O Incidente Smart Sampa: Dimensão, Escopo e Exposição de Dados
O programa Smart Sampa, concebido pela Prefeitura de São Paulo sob a gestão do prefeito Ricardo Nunes como a principal vitrine tecnológica para a modernização da segurança pública municipal, representa uma infraestrutura de vigilância urbana de alta complexidade.
Com um contrato global orçado em R $588 milhões e custo operacional estimado em aproximadamente R$ 10 milhões mensais, o projeto foi estruturado para integrar Inteligência Artificial, reconhecimento facial em massa e leitura automatizada de placas de veículos. No entanto, a implementação de iniciativas dessa magnitude em infraestruturas críticas municipais exige rigor proporcional nos controles de segurança da informação e na proteção dos dados transacionados. Quando a higiene cibersegura é negligenciada em sistemas de monitoramento ostensivo, a promessa de proteção cidadã converte-se em um vetor de risco sistêmico para a administração pública e para a sociedade.
A gravidade do incidente operado na plataforma do Smart Sampa reside na extensão do escopo exposto e na extensão temporal da vulnerabilidade. Por cerca de 11 meses, um repositório público acessível via internet manteve expostos, sem qualquer mecanismo de autenticação ou camada de cifragem, 181 logins e senhas operacionais de acesso ao sistema. Essa brecha contínua concedeu acesso irrestrito a mais de 58 mil câmeras conectadas à plataforma, gerenciada pela empresa Sentinelx. O impacto estratégico dessa exposição para a comunidade de segurança da informação é devastador: o acesso indevido não se limitou a vias públicas de grande circulação, mas penetrou no interior de ambientes de expectativa de privacidade absoluta, tais como creches, escolas, unidades de saúde e centros de atendimento a dependentes químicos. Essa violação comprometeu diretamente o direito fundamental à privacidade e a segurança física de cidadãos em situação de extrema vulnerabilidade, incluindo menores e pacientes sob atendimento médico.
Dados de Agentes de Segurança: Exposição das credenciais e dados cadastrais de mais de 6 mil agentes de segurança pública.
Dados Pessoais de Cidadãos: Liberdade para realização de consultas por nomes completos, números de CPF e placas de veículos de moradores da capital.
Documentos Sigilosos: Acesso direto à consulta e extração de boletins de ocorrência armazenados na plataforma.
Instruções Técnicas do Sistema: Disponibilização de arquivos de configuração e instruções técnicas suficientes para permitir a engenharia reversa, replicação e clonagem do sistema em qualquer estação de trabalho ou dispositivo móvel.
Essa ampla exposição de credenciais e topologia de rede evidenciou a fragilidade primária dos controles de acesso da infraestrutura pública municipal.
Falhas Técnicas e Negligência Operacional: A Ausência de 2FA/MFA e a Gestão de Credenciais
Em arquiteturas de TI corporativas e governamentais contemporâneas, a permissão de acesso a sistemas críticos via autenticação por fator único representa uma falha primária inaceitável. A ausência de controles universais de Autenticação Multifator (MFA/2FA) para proteger plataformas que gerenciam dados sensíveis contraria os preceitos do modelo Zero Trust e as normas elementares de gestão de segredos. Permitir que credenciais administrativas e operacionais permaneçam armazenadas em texto plano em repositórios abertos configura negligência operacional grave na cadeia de custódia e sustentação de software.
A vulnerabilidade estrutural do Smart Sampa manifestou-se na permissão de autenticação direta no portal da plataforma via internet utilizando unicamente combinações estáticas de usuário e senha. Do ponto de vista da segurança ofensiva, o risco foi amplificado por falhas nas interfaces do sistema desenvolvido pela Sentinelx. Especialistas demonstraram que as lacunas de validação na aplicação permitiam não apenas a visualização passiva de dados, mas o comprometimento ativo da integridade do banco de dados, abrindo espaço para a injeção de cargas úteis ( payloads ) e inserção de registros falsos de reconhecimento facial e de placas de veículos. Tal fragilidade anula a validade jurídica e a confiabilidade operacional de eventuais alertas emitidos pelo sistema.
Diante da denúncia, a mitigação reativa adotada pela administração municipal — baseada no envio de códigos de verificação via SMS para redefinição de senhas — padece de severas limitações técnicas. Sob a perspectiva avançada de InfoSec, a autenticação baseada em SMS é historicamente vulnerável a ataques de SIM-swapping (clonagem de SIM card) e interceptação de sinalização em redes SS7, demonstrando que mesmo as ações corretivas empregadas careciam de conformidade com os padrões modernos de defesa cibernética.
A resposta institucional da Prefeitura de São Paulo expôs contradições entre a narrativa oficial e as evidências técnicas apuradas:
Alegadas Ações de Defesa da Prefeitura,Fatos Técnicos e Evidências Apuradas
"Atribuição de culpa a servidor único: Alegação de vazamento ilícito provocado exclusivamente por um agente da Guarda Civil Metropolitana (GCM), afastado e investigado pela Corregedoria.",Exposição sistêmica de 11 meses: Credenciais operacionais e instruções de clonagem permaneceram expostas publicamente por quase um ano sem detecção por ferramentas de auditoria ou monitoramento do município e da contratada.
"Negativa de exposição de senhas: Declaração oficial afirmando que o repositório público ""não continha menção a senhas de acesso"".","Evidência documental de credenciais válidas: A apuração do portal UOL comprovou a presença de 181 logins e senhas funcionais, validados mediante testes de acesso às câmeras."
"Narrativa de ""sistema isca"": Alegação do prefeito Ricardo Nunes de que a gestão já monitorava o repositório como um ""sistema isca"" para rastrear acessos não autorizados.",Ação reativa pós-imprensa: A derrubada do repositório público e a implementação de senhas exclusivas só ocorreram de forma efetiva após a provocação formal e denúncia promovida pelos veículos de imprensa.
Essas lacunas operacionais e a incoerência na resposta a incidentes revelam deficiências profundas na governança de fornecedores privados de tecnologia.
Governança de Terceiros e Riscos da "Caixa-Preta" Privada ( Vendor Risk Management )
A Gestão de Riscos de Terceiros ( Third-Party Risk Management - TPRM) é um requisito indispensável para assegurar a postura de segurança em ecossistemas de tecnologia público-privados. A terceirização de sistemas de vigilância ostensiva a entes privados, desprovida de mecanismos auditáveis e transparentes de governança, resulta na criação de "caixas-pretas" tecnológicas. Nesses arranjos, a administração pública transfere a execução operacional, contudo retém a responsabilidade jurídica irrestrita sobre a proteção dos direitos dos cidadãos, frequentemente sem dispor de meios técnicos para fiscalizar o ente contratado.
O histórico contratual do Smart Sampa reflete essa fragilidade institucional. A Sentinelx ingressou na operação do contrato de R$ 588 milhões assinado com o Consórcio Smart City SP ao substituir a empresa Camerite por meio de aditivo contratual celebrado em janeiro de 2026. A despeito do montante investido, a Prefeitura de São Paulo admitiu uma lacuna estrutural de governança: o município não realiza auditorias independentes , não possui acesso ao código-fonte da aplicação e não audita os modelos de Inteligência Artificial que alimentam os motores de reconhecimento facial e leitura de placas. Essa opacidade implica a abdicação do controle soberano do Estado sobre algoritmos de segurança pública e bases de dados de cidadãos.
O contrato formal firmado entre o município e o Consórcio Smart City SP prevê cláusulas expressas de segurança da informação:
[Contrato Consórcio Smart City SP]
- Exigência de profissionais qualificados em InfoSec
- Obrigação de adotar as melhores práticas de proteção de dados
- Dever de notificação de anomalias/incidentes em até 24 horas
- Previsão de multas e penalidades por descumprimento
A permanência de credenciais administrativas em repositórios abertos por 11 meses sem identificação interna demonstra que as obrigações contratuais pactuadas funcionaram apenas como formalismo cartorário. A ausência de fiscalização contínua por parte do contratante e a incapacidade do fornecedor em detectar a exposição de suas próprias chaves de acesso evidenciam a falência total dos mecanismos de controle do contrato. Essa opacidade algorítmica e a falta de supervisão direta violam os princípios centrais da legislação de proteção de dados pessoais.
O Impacto Regulatório e Jurídico: LGPD, Sanções da ANPD e a Atuação do Ministério Público
A incidência da Lei Geral de Proteção de Dados (LGPD) sobre o setor público impõe o estrito respeito aos princípios da finalidade, adequação, necessidade, transparência e segurança. Persiste na administração pública a tese equivocada de que a invocação genérica da "segurança pública" (Art. 4º da LGPD) concede imunidade regulatória automática. O texto legal e a doutrina especializada preconizam que exceções devem ser interpretadas restritivamente, não eximindo o controlador do dever de adotar medidas de salvaguarda proporcional e de prestar contas aos órgãos de controle.
Em resposta a solicitações via Lei de Acesso à Informação, a Prefeitura de São Paulo defendeu a tese de que não estaria obrigada a elaborar ou enviar o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) à Autoridade Nacional de Proteção de Dados (ANPD), fundamentando-se na exceção de segurança pública. Essa linha de defesa é inconsistente: o escopo operacional do Smart Sampa transborda a segurança pública estrita, sendo empregado para a localização de devedores de pensão alimentícia, identificação de pessoas desaparecidas e monitoramento contínuo de creches, escolas e hospitais. Ademais, nos termos da LGPD e do Regulamento de Comunicação de Incidentes de Segurança (Resolução CD/ANPD nº 15/2024), a ANPD detém a prerrogativa expressa de requerer o RIPD. A referida resolução estabelece ainda a obrigação de comunicar incidentes de segurança relevantes à autoridade e aos titulares no prazo de três dias úteis contados do conhecimento do fato — exigência descumprida pelo município, visto que a ANPD confirmou oficialmente não ter recebido qualquer notificação voluntária da prefeitura sobre o vazamento.
Diante da omissão estatal, o Ministério Público do Estado de São Paulo (MPSP), por meio das Promotorias de Justiça do Patrimônio Público, informou que avaliará formalmente a abertura de inquérito civil para apurar eventuais ilícitos administrativos e danos ao erário. Paralelamente, uma coalizão de 11 organizações da sociedade civil — incluindo a Coalizão Direitos na Rede, o Centro de Estudos de Segurança e Cidadania (CESeC), a Conectas Direitos Humanos e o Data Privacy Brasil — protocolou um ofício representativo junto à ANPD, contendo cinco petições principais:
Investigação Detalhada e Notificação aos Titulares: Instauração de processo administrativo sancionatório contra a Prefeitura de São Paulo e a Sentinelx, com determinação de notificação individualizada aos cidadãos afetados pela exposição.
Exigência Formal do RIPD: Emissão de determinação fiscalizatória para a entrega imediata do Relatório de Impacto à Proteção de Dados Pessoais abrangendo a totalidade das operações do Smart Sampa.
Auditoria sobre Controle Privado: Investigação sobre a legalidade da manutenção do controle exclusivo de bases de dados e algoritmos públicos por parte de uma entidade privada sem supervisão direta do Estado.
Aferição de Legalidade no Monitoramento Sensível: Avaliação técnica e jurídica quanto à conformidade do uso de videomonitoramento contínuo no interior de instalações de saúde pública e de educação infantil.
Verificação de Protocolos para Menores: Apuração das medidas de proteção e conformidade regulatória aplicadas ao tratamento de dados pessoais de crianças e adolescentes captados pelas câmeras do programa.
A recusa institucional em submeter o sistema a auditorias e relatórios de impacto guarda relação direta com a ausência de evidências empíricas sobre sua efetividade técnica.
Eficiência vs. Ética: A Validade Técnica da Vigilância e o Viés Algorítmico
A justificativa política para a implantação de redes de vigilância biométrica de massa assenta-se frequentemente sobre uma falsa dicotomia que opõe a eficiência da segurança pública à garantia dos direitos fundamentais. Defende-se que a relativização do direito à privacidade seria um custo aceitável para a suposta mitigação da criminalidade. Contudo, sob o prisma da governança pública baseada em evidências, a validade de qualquer solução tecnológica de alto custo deve ser aferida por métricas estatísticas rigorosas de impacto, e não por declarações institucionais sem validação metodológica.
O estudo empírico conduzido pelo CESeC, intitulado "Smart Sampa vigia, mas não protege" (analisando dados entre março de 2024 e abril de 2025), revelou que o aporte de R$ 10 milhões mensais no programa não produziu redução estatisticamente significativa nas taxas de roubos, furtos ou homicídios na capital paulista quando comparada a municípios paulistas de porte similar que não adotaram a tecnologia. A pesquisa demonstrou também a ausência de ganhos na produtividade policial direta. Ilustrativamente, o bairro de Pinheiros permaneceu no topo do ranking de crimes patrimoniais na capital, registrando 2.156 roubos e furtos de celulares no primeiro trimestre de 2026