dia 18.
A Secretaria Municipal de Segurança Urbana afirma que preparava uma comunicação para 22 de outubro, mas recebeu, naquela mesma manhã, uma intimação da agência reguladora, com prazo de cinco dias úteis para prestar esclarecimentos. Por esse motivo, decidiu concentrar as informações na resposta enviada em 29 de outubro.
A Prefeitura declarou também que não conseguiu determinar com precisão quando começou a exposição dos dados. Embora existam registros de movimentações desde outubro de 2025, a administração afirma que os documentos disponíveis não permitem estabelecer a data de início da exposição pública.
Apesar das falhas relatadas, a gestão municipal informou que o Smart Sampa continua operando regularmente e sustentou que o incidente está relacionado a um vazamento ilegal de dados, sem sinais de ataque externo ao sistema.
(Com informações da Folha de São Paulo por Bruno Lucca)
Ao entrar você está ciente e de acordo com os termos de uso e privacidade do Whatsapp.
PARTICIPE DO CANAL
Acompanhe o Juristas no Google News
receba as principais notícias jurídicas do Brasil
