Smart Sampa falha de novo e deixa 17 mil câmeras abertas sem senha em São Paulo

Duas semanas depois de um vazamento de senhas expor a maior rede de videomonitoramento do país, o Smart Sampa falhou de novo — e, desta vez, nem senha era preciso. Uma brecha revelada nesta terça-feira (3) deixou cerca de 17 mil câmeras de empresas parceiras da Prefeitura de São Paulo acessíveis por cinco dias: cada link de transmissão abria direto no navegador, fora da plataforma oficial, sem login, sem senha e sem nenhuma confirmação de segurança. As imagens estavam hospedadas na Monuv, empresa que oferece armazenamento em nuvem para câmeras de vigilância, e só saíram do ar na sexta-feira (30), um dia depois de a prefeitura, a operadora da plataforma e a empresa de nuvem serem questionadas sobre o problema.

O episódio é a segunda exposição de larga escala do programa em menos de um mês e reacende o debate sobre até que ponto a cidade está sendo vigiada por um sistema que não consegue vigiar a si mesmo. Entre os pontos alcançados pelas transmissões abertas estavam ruas próximas às residências do ministro do Supremo Tribunal Federal Alexandre de Moraes e dos ex-presidentes Michel Temer e Fernando Henrique Cardoso, além de entradas de clubes paulistanos, como a Hebraica e a Sociedade Hípica Paulista.

Como a nova brecha funcionava

Desta vez, nenhuma senha vazou. O problema estava no código-fonte de um site ligado à Sentinelx, a empresa responsável pela plataforma tecnológica do Smart Sampa. Arquivos disponíveis publicamente na internet traziam os endereços dos serviços que a plataforma usa para buscar dados de empresas e câmeras cadastradas. A partir dessas referências, era possível acessar cadastros, documentos das empresas parceiras e os endereços completos das transmissões — inclusive fora do ambiente fechado do programa.

Especialistas em cibersegurança apontam entre as falhas o chamado IDOR, sigla em inglês para referência direta insegura a objeto: nesse tipo de vulnerabilidade, basta alterar códigos de cadastros ou documentos em endereços de páginas para alcançar informações restritas, porque o sistema não verifica se quem pede tem autorização para ver aquilo. Na prática, a porta não tinha fechadura — tinha apenas um número, e quem mudasse o número entrava na sala seguinte. Os dados das empresas conveniadas alcançados pela brecha são protegidos pela Lei Geral de Proteção de Dados (LGPD).

O que diz a Prefeitura

A Secretaria Municipal de Segurança Urbana nega que a lista de links estivesse disponível publicamente na internet. Segundo a gestão municipal, o arquivo é uma planilha de Excel produzida pela PRODAM, a empresa de tecnologia do município, dentro de uma revisão de segurança aberta em 20 de outubro, a pedido do prefeito Ricardo Nunes — justamente a auditoria iniciada depois da primeira falha. Para a prefeitura, o envio desse material à imprensa configurou vazamento ilegal de dados sigilosos, e uma nova investigação foi aberta para apurar o caso, com medidas administrativas e legais.

A administração afirma ainda que o programa segue funcionando normalmente, que não há evidências de ataques externos aos servidores do Smart Sampa e que as mais de 20 mil câmeras próprias do município não constavam da planilha: todas as 17 mil câmeras alcançadas pertencem a empresas parceiras conveniadas, e a prefeitura sustenta que a segurança desses equipamentos cabe às próprias empresas. A Monuv, por sua vez, afirmou manter controles de acesso, autenticação e proteção de dados e das transmissões, e disse que o acesso às câmeras compartilhadas pelo programa segue as especificações de segurança definidas pelo próprio Smart Sampa. A Sentinelx não se manifestou.

