Smart Sampa teve senhas expostas na internet desde 2024

As credenciais de acesso à plataforma digital do Smart Sampa, o maior programa de vigilância com reconhecimento facial do país, estavam disponíveis na internet desde 2024, conforme apontado por um especialista em cibersegurança que apresentou indícios das falhas de segurança.

Essa exposição indica que as vulnerabilidades persistiam por um período mais longo do que o revelado anteriormente por uma investigação, que havia demonstrado o acesso indevido a mais de 58 mil câmeras do programa ao longo de 11 meses.

Investigação e novas falhas

Especialistas indicam que os problemas de segurança da plataforma iam além do vazamento de senhas e da possibilidade de visualizar imagens de câmeras a partir de dados encontrados em um repositório com dados abertos.

Davi Mikael, pesquisador com 13 anos de experiência na área de segurança de informação, relatou que começou a examinar as fragilidades do programa após revelações anteriores e encontrou 15 credenciais de acesso ao Smart Sampa vazadas desde 2024.

Conhecido como Penegui, ele publicou um vídeo em suas redes sociais na noite de uma terça-feira, dia 27, detalhando as fragilidades encontradas e identificando indícios de outras brechas no sistema.

Dados obtidos indicam que o vazamento ocorreu ao menos a partir de outubro de 2024. Vale lembrar que o Smart Sampa foi inaugurado oficialmente em julho daquele mesmo ano.

Origem do vazamento e respostas oficiais

Os dados de login e senha das 15 credenciais teriam sido capturados por meio de um programa malicioso — um software do tipo “infostealer”, projetado para roubar informações de máquinas contaminadas —, que foi disponibilizado por um hacker na internet e descoberto anos depois pelo pesquisador.

Esse tipo de praga virtual infecta computadores e furta dados como senhas salvas em navegadores e cookies de sessão, possibilitando o acesso a contas já autenticadas quando a vítima executa um programa malicioso disfarçado de software legítimo.

Questionada sobre os indícios de vazamentos desde 2024, a Prefeitura de São Paulo não respondeu. Anteriormente, a gestão afirmou em nota que “não há nenhuma fragilidade nos mecanismos de segurança da plataforma do Programa Smart Sampa” e que “o que houve foi um vazamento ilegal de dados por parte de um servidor da Guarda Civil Metropolitana entre os mais de 7.500 agentes de segurança”.

A empresa SentinelX, responsável pela plataforma tecnológica do Smart Sampa, foi procurada por e-mail oficial, ligações para sócios e assessores, além de mensagens por aplicativo, mas não houve resposta até a publicação deste texto.

Riscos adicionais e críticas

Outro ponto crítico identificado foram subdomínios associados a municípios além de São Paulo no site da SentinelX, indicando a existência de ambientes digitais ligados a outras cidades na mesma plataforma.

Segundo o especialista, caso as câmeras de diferentes localidades estejam alocadas nos mesmos servidores sem o isolamento adequado entre os ambientes, uma falha de segurança poderá viabilizar acessos indevidos.

Além disso, foi localizada uma página de login para VPN (Rede Privada Virtual), o que representa uma preocupação extra. A VPN atua como uma entrada controlada para uma rede, permitindo que determinados ambientes sejam acessados apenas por quem está conectado a ela. O perigo ocorre se credenciais da VPN vazarem e forem utilizadas por um invasor na ausência de autenticação multifator.

“Não temos um relatório de segurança do Smart Sampa que mostre que essas vulnerabilidades foram corrigidas”, ele disse. “Encontrar vulnerabilidades é comum, e a falta de testes de segurança frequentes pode fazer com que elas permaneçam desconhecidas por mais tempo.”

Penegui também criticou a justificativa da administração municipal. Durante entrevista coletiva, a gestão argumentou que já sabia da falha que permitia acessos não autorizados às imagens e que monitorava o funcionário supostamente responsável, aguardando o momento propício para retirar as informações sensíveis do ar — estratégia conhecida como “isca”. A prefeitura informou que o servidor “foi identificado e afastado. e sua conduta está sendo investigada pela Corregedoria da Guarda Civil Metropolitana”.

As falhas na plataforma comprometeram imagens de equipamentos de saúde, escolas de ensino infantil e de dispositivos instalados por empresas e condomínios particulares integrados ao programa. O pesquisador pontuou que não faria sentido manter a exposição dessas câmeras após a descoberta das falhas, reforçando que o uso de uma “isca” ocorre exclusivamente em ambientes simulados e jamais justificaria o acesso contínuo a dados sensíveis.