Uma falha envolvendo o sistema de monitoramento Smart Sampa, da Prefeitura de São Paulo, expôs dados de acesso a mais de 58 mil câmeras de segurança durante aproximadamente 11 meses. A divulgação de credenciais e informações de agentes públicos na internet permitiu que pessoas de fora do sistema acessassem imagens em tempo real de locais como escolas, creches, hospitais, unidades de saúde e ruas da capital.
O caso levantou alertas sobre os riscos à segurança de moradores, servidores públicos e pessoas que circulam pela cidade. Segundo especialistas ouvidos pelo UOL, informações desse tipo podem ser exploradas por criminosos para observar movimentações e rotinas, identificando vulnerabilidades que eventualmente facilitem crimes como sequestros, ataques e outras ações violentas.
Até o momento, porém, não há comprovação pública de que o material exposto tenha sido utilizado para planejar ou executar crimes dessa natureza. O risco apontado está relacionado à possibilidade de acesso indevido às imagens e aos dados, e não à confirmação de que houve esse tipo de utilização.
O que foi exposto no vazamento?
Uma reportagem publicada pelo UOL em 20 de outubro identificou informações sigilosas do Smart Sampa disponíveis em um repositório público na internet. Entre os dados encontrados estavam 181 logins e senhas de usuários autorizados, além de informações referentes a mais de 6 mil agentes de segurança.
Segundo a investigação jornalística, as credenciais permitiram acessar imagens de mais de 58 mil câmeras conectadas ao sistema. O material permaneceu exposto por aproximadamente 11 meses.
A gravidade do episódio está relacionada não apenas à quantidade de equipamentos envolvidos, mas também aos locais monitorados. As imagens incluíam ambientes frequentados por crianças, pacientes, profissionais da segurança pública e moradores.
O acesso não autorizado a esses registros pode comprometer a privacidade e revelar informações sobre a circulação de pessoas. Além disso, a exposição de credenciais de agentes de segurança amplia as preocupações sobre a proteção de dados operacionais.
Como as imagens podem representar um risco à segurança?
O monitoramento por câmeras pode auxiliar investigações e a localização de pessoas desaparecidas. No entanto, quando terceiros conseguem acessar essas imagens sem autorização, a mesma tecnologia pode gerar riscos.
O acompanhamento indevido de imagens pode permitir a observação de deslocamentos, horários de movimentação e padrões de circulação em determinados ambientes. Dependendo do local e das informações disponíveis, esses registros podem ser utilizados para identificar pessoas ou avaliar vulnerabilidades de segurança.
Em situações extremas, o conhecimento indevido dessas informações pode facilitar o planejamento de crimes. Esse é um dos motivos pelos quais especialistas defendem controles rigorosos de acesso, monitoramento de atividades suspeitas e auditorias independentes em sistemas de vigilância.
O vazamento também levanta dúvidas sobre a capacidade de impedir que credenciais expostas sejam utilizadas por pessoas não autorizadas e sobre a rapidez com que incidentes desse tipo podem ser identificados.
Ainda assim, é necessário distinguir o risco potencial de um dano comprovado. Até o momento, não foram divulgadas evidências públicas que relacionem o vazamento a um sequestro, atentado ou outro crime específico.
Prefeitura atribui o caso a um servidor e nega falha na plataforma
A Prefeitura de São Paulo afirmou que o vazamento ocorreu por ação irregular de um servidor da Guarda Civil Metropolitana (GCM), que foi afastado e passou a ser investigado pela Corregedoria da corporação.
A administração municipal sustenta que o episódio não representa uma vulnerabilidade estrutural da plataforma. Também afirmou que não houve uso indevido do sistema.
Segundo as informações divulgadas, o repositório com os dados expostos foi retirado do ar após a reportagem do UOL alertar a Prefeitura sobre o problema. A administração também informou que adotou medidas adicionais de segurança, incluindo autenticação em duas etapas.