Duas falhas, dois problemas diferentes

Embora o resultado seja parecido — câmeras da cidade ao alcance de quem não devia —, as duas brechas têm naturezas opostas. A de 20 de outubro dependia de senha: 181 combinações de login e senha ficaram expostas em um repositório público por cerca de 11 meses, e em vários casos o registro funcional do guarda servia, ao mesmo tempo, como login e como senha. Com essas credenciais, o acesso alcançava mais de 58 mil câmeras, incluindo equipamentos em escolas, hospitais e unidades de saúde, além de dados cadastrais de mais de 6 mil agentes de segurança. O caso levou o Ministério Público de São Paulo a abrir investigação e o Conselho Nacional de Direitos Humanos a recomendar a suspensão do programa.

Depois daquela revelação, a prefeitura anunciou que o acesso ao sistema passou a exigir reconhecimento facial dos operadores — movimento na mesma direção de outras frentes de identificação biométrica no país, como a biometria obrigatória que a Anatel impôs às linhas de celular. A nova falha, porém, contornava qualquer credencial: não havia o que roubar, porque não havia o que digitar. O tempo de exposição também foi menor — cinco dias de acesso verificado, contra cerca de 11 meses da brecha anterior —, mas o suficiente para demonstrar que o problema não era apenas de senhas fracas, e sim de arquitetura.

Um modelo vendido a outras cidades sob questionamento

O peso do episódio vai além da capital paulista. A Sentinelx usa o próprio Smart Sampa como vitrine para vender seu modelo tecnológico a outros municípios, e endereços ligados à empresa carregam nomes como Guarulhos, Campinas, Joinville, Goiânia, Mairiporã e Catanduva. Análises de especialistas sobre informações públicas do programa também encontraram 15 credenciais de acesso ao Smart Sampa em bases de dados vazadas de 2024, 2025 e 2026, capturadas por programas maliciosos que roubam senhas salvas em navegadores — e há registros de que vulnerabilidades do sistema permitiam alcançar até equipamentos de outros municípios a partir de um acesso de São Paulo. Para um dos especialistas ouvidos, concentrar os endereços de acesso sob o mesmo domínio usado para divulgar o produto é um risco em si: se esse domínio for comprometido, todas as câmeras podem ficar comprometidas junto.

O programa é operado pelo consórcio Smart City SP, em um contrato de R$ 588 milhões por cinco anos, com pagamentos mensais de R$ 9,8 milhões; a Sentinelx entrou no grupo em dezembro de 2025, substituindo formalmente a Camerite. Incidentes de segurança em sistemas digitais têm se repetido em escala cada vez maior — no setor financeiro, a Binance chegou a travar saques e depósitos depois de um ataque que congelou bilhões —, mas, no caso de um sistema público de vigilância, o que está em jogo não é dinheiro: são imagens da vida cotidiana de milhões de pessoas, protegidas pela LGPD e pela Constituição.

Segurança pública versus privacidade: o nó que não desata

O Smart Sampa nasceu com a promessa de usar câmeras e reconhecimento facial para localizar foragidos e veículos roubados e dar resposta rápida a ocorrências. A sequência de falhas, no entanto, inverteu a pergunta que a cidade faz sobre o programa: não é mais só “quem o sistema consegue vigiar?”, mas também “quem consegue vigiar o sistema?”. É o mesmo nó que aparece sempre que o poder público amplia a vigilância em nome da segurança — debate que também cerca projetos inspirados no modelo Bukele que esbarram nos limites da Constituição.

Com uma investigação nova aberta pela prefeitura, o escrutínio do Ministério Público sobre a primeira falha e a pressão de órgãos de direitos humanos, o programa entra nas próximas semanas sob o maior nível de cobrança desde a sua criação. A resposta oficial, por enquanto, combina negar a exposição pública dos links, tratar o caso como vazamento criminoso de um documento interno e garantir que o monitoramento segue no ar. Para os moradores das ruas que apareceram nas transmissões abertas — autoridades ou não —, a questão prática continua sem resposta: durante cinco dias, qualquer pessoa com o endereço certo podia assistir, ao vivo, ao que as câmeras viam. E essa já é a segunda vez em duas semanas que São Paulo descobre isso depois do fato.