Vazamento de dados do Smart Sampa expõe 181 senhas de acesso

Um vazamento de dados do Smart Sampa, sistema de monitoramento por câmeras e reconhecimento facial da Prefeitura de São Paulo, expôs informações de acesso a uma plataforma usada por agentes de segurança. A reportagem do UOL revelou que 181 logins e senhas ficaram acessíveis na internet por 11 meses, permitindo o acesso indevido a imagens de 58 mil câmeras.

As credenciais vazadas davam acesso ao sistema da empresa Sentinelx, uma das responsáveis pela operação do Smart Sampa. O programa da prefeitura utiliza inteligência artificial para analisar características faciais de pessoas e identificar indivíduos em listas de foragidos e desaparecidos. A plataforma da Sentinelx, inclusive, é capaz de buscar pessoas com base em características físicas, mesmo sem o rosto cadastrado em listas oficiais, e emitir alertas para operadores humanos.

Prefeitura culpa servidor e reforça segurança

A Prefeitura de São Paulo afirmou que as informações foram divulgadas ilegalmente por um agente da Guarda Civil Metropolitana (GCM) que possuía acesso ao sistema. O servidor foi afastado do cargo e está sob investigação da Corregedoria da GCM. Segundo o prefeito Ricardo Nunes, o agente, que ingressou na corporação em 2023, mantinha senhas armazenadas. Ele garantiu que não houve utilização indevida do sistema e que acessos irregulares foram monitorados.

Em resposta ao incidente, a prefeitura retirou do ar o repositório de dados que permitia o acesso às imagens e reforçou os mecanismos de segurança, implementando senhas exclusivas e autenticação de dois fatores. A Sentinelx, contatada pelo g1, não respondeu até a publicação da reportagem.

Especialistas alertam para riscos de vigilância e LGPD

Especialistas em segurança e direito digital expressaram preocupação com a exposição dos dados. Pablo Nunes, coordenador do Centro de Estudos de Segurança e Cidadania (CESeC), alertou para o risco de uso das informações para controlar e vigiar cidadãos, considerando a gravidade de um sistema de vigilância tão amplo estar tão acessível.

Fernanda Rodrigues, diretora do Instituto de Referência em Internet e Sociedade (IRIS), avalia que o caso demonstra que o aumento de câmeras não garante mais segurança e pode tornar o cidadão mais vulnerável, com registros atualizados da rotina de milhões de pessoas potencialmente acessados por indivíduos mal-intencionados. Ela criticou a falta de uma cultura de proteção de dados no Brasil, onde incidentes frequentemente ocorrem sem multas ou responsabilização.

O advogado especialista em direito digital Luiz Augusto D'Urso classificou o episódio como uma violação da Lei Geral de Proteção de Dados Pessoais (LGPD). Ele ressaltou que a responsabilidade pela segurança do sistema é da prefeitura e que mecanismos de autenticação robustos deveriam inibir riscos. D'Urso também mencionou que o servidor que permitiu o acesso indevido pode responder por violação do sigilo funcional.