Uma nova brecha de segurança no Smart Sampa, plataforma de monitoramento por câmeras da Prefeitura de São Paulo, expôs imagens de 17 mil câmeras de empresas parceiras.
A falha foi revelada pelo UOL na última terça-feira (03) e mostra, segundo especialistas ouvidos pelo O Brasilianista, que o problema vai além de um sistema isolado.
Esta é a segunda exposição de grande escala identificada no sistema em menos de um mês. Em 20 de outubro, o UOL já havia revelado uma vulnerabilidade que permitia acessar imagens de 58 mil câmeras.
Desta vez, a brecha estava no código-fonte de um site ligado à Sentinelx, empresa responsável pela plataforma tecnológica do Smart Sampa.
Arquivos disponíveis na internet continham endereços de serviços usados pela plataforma para consultar informações sobre empresas e câmeras cadastradas. A partir deles, era possível acessar cadastros, documentos de parceiros e endereços completos das transmissões. O veículo conseguiu acessar, durante cinco dias, transmissões de câmeras hospedadas pela Monuv, provedora de serviços de nuvem para sistemas de segurança.
A Prefeitura, por sua vez, nega que os links das imagens estivessem públicos. Já a Monuv disse manter uma estrutura de segurança da informação com controles de acesso, autenticação e proteção de dados, e afirmou que o acesso às câmeras compartilhadas segue as especificações definidas pelo próprio Smart Sampa.
Alerta grave da segurança cibernética
Para o advogado especialista em Direito Digital e Regulação Tecnológica, Rafael Mott Farah, o episódio é um alerta sério. Ele lembra que, antes da falha mais recente, dados sigilosos do sistema, como credenciais de acesso, ficaram expostos na internet por cerca de 11 meses, o que permitiu acesso a câmeras instaladas em creches, escolas e hospitais.
Segundo Farah, a Prefeitura atribuiu esse primeiro caso a um servidor e nega fragilidade na plataforma. Na avaliação do advogado, a explicação não resolve o problema.
“Do ponto de vista técnico e jurídico, porém, se um único usuário consegue expor credenciais por quase um ano, falharam o controle de acesso e o monitoramento. Isso é especialmente grave num sistema que concentra imagens e dados biométricos da população”, afirma.
A advogada especialista em direito digital Silvana Campos também classifica as brechas consecutivas como um importante alerta para a infraestrutura de segurança cibernética do país. Ela destaca que o caso mostra que o perigo não vem só de fora.
“O caso demonstra que os riscos não estão restritos a invasões externas sofisticadas, mas também envolvem erros internos de configuração, falhas de autenticação e vazamento de credenciais por pessoas autorizadas”, explica.
Campos lembra ainda que o Brasil já enfrentou episódios semelhantes em outras esferas públicas. O Superior Tribunal de Justiça (STJ) e os tribunais de Justiça do Rio Grande do Sul (TJ-RS) e de São Paulo (TJ-SP), por exemplo, sofreram ataques de ransomware, em que criminosos sequestram dados e sistemas e podem paralisar atividades e exigir pagamento em criptomoedas.
O especialista em segurança digital André Uchôa vê no caso paulistano um problema antigo e sem grande sofisticação técnica: "problema crônico de negligência com o básico.”
Segundo Uchôa, não houve operação hacker complexa. Ele atribui a exposição das 58 mil câmeras a descuidos primários, como um repositório público esquecido no GitHub por quase um ano, guardas municipais usando a própria matrícula como login e senha e falta de autenticação em duas etapas. Ele também aponta que é comum encontrar câmeras de prefeituras operando com senhas padrão de fábrica.
O especialista compara o caso ao da empresa americana Verkada, que teve 150 mil câmeras acessadas em 2021, e diz que sistemas de delegacias eletrônicas e plataformas estaduais de monitoramento no Brasil já passaram por episódios parecidos de exposição, quase sempre por servidores de nuvem mal configurados por terceiros.
“O poder público investe milhões para encher as cidades de lentes e algoritmos de reconhecimento facial, mas economiza na fechadura digital dos servidores que guardam esse material”, comenta.
O Brasil tem segurança digital confiável?
Os entrevistados concordam que o país avançou no papel, mas falha na prática. Farah cita a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), a Política Nacional de Cibersegurança (Decreto 11.856/2023) e a Estratégia Nacional de Cibersegurança (Decreto 12.573/2025).
Para ele, ainda falta uma lei geral de cibersegurança, como as que Chile e Estados Unidos já têm, e um órgão central com poder de fiscalização, orçamento contínuo e profissionais qualificados, sobretudo em estados e municípios.
Farah aponta ainda uma lacuna na segurança pública: a LGPD exclui essa área de sua aplicação direta, e a lei específica prevista para tratar dela nunca foi aprovada.
Entretanto, a existência de uma legislação não garante, por si só, a segurança dos sistemas. A advogada, por sua vez, lista como pontos a melhorar a atualização tecnológica constante, auditorias independentes, autenticação mais forte, monitoramento contínuo e capacitação dos profissionais de segurança da informação, além de sistemas antigos e infraestrutura desatualizada.
Uchôa descreve um país de contrastes. De um lado, setores como o bancário e o Sistema de Pagamentos Brasileiro operam com padrões de proteção de nível internacional, e a infraestrutura eleitoral é bem protegida, ao menos contra intervenções externas. De outro, prefeituras, governos estaduais e autarquias trabalham, segundo ele, em “ambiente de improviso técnico”.
“A solução não passa por comprar softwares ainda mais caros com rótulo de inteligência artificial, mas por cumprir o feijão com arroz da governança”, avalia o especialista em segurança digital.
Uchôa cita como gargalos a falta de fiscalização da cadeia de fornecedores, já que o poder público contrata consórcios e plataformas em nuvem sem auditar o código nem a segurança dessas empresas, e a falta de treinamento dos operadores.
Ele diz também que a Autoridade Nacional de Proteção de Dados (ANPD) precisa agir com rigor sobre órgãos governamentais.
“Enquanto vazamentos graves forem tratados com notas oficiais que culpam um funcionário isolado e não geram sanções institucionais pesadas, gestores públicos continuarão tratando a segurança da informação como um gasto secundário”, reitera.
Vale lembrar que nem todo ataque hacker gera vazamento. Mas a repetição dos casos aumenta a chance de dados circularem em ambientes criminosos, onde alimentam golpes e fraudes de identidade.
As opções do governo
O governo já discute estruturas e propostas para aumentar a segurança digital do Brasil.
Farah conta que o Comitê Nacional de Cibersegurança (CNCiber) elaborou uma minuta de Lei Geral da Cibersegurança. Como não há orçamento para criar uma agência própria, a proposta em discussão é que a Anatel assuma o papel de autoridade central do tema.
No Senado, tramita o PL 4.752/2025, que institui o Marco Legal da Cibersegurança e cria o Programa Nacional de Segurança e Resiliência Digital, com previsão de destinar no mínimo 3% do Fundo Nacional de Segurança Pública a ações de cibersegurança.
Segundo Farah, o Estado já tem estruturas como a ANPD e a Polícia Federal, mas o real desafio é transformar esses instrumentos em uma política obrigatória, com metas, fiscalização e financiamento estável, que alcance também estados, municípios e o Judiciário.
Uchôa dá outra explicação para o impasse. Segundo ele, a criação de uma agência reguladora própria segue travada em disputas políticas e orçamentárias entre alas militares e civis em Brasília sobre quem deve controlar a nova estrutura. Para ele, o problema é a prioridade, e não a falta de dinheiro.
O especialista afirma que a Prefeitura de São Paulo gasta perto de R$ 10 milhões por mês só para manter o Smart Sampa funcionando, e que uma fração desse valor bancaria testes regulares de invasão, auditorias independentes de código e chaves físicas de segurança para os operadores. Ele defende que o poder público use as leis e normas que já tem, como a LGPD e as regras de contratação pública digital, para exigir padrões rígidos antes de assinar contratos de vigilância.
Campos reforça que o poder público movimenta bilhões de reais por ano em tecnologia, e que cibersegurança deve ser tratada como prioridade estratégica.
“Os investimentos em cibersegurança precisam ser tratados como prioridade estratégica, não apenas para proteger as estruturas governamentais, mas também para garantir a privacidade, os direitos e a segurança dos cidadãos”, pondera.
Acompanhe as redes sociais de O Brasilianista
