Smart Sampa sofre vazamento de dados e expõe câmeras de SP

O sistema de monitoramento Smart Sampa sofreu um vazamento de dados. A Prefeitura de São Paulo confirmou a exposição de informações restritas e investiga o caso. Segundo reportagem do UOL, os dados vazados permitiram acessar imagens em tempo real da rede, composta por mais de 58 mil câmeras instaladas em ruas, escolas, creches e hospitais da capital paulista. Informações restritas da rede Smart Sampa estavam disponíveis publicamente em um repositório na internet havia 11 meses. A Prefeitura de São Paulo, no entanto, negou a existência de falhas nos mecanismos de segurança da plataforma e atribui o vazamento ao compartilhamento ilegal de dados por um servidor. De acordo com o prefeito Ricardo Nunes (MDB), no entanto, não há nenhuma “ocorrência de uso indevido do sistema”.

Conforme a apuração, entre as informações expostas estavam 181 logins e senhas de usuários autorizados a acessar o sistema, dados de mais de 6 mil agentes de segurança e instruções que possibilitavam reproduzir uma interface de acesso ao Smart Sampa em qualquer computador ou celular. As câmeras, por sua vez, mostravam imagens em tempo real de vários locais da cidade, como creches, hospitais e centros para atendimento de dependentes químicos da Prefeitura de São Paulo. Numa imagem incluída na reportagem, um repórter do UOL acena para quatro câmeras do Smart Sampa nos Campos Elíseos, no centro de São Paulo. Após a denúncia, o repositório com dados e instruções foi retirado do ar, mas a Prefeitura afirma que “não havia nele menção a senhas de acesso”.

O Smart Sampa é conhecido como um dos maiores sistemas de videomonitoramento e segurança urbana da América Latina. A plataforma foi lançada em 2024 e usa inteligência artificial para cruzar imagens com registros policiais, reconhecendo rostos de pessoas e identificando placas de veículos.

O que vazou na rede Smart Sampa?

De acordo com o UOL, as informações expostas permitiam acessar imagens de câmeras instaladas em diferentes unidades públicas, incluindo: * 1.157 câmeras instaladas em Unidades Básicas de Saúde (UBS); * 427 câmeras em Escolas Municipais de Educação Infantil; * 396 câmeras em Escolas Municipais de Ensino Fundamental; * 118 câmeras em Centros de Atenção Psicossocial (11 Caps infantis, 31 Caps infantojuvenis); * 80 câmeras em hospitais; * 68 câmeras em Unidades de Pronto Atendimento (UPAs).

Segundo um especialista ouvido pelo site, uma brecha de segurança na plataforma também permitiria inserir dados indevidamente no sistema. A vulnerabilidade estaria presente em determinadas interfaces que recebem registros de reconhecimento de placas e rostos, mas não verificam adequadamente a identidade de quem envia essas informações.

Além disso, os logins compartilhados no repositório permitiam entrar diretamente na plataforma da empresa SentinelX, uma das responsáveis pela manutenção do Smart Sampa. Segundo a reportagem, algumas credenciais seguiam um padrão baseado nos dados cadastrais dos próprios agentes, e não havia mecanismos de autenticação reforçados, como a verificação em duas etapas. Após os questionamentos do UOL, o recurso foi implementado. Uma vez dentro da plataforma, era possível usar mecanismos de busca para pesquisar nomes, CPFs e placas de veículos na base de dados, bem como acessar boletins de ocorrência, segundo a reportagem.

Quem desenvolve o Smart Sampa?

Apesar de ser um projeto municipal, o Smart Sampa é operado pelo consórcio Smart City, responsável pela gestão e manutenção tecnológica da plataforma. A Prefeitura de São Paulo nem sequer tem acesso ao código-fonte, aos modelos de inteligência artificial ou às bases de dados usadas para treiná-los. Esses componentes estão sob controle da SentinelX.

A Prefeitura não participa diretamente do desenvolvimento dos algoritmos e não possui informações detalhadas sobre os critérios utilizados para seu treinamento. Sem entrar em detalhes, a administração municipal disse que fiscaliza o cumprimento dos requisitos técnicos da rede de monitoramento, mas não realiza auditorias independentes dos modelos de IA.

A SentinelX não existia quando a licitação para contratar o sistema de vigilância foi realizada pela Prefeitura de São Paulo, em 2023. A empresa foi fundada um mês depois da assinatura do contrato e integra o consórcio que opera o programa, originalmente formado pelas empresas CLD, Flama Serviços, PK9 e Camerite. A entrada da SentinelX no consórcio aconteceu em dezembro de 2025, em substituição à Camerite.

Quem são as empresas do consórcio?

* SentinelX: A SentinelX se descreve como uma empresa que integra câmeras existentes a um sistema de monitoramento reforçado com inteligência artificial. “A SentinelX desenvolve a IA, o reconhecimento, o despacho e a integração. Ponta a ponta, em nuvem, sem software licenciado de fora”. * CLD: Fundada em 1986, a CLD (antes, Consladel) começou focada no setor de construção civil, posteriormente passando a atuar no mercado de radares. No site oficial, a empresa se descreve como mantenedora do sistema viário de São Paulo e “a maior empresa brasileira nos setores de tecnologia viária, inteligência artificial, sinalização, construção, gestão de concessões e cidades inteligentes”. * PK9: No próprio site, a PK9 se descreve como uma “empresa de facilities”. Ela centraliza a contratação e a gestão de funcionários de outras empresas, administrando a terceirização de serviços. * Flama: A Flama – ou Grupo Flama, como se define no próprio site – oferece “soluções completas de segurança e serviços” para proteção patrimonial. A empresa oferece serviços como vigilância armada e desarmada, monitoramento de câmeras aéreas e drones, segurança pessoal e limpeza e conservação.

O que dizem as empresas e a Prefeitura?

O portal entrou em contato via telefone, e-mail e WhatsApp com as empresas do consórcio Smart City, mas não obteve retorno até o fechamento da matéria.

Em contato com a redação, a Camerite reforçou que não integra mais o consórcio desde 17 de dezembro de 2024. “A decisão de deixar o consórcio foi motivada por um conflito de interesses. Ressalta ainda que, a tecnologia atualmente utilizada pelo Smart Sampa não faz parte da base tecnológica da empresa”, diz trecho da nota da companhia. A Camerite ainda informou reconhecer a “gravidade dos fatos noticiados” e disse defender “uma apuração conduzida pelas autoridades competentes, com rigor técnico e respeito à privacidade das pessoas”.

A Prefeitura de São Paulo confirmou o vazamento, mas negou a existência de falhas de segurança na rede Smart Sampa. A administração municipal afirma que os dados foram divulgados ilegalmente por um agente que tinha autorização para acessar o sistema.

Em entrevista coletiva, o prefeito Ricardo Nunes afirmou que a gestão municipal já vinha acompanhando o caso. “O que teve foi um funcionário da GCM [Guarda Civil Metropolitana] concursado, que entrou em 2023, que trabalhava no setor que mantinha senhas em uma plataforma. Isso a prefeitura já tinha conhecimento, vinha monitorando, e era uma espécie de isca para saber se teria algum acesso irregular”, defendeu.

Nunes argumentou que o sistema é “absolutamente seguro” e que as pessoas “podem ficar tranquilas”. O prefeito também afirmou que a segurança da plataforma foi reforçada, agora com senhas exclusivas e autenticação de dois fatores.