O prefeito Ricardo Nunes (MDB) declarou que a gestão já tinha conhecimento da situação e monitorava possíveis acessos irregulares. A sequência dos acontecimentos, entretanto, passou a ser questionada após a publicação da reportagem que demonstrou a possibilidade de acesso às imagens com os dados encontrados na internet.
A Prefeitura afirma que o Smart Sampa permanece sob fiscalização e acompanhamento técnico. Especialistas e organizações de defesa dos direitos digitais, por outro lado, defendem que o caso exige uma apuração mais ampla sobre os mecanismos de controle e proteção das informações.
Ministério Público e organizações pedem investigação
O caso também chegou aos órgãos responsáveis pela fiscalização e proteção de dados pessoais.
O Ministério Público de São Paulo abriu um procedimento inicial, classificado como Notícia de Fato, para apurar indícios de irregularidades relacionadas à exposição das informações. Essa etapa preliminar ainda não equivale à abertura de um inquérito civil formal.
Além disso, 11 organizações da sociedade civil solicitaram à Autoridade Nacional de Proteção de Dados (ANPD) que investigue o incidente. O grupo, liderado pela Coalizão Direitos na Rede, pede esclarecimentos sobre a proteção das informações, a comunicação às pessoas afetadas e a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais.
Em 21 de outubro, a ANPD informou que acompanhava o caso. A agência também destacou que a Lei Geral de Proteção de Dados (LGPD) prevê a comunicação de incidentes de segurança capazes de gerar risco ou dano relevante aos titulares no prazo de três dias úteis, contado do conhecimento do fato pelo controlador.
Na data da manifestação da agência, a Prefeitura ainda não havia realizado a comunicação, segundo informações divulgadas pela CNN Brasil.
Na Câmara Municipal de São Paulo, a vereadora Amanda Paschoal (PSOL) também pediu a criação de uma Comissão Parlamentar de Inquérito (CPI) para investigar o funcionamento do Smart Sampa, as falhas apontadas e os mecanismos de fiscalização. A instalação depende da obtenção do número mínimo de assinaturas exigido.
Falhas de reconhecimento facial também entraram no debate
A exposição dos dados ampliou a discussão sobre a segurança e a transparência do Smart Sampa, que utiliza reconhecimento facial e integração de informações para apoiar ações de segurança pública.
Segundo dados citados pelo UOL, entre novembro de 2024 e maio de 2026, 268 pessoas foram conduzidas a delegacias após alertas do sistema e posteriormente liberadas. Os registros incluíram inconsistências na identificação facial, mandados de prisão desatualizados e problemas cadastrais.
Esses episódios são diferentes do vazamento de credenciais, mas reforçam a importância de mecanismos de verificação, supervisão humana e auditorias capazes de identificar falhas.
O sistema pode auxiliar na localização de pessoas desaparecidas e na identificação de suspeitos. No entanto, o uso de tecnologias de vigilância exige controles que garantam a precisão das informações, a limitação dos acessos e a proteção dos dados pessoais.
O que deve ser esclarecido?
As investigações deverão apurar como as informações foram disponibilizadas, quais acessos ocorreram, se houve utilização indevida das imagens e quais medidas de segurança estavam em vigor durante o período da exposição.
Também será necessário esclarecer quais pessoas tiveram seus dados ou imagens efetivamente comprometidos, quais providências foram adotadas para reduzir os riscos e se os mecanismos de fiscalização eram suficientes para um sistema dessa dimensão.
Enquanto essas respostas não são apresentadas, o caso evidencia os desafios de administrar uma rede de vigilância que acompanha a circulação de milhões de pessoas. A proteção das credenciais, a transparência sobre incidentes e a fiscalização independente são pontos centrais para avaliar a segurança de sistemas públicos que utilizam dados sensíveis.
Fontes: UOL — falha de segurança expôs acesso a mais de 58 mil câmeras; CNN Brasil — ANPD acompanha exposição de dados; Folha de S.Paulo — Ministério Público abre procedimento; Idec — riscos e necessidade de auditoria independente.