Painel de 58 mil câmeras de SP ficou 11 meses com credenciais expostas — e o caso Smart Sampa é sobre acesso privilegiado

Na terça (20/10), o UOL revelou e a Prefeitura de São Paulo confirmou: dados sigilosos do Smart Sampa, o sistema municipal de monitoramento por câmeras e reconhecimento facial da capital, ficaram acessíveis na internet por cerca de 11 meses. As chaves de acesso estavam em um diretório de código aberto, sem proteção — segundo a apuração, 181 credenciais e registros de aproximadamente 6 mil agentes de segurança. O material permitia chegar às imagens de mais de 58 mil câmeras conectadas à plataforma, incluindo equipamentos instalados em ruas, escolas, creches e hospitais.

Fonte: G1 · O Globo · UOL

O núcleo do caso é de arquitetura, não de câmera. O Globo ouviu especialistas: o acesso ao painel não exigia autenticação em duas etapas e se apoiava em combinações de senhas elementares. A reportagem aponta ainda que, com comandos de inteligência artificial, foi possível recriar o painel de monitoramento e navegar pelas câmeras integradas ao sistema. A prefeitura confirma o vazamento, mas nega falha de segurança na plataforma e atribui a divulgação a um agente que tinha acesso autorizado — ele foi afastado do cargo e é investigado pela Corregedoria da Guarda Civil Metropolitana. A causa, portanto, segue disputada. O Ministério Público de São Paulo abriu investigação, e onze organizações da sociedade civil pediram à ANPD apuração do incidente e notificação dos titulares.

O que o caso mostra é uma classe de risco que atravessa setor público, bancos, fintechs e qualquer operação com sistema crítico: acesso indevido a uma ação crítica. Três controles falharam juntos — credencial guardada fora de um cofre (num diretório público), painel administrativo sem segundo fator de autenticação, e ausência de trilha que detectasse o acesso não autorizado. Onze meses de exposição sem que a própria operação percebesse é o dado mais duro: não houve detecção, houve denúncia externa. A pergunta que sobra não é "se" uma credencial vaza, mas "quem descobre primeiro: a organização ou o atacante?".

O que uma organização com sistemas críticos deveria testar e monitorar continuamente:

• Exposição de credenciais e segredos — varredura contínua de repositórios de código, dark web e registros de infostealer, com rotação imediata ao primeiro sinal.
• Painel administrativo sob MFA e escopo mínimo por perfil, sem acesso compartilhado entre operadores e prestadores.
• Trilha de auditoria exportável — quem acessou o quê, quando, de onde e com qual conta, pronta para investigação e para o regulador.
• Detecção do acesso anômalo, não apenas do dano: autenticação fora de padrão, horário atípico e volume incomum precisam gerar alerta.
• Revogação imediata de credenciais de terceiros e prestadores ao fim do contrato, com reteste de que o acesso foi de fato encerrado.

É o mesmo roteiro de sempre: o incidente que expõe dados e destrói confiança raramente nasce do ataque mais sofisticado — nasce de uma credencial esquecida num lugar errado e de ninguém ter sido avisado a tempo.