Prefeitura diz à ANPD que 178 usuários do Smart Sampa tinham o mesmo padrão de senha

A Prefeitura de São Paulo informou à ANPD (Agência Nacional de Proteção de Dados) que 178 usuários do Smart Sampa tinham o mesmo padrão de senha. Em resposta à fiscalização federal, a gestão Ricardo Nunes (MDB) reconheceu acesso não autorizado ao programa de videomonitoramento e relatou mudanças nos mecanismos de segurança.

As informações constam de um ofício de 29 de outubro, assinado por representantes da Secretaria Municipal de Segurança Urbana e da Controladoria Geral do Município, obtido pela Folha. O documento responde a uma cobrança da agência por esclarecimentos sobre a exposição de dados do sistema.

Segundo a prefeitura, as 178 contas correspondiam a 2,73% dos 6.529 usuários identificados em um repositório externo —um espaço de armazenamento de arquivos na internet. A resposta não especifica qual era o padrão de senha encontrado.

A administração ressalva que o número não representa a quantidade de contas acessadas indevidamente. Afirma que os registros técnicos apresentados pelo Consórcio Smart City SP, operador do programa, relacionaram diretamente uma conta ao episódio investigado.

Em nota à reportagem, a gestão ressaltou que o programa segue operando regularmente. "Cabe destacar que o incidente está relacionado a um vazamento ilegal de dados e não há sinais de ataque externo ao sistema."

As falhas de segurança no programa foram reveladas pelo UOL em 20 de outubro. A reportagem mostrou que informações disponíveis na internet permitiam acessar imagens de câmeras do programa, inclusive em creches e unidades de saúde. Na ocasião, Nunes afirmou que o sistema era seguro e negou uso indevido.

Nesta terça-feira (3), o colunista Artur Rodrigues revelou outra falha, envolvendo acesso a imagens de 17 mil câmeras de empresas parceiras do Smart Sampa. Sobre esse episódio, a prefeitura afirmou que os links estavam em uma planilha confidencial, negou sinais de ataque e anunciou a investigação do envio do arquivo à imprensa.

Na resposta à ANPD, a prefeitura relata a retirada de funcionalidades administrativas que permitiam cadastrar senhas fora dos padrões estabelecidos. Informa também ter tornado obrigatórias a troca de senhas e a autenticação multifator, que exige uma verificação adicional para entrar no sistema.

As novas senhas devem ter ao menos 14 caracteres, incluindo letras maiúsculas e minúsculas, números e símbolos. O ofício também relaciona entre as medidas o reconhecimento facial obrigatório para acessar a plataforma.

Embora afirme que a funcionalidade de autenticação multifator já existia, a gestão informa que sua obrigatoriedade para todos os usuários, sem exceções, integrou o reforço dos controles após o episódio.

A prefeitura mantém a versão de que o incidente teve origem na publicação de informações vinculada a um guarda municipal que possuía acesso legítimo à plataforma. Segundo o documento, o servidor foi afastado e é investigado pela Corregedoria da GCM (Guarda Civil Metropolitana) e pela Polícia Civil.

A administração afirma que não encontrou indícios de quebra de senhas ou de ataque por tentativas automatizadas em massa. Sustenta que foram usadas credenciais válidas em acessos não autorizados e nega ter identificado logins e senhas publicados no repositório.

Segundo a gestão, a conta relacionada ao episódio permitia visualizar câmeras, sem acesso administrativo irrestrito nem possibilidade de alterar as bases oficiais integradas ao programa.

No último dia 31, a Folha mostrou indícios de falhas que permitiam a usuários comuns acessar câmeras de outras cidades e dados sigilosos, segundo documentos técnicos e especialistas em segurança digital. A reportagem apontou problemas mais amplos nos controles da plataforma SentinelX, usada pelo Smart Sampa.

O ofício também apresenta a justificativa da prefeitura para não ter feito uma comunicação separada do incidente à ANPD. Segundo a cronologia informada, a administração recebeu um aviso preliminar sobre a possível publicação de uma reportagem em 16 de outubro e confirmou o incidente em reunião com o operador no dia 18.

A secretaria afirma que preparava uma comunicação para 22 de outubro. Naquela manhã, porém, recebeu a intimação da agência, com prazo de cinco dias úteis para prestar esclarecimentos. Decidiu, então, reunir as informações na resposta datada de 29 de outubro.

"A SMSU entendeu que a comunicação apartada deixaria de ser pertinente", afirma o documento. A pasta sustenta que a busca por informações complementares tinha como finalidade melhorar a comunicação, sem afastar o dever de informar a agência.

A prefeitura também diz não ter conseguido determinar com precisão quando começou a exposição das informações. Cita registros de movimentação desde outubro de 2025, mas ressalva que eles não permitem estabelecer o início da exposição pública.