Segundo o UOL , o material incluía credenciais de acesso e informações sobre agentes de segurança. A prefeitura atribuiu o vazamento a um servidor e negou falhas nos mecanismos de proteção do programa.

Dados expostos permitiram acessar imagens

O repositório público continha 181 logins e senhas de usuários autorizados, dados de mais de 6 mil agentes de segurança e instruções para reproduzir o sistema em computadores e celulares.

Com essas informações, a reportagem conseguiu visualizar imagens de pessoas e veículos nas ruas da capital paulista, além de câmeras instaladas em creches, hospitais e centros de atendimento a dependentes químicos. A reportagem também acessou a plataforma da Sentinelx, empresa responsável pela tecnologia, sem precisar passar pela autenticação em duas etapas.

Após ser questionada, a prefeitura reforçou essa proteção. A investigação identificou ainda interfaces que, segundo um especialista em tecnologia ouvido pelo UOL, poderiam permitir a inserção de dados sem verificar adequadamente a identidade de quem os enviava.

Os riscos vão além da exposição de imagens. As credenciais também permitiam consultar informações pessoais e registros da base de dados. Entre os pontos mais preocupantes estão:

Acesso a nomes, CPFs e placas de veículos.

Consulta a boletins de ocorrência.

Possibilidade de acompanhar a movimentação de agentes e viaturas.

Depois do alerta, os dados foram retirados do repositório público.

Especialistas questionam segurança e privacidade

Rafael Alcadipani, professor da Fundação Getulio Vargas (FGV) e especialista em segurança pública, alertou que o acesso às imagens pode revelar a movimentação de autoridades e equipamentos de segurança.

“Você pega uma estrutura que o Estado tem para enfrentar o crime, e que possivelmente pode ser utilizada pelo crime para enfrentar o Estado”, afirmou.

Pedro Saliba, pesquisador da Data Privacy Brasil, também criticou a exposição. “É uma falha gravíssima em termos de privacidade e vigilância”, disse.

Para Saliba, sistemas de monitoramento precisam respeitar princípios da Lei Geral de Proteção de Dados (LGPD), como segurança, transparência, necessidade e finalidade no tratamento das informações.

As dúvidas sobre a proteção dos dados se somam à falta de transparência em relação ao reconhecimento facial. Segundo a Prefeitura, o município não tem acesso ