Uma falha de segurança expôs por cerca de 11 meses senhas de acesso a mais de 58 mil câmeras do Smart Sampa, sistema de videomonitoramento da Prefeitura de São Paulo usado para localizar foragidos. O vazamento foi revelado pelo UOL nesta terça-feira (20).
O material ficava num repositório público na internet e reunia 181 logins e senhas de usuários autorizados. Também havia dados de mais de 6 mil agentes de segurança, com nomes, CPF e placas de viatura, além de boletins de ocorrência.
As 58 mil câmeras afetadas cobrem ruas de grande movimento, bases da Guarda Civil Metropolitana, creches, escolas, postos de saúde, hospitais e prontos-socorros. Quem acessou o material via imagens em tempo real e conseguia identificar rostos e placas de veículos.
O que diz a prefeitura
A Prefeitura de São Paulo nega falha nos mecanismos de segurança da plataforma. Atribui o vazamento a um agente da própria corporação e diz que ele foi identificado, afastado do cargo e está sendo investigado pela Corregedoria da Guarda Civil Metropolitana.
Em nota, chamou o caso de ato criminoso de um agente isolado.
A prefeitura tinha conhecimento, vinha monitorando
A frase é do prefeito Ricardo Nunes (MDB), ao comentar o caso nesta terça-feira. A gestão diz ter reforçado a proteção do sistema. As mudanças incluem senha exclusiva, autenticação em duas etapas e código por SMS para novos acessos.
O Smart Sampa cruza imagens de câmeras públicas e privadas com registros policiais, usando reconhecimento facial para localizar foragidos e desaparecidos. O protocolo prevê alerta só acima de 90% de paridade e exige conferência humana antes de qualquer abordagem.
Mesmo com a checagem humana, o sistema já errou centenas de vezes. O vazamento agora coloca essa mesma porta de entrada ao alcance de qualquer pessoa que tenha as senhas certas.
Publicidade
A maior parte dos erros veio de mandados já cumpridos ou vencidos que o sistema não tinha atualizado. Não foi, na maioria dos casos, confusão entre rostos parecidos.
Para especialistas, o episódio expõe um risco maior que o vazamento em si. "Você pega uma estrutura que o Estado tem para enfrentar o crime, e que possivelmente pode ser utilizada pelo crime para enfrentar o Estado", disse o pesquisador Rafael Alcadipani, da FGV.
Pedro Saliba, da organização Data Privacy Brasil, chama o caso de "uma falha gravíssima em termos de privacidade e vigilância".
O caso reacende o debate sobre câmeras com reconhecimento facial fora de São Paulo. Belo Horizonte já integra seu sistema de reconhecimento facial à base da Polícia Federal, e outras cidades discutem regras parecidas.
O Smart Sampa também é peça central do plano de câmeras que o candidato Flávio Bolsonaro promete levar ao resto do país se eleito no 2º turno.
Não é o primeiro vazamento de dados públicos sensíveis no país. Em julho, a ANPD abriu apuração sobre o vazamento de dados de 500 mil pacientes de saúde.
Em agosto, a agência multou o TikTok em R$ 153,7 milhões por falhas na proteção de menores.
O que acontece agora
O Ministério Público de São Paulo abriu investigação sobre a falha de segurança do Smart Sampa. Uma Promotoria de Justiça especializada em Patrimônio Público e Social foi designada para apurar o caso, sem prazo definido até esta publicação.
A Resolução CD/ANPD nº 15/2024 dá ao controlador de um sistema como esse até três dias úteis para avisar a ANPD e os titulares dos dados, a partir do momento em que toma conhecimento do incidente.
Como a exposição durou cerca de 11 meses, as informações divulgadas até agora não confirmam se esse prazo foi cumprido.
