Vazamento no Smart Sampa expõe mais de 58 mil câmeras de segurança de SP

O sistema de videomonitoramento Smart Sampa, da Prefeitura de São Paulo, sofreu um vazamento de dados que expôs informações sigilosas por aproximadamente 11 meses. O incidente permitiu o acesso indevido a imagens de mais de 58 mil câmeras instaladas em diversas unidades públicas da capital paulista, incluindo ruas, escolas, creches e hospitais.

A exposição das informações ocorreu em um repositório público na internet, onde estavam disponíveis logins e senhas de usuários autorizados, dados de mais de 6 mil agentes de segurança e instruções para reproduzir a interface do sistema. A plataforma, lançada em 2024 como uma das principais apostas da gestão Ricardo Nunes (MDB) para segurança pública, utiliza inteligência artificial para reconhecimento facial e de placas de veículos.

O que foi exposto e como?

Segundo reportagem do portal UOL, o vazamento incluiu imagens em tempo real de câmeras em Unidades Básicas de Saúde (UBS), escolas municipais de educação infantil e fundamental, Centros de Atenção Psicossocial (Caps) e hospitais. Foram listadas 1.157 câmeras em UBS, 427 em escolas infantis, 396 em escolas de ensino fundamental, 118 em Caps, 80 em hospitais e 68 em Unidades de Pronto Atendimento (UPAs).

O repositório continha 181 logins e senhas de usuários autorizados e dados de mais de 6 mil agentes de segurança. Uma brecha de segurança também permitiria inserir dados indevidamente no sistema, pois algumas interfaces não verificavam adequadamente a identidade de quem enviava as informações. Os logins expostos davam acesso direto à plataforma da empresa SentinelX, uma das responsáveis pela manutenção do Smart Sampa, sem autenticação adicional.

A plataforma, que opera com um investimento mensal de cerca de R$ 10 milhões, não possuía autenticação em dois fatores (2FA) no momento da exposição. Especialistas ouvidos pelo UOL classificaram o incidente como uma falha gravíssima em termos de privacidade e segurança nacional, alertando para o risco de uso criminoso das informações sobre a localização de autoridades e equipamentos de defesa.

Posicionamento da Prefeitura e próximos passos

A Prefeitura de São Paulo confirmou o vazamento, mas negou a existência de falhas de segurança na plataforma. A gestão municipal atribui o episódio a um servidor concursado da Guarda Civil Metropolitana, que já foi identificado, afastado e está sob investigação pela Corregedoria da Guarda Civil Metropolitana. Segundo o prefeito Ricardo Nunes, a fragilidade seria uma espécie de "isca" para monitorar acessos irregulares, e a prefeitura já tinha conhecimento da situação.

A administração municipal afirmou que o repositório de dados foi retirado do ar e que reforçou os mecanismos de proteção do Smart Sampa, implementando senhas exclusivas e autenticação em dois fatores, além de códigos enviados por SMS para criação de novas senhas. A prefeitura também garante que não houve uso indevido do sistema e que o programa conta com fiscalização do Tribunal de Contas do Município e relatórios de transparência ao Ministério Público.

O Smart Sampa é operado pelo consórcio Smart City, que inclui empresas como CLD, Flama Serviços, PK9 e SentinelX. A Prefeitura de São Paulo não tem acesso ao código-fonte nem aos modelos de inteligência artificial, que ficam sob controle da SentinelX. A entrada da SentinelX no consórcio ocorreu em dezembro de 2025, substituindo a Camerite.