BRASILCredenciais vazadas expõem sistema do Smart Sampa com 58 mil câmeras
Adriano Camargo- 20 de outubro de 2026 | 15:13
Investigação anunciada pela Prefeitura deverá apurar a origem da exposição e as circunstâncias do acesso à plataforma
Uma exposição de credenciais permitiu acesso indevido ao Smart Sampa, sistema de videomonitoramento da Prefeitura de São Paulo que reúne mais de 58 mil câmeras. A falha foi divulgada nesta terça-feira, dia 20, em que foi possível visualizar imagens captadas por equipamentos instalados em espaços públicos, escolas, creches e unidades de saúde da capital paulista.
As informações permaneceram disponíveis em um repositório público por aproximadamente 11 meses. O material continha 181 credenciais de usuários autorizados e dados de mais de 6 mil agentes de segurança. Os 58 mil equipamentos conectados no sistema correspondem às câmeras vinculadas à plataforma, e não à quantidade de dispositivos efetivamente acessados durante os testes.
A Prefeitura providenciou a retirada do repositório do ar. A administração municipal atribuiu o episódio ao vazamento ilegal de informações por um servidor, que foi afastado de suas funções, e informou a abertura de investigação pela Corregedoria da Guarda Civil Metropolitana (GCM). Também negou falhas nos mecanismos de segurança da plataforma.
Exposição coloca controle de acesso em discussão
O episódio envolve os procedimentos utilizados para armazenar credenciais, administrar permissões de usuários e monitorar acessos ao Smart Sampa.
O programa utiliza reconhecimento facial e cruzamento de informações com bases de pessoas desaparecidas e procuradas pela Justiça. A infraestrutura reúne equipamentos municipais e câmeras integradas ao sistema de videomonitoramento.
Em abril de 2026, a Prefeitura informou que a plataforma havia alcançado 50 mil câmeras conectadas. O número atual identificado na investigação supera aquele balanço.
Ainda não foram apresentados resultados de perícia técnica que esclareçam a extensão dos acessos indevidos, os mecanismos de autenticação empregados ou eventual utilização das credenciais por terceiros antes da descoberta.
LGPD prevê comunicação de incidentes à ANPD
A exposição também envolve questões relacionadas à Lei Geral de Proteção de Dados Pessoais (LGPD), considerando a natureza das informações processadas pelo sistema municipal.
A Resolução CD/ANPD nº 15/2024 estabelece que incidentes de segurança capazes de causar risco ou dano relevante aos titulares devem ser comunicados à Autoridade Nacional de Proteção de Dados (ANPD) e aos próprios titulares, conforme os critérios definidos na regulamentação.
O prazo geral para comunicação é de três dias úteis, observadas as disposições aplicáveis. A avaliação considera fatores como a natureza dos dados comprometidos, a exposição de informações de autenticação, o tratamento em larga escala e os possíveis impactos aos titulares.
Contrato do Smart Sampa é acompanhado pelo TCM
A operação do Smart Sampa é objeto de acompanhamento pelo Tribunal de Contas do Município de São Paulo (TCM-SP), no processo nº 013936/2025, relacionado à execução do Contrato nº 32/SMSU/2023.
Firmado com o consórcio Smart City SP em agosto de 2023, o contrato abrange equipamentos e atividades relacionadas ao tratamento e armazenamento das imagens utilizadas pelo programa.
Parte da documentação do acompanhamento possui acesso restrito por razões de segurança. Os registros públicos disponíveis não permitem determinar se houve auditoria independente dos mecanismos de cibersegurança.
A investigação anunciada pela Prefeitura deverá apurar a origem da exposição e as circunstâncias do acesso à plataforma. Não foram divulgados resultados técnicos conclusivos sobre o episódio nem informações que permitam estabelecer se outras pessoas utilizaram as credenciais anteriormente.
Tags# anpd# cibersegurança# prefeitura# segurança# Smart Sampa# tcm
