Ofício da prefeitura contradiz Nunes sobre 'isca' em falha no Smart Sampa

Datado de 29 de outubro, o ofício da prefeitura em resposta à agência é assinado em conjunto pela secretária de Segurança Urbana, Juliana Lopes Bussacos, e pelo controlador-geral Daniel Falcão, e não menciona uma operação de "isca". Em vez disso, descreve providências de apuração e contenção adotadas após o recebimento do alerta sobre a reportagem.

O documento da prefeitura confirma as informações que haviam sido reveladas na reportagem do UOL. Embora negue ter identificado logins e senhas expostos no repositório, a prefeitura reconhece que, entre os 6.529 usuários encontrados no material, 178 apresentavam o mesmo padrão de senha. A reportagem mostrou que as credenciais eram o número de registro dos agentes como login e senha. Segundo o ofício, as permissões da conta estavam vinculadas ao videomonitoramento e não davam acesso administrativo irrestrito nem permitiam alterar as bases oficiais integradas.

Segundo a gestão, no dia 17 de outubro, medidas de reforço à autenticação no sistema passaram a ser adotadas. Entre elas, lista a redefinição das senhas de todos os usuários, a exigência de combinações com pelo menos 14 caracteres e a obrigatoriedade de autenticação multifator. Após a reportagem do UOL, ainda foi implantada a autenticação com reconhecimento facial.

Sobre a ausência de comunicação à ANPD, a gestão afirma que preparava uma notificação para 22 de outubro, mas recebeu naquela manhã a cobrança de informações da agência. A secretaria diz ter entendido que uma comunicação separada deixaria de ser pertinente, porque os mesmos dados seriam apresentados na resposta ao órgão.

Receita de bolo

A falha revelada pelo UOL não se restringia a um vazamento de senhas. As instruções expostas funcionavam como uma "receita de bolo" para reproduzir a interface com ajuda de inteligência artificial. A técnica, conhecida como vibe coding, permite criar sites e aplicativos a partir de comandos de texto em linguagem comum.