Falha no Smart Sampa expôs acesso a 58 mil câmeras de SP por quase um ano

O Ministério Público de São Paulo (MP-SP) abriu uma investigação nesta terça-feira (20) para apurar o vazamento de dados sigilosos do Smart Sampa , sistema de monitoramento com inteligência artificial (IA) da Prefeitura de São Paulo.

Uma reportagem do UOL revelou que informações capazes de permitir o acesso indevido a mais de 58 mil câmeras ficaram expostas na internet por aproximadamente 11 meses.

O Smart Sampa é utilizado pela gestão municipal para monitorar espaços públicos, identificar foragidos da Justiça por reconhecimento facial e localizar veículos roubados ou furtados.

O programa reúne câmeras públicas e privadas e envia alertas às forças de segurança quando identifica possíveis ocorrências.

A reportagem do UOL, assinada pelo jornalista Artur Rodrigues, encontrou informações de acesso à plataforma em um repositório público na internet.

Entre os dados estavam 181 logins e senhas de usuários autorizados , além de informações de mais de 6 mil agentes de segurança.

Após receber os questionamentos do veículo, a Prefeitura retirou os dados do ar, afastou um servidor suspeito de ser responsável pelo vazamento e anunciou medidas adicionais de proteção.

A administração municipal, porém, nega que o episódio represente uma falha nos mecanismos de segurança do Smart Sampa.

O que foi exposto no Smart Sampa? Para verificar a gravidade da exposição, o UOL utilizou informações disponíveis no repositório para criar, com auxílio de IA, uma interface capaz de acessar o sistema de monitoramento.

O teste permitiu visualizar imagens de câmeras instaladas em ruas, creches, escolas, hospitais e unidades de atendimento a dependentes químicos .

Em uma das verificações, realizada nos Campos Elíseos, na região central de São Paulo, a equipe conseguiu identificar e registrar seus próprios movimentos em oito câmeras vinculadas ao programa.

A investigação também encontrou credenciais que permitiam entrar diretamente na plataforma da Sentinelx, empresa responsável pela tecnologia utilizada no Smart Sampa.

Nesse ambiente, era possível pesquisar nomes, CPFs e placas de veículos, além de consultar boletins de ocorrência.

O acesso testado pelo UOL não exigia autenticação em duas etapas, mecanismo que adiciona uma verificação à senha para impedir entradas não autorizadas.