Smart Sampa teve senhas expostas desde 2024, diz especialista em segurança digital

Você tem 7 acessos por dia para dar de presente. Qualquer pessoa que não é assinante poderá ler.

Credenciais de acesso à plataforma digital do Smart Sampa , maior programa de vigilância com reconhecimento facial do país, estavam disponíveis na internet desde 2024, segundo um especialista em cibersegurança ouvido pela Folha que apresentou indícios das falhas de segurança.

O vazamento indica que havia vulnerabilidades expostas por mais tempo do que se sabia a partir da reportagem do UOL , que mostrou o acesso indevido a mais de 58 mil câmeras do programa por um período de 11 meses.

Ele e outras fontes indicam que os problemas de segurança da plataforma iam além do vazamento de senhas e da possibilidade de acessar imagens de câmeras a partir de dados encontrados em um repositório com dados abertos.

Davi Mikael, pesquisador com 13 anos de experiência na área de segurança de informação, diz que começou a pesquisar as vulnerabilidades do programa após a publicação do UOL e encontrou 15 credenciais de acesso ao Smart Sampa vazadas desde 2024.

Conhecido como Penegui, ele publicou um vídeo em suas redes sociais , na noite desta terça-feira (27), em que relata as fragilidades encontradas e que identifica também indícios de outras vulnerabilidades no sistema.

A Folha recebeu parte dos dados que estavam disponíveis. As credenciais indicam que o vazamento ocorreu ao menos a partir de outubro de 2024. O Smart Sampa foi inaugurado oficialmente em julho daquele ano.

Questionada sobre os índicios de vazamentos desde 2024, a Prefeitura de São Paulo não respondeu. Na semana passada, a gestão afirmou em nota que "não há nenhuma fragilidade nos mecanismos de segurança da plataforma do Programa Smart Sampa" e que "o que houve foi um vazamento ilegal de dados por parte de um servidor da Guarda Civil Metropolitana entre os mais de 7.500 agentes de segurança".

A reportagem procurou a SentinelX, empresa responsável pela plataforma tecnológica do Smart Sampa, por email oficial, telefonemas a sócios e assessores, além de mensagens por aplicativo. Não houve resposta até a publicação deste texto.

Os dados de login e senha de 15 credenciais teriam sido obtidos por meio de um programa malicioso —software do tipo "infostealer", que rouba informações da máquina contaminada— e disponibilizado por um hacker na internet. Anos depois, foi encontrado pelo especialista durante a pesquisa.

Outro problema de segurança identificado são subdomínios associados a outros municípios, além de São Paulo, no site da SentinelX . Esses endereços indicam a existência de ambientes digitais ligados a outras cidades na plataforma.

Segundo o especialista, se as câmeras de diferentes cidades estiverem nos mesmos servidores e não houver isolamento adequado entre os ambientes, uma falha de segurança poderá permitir acessos indevidos. Embora não comprove essa vulnerabilidade, esse é um indicativo de que essa falha pode existir.

Ele também encontrou uma página de login para VPN (Rede Privada Virtual), o que é uma preocupação adicional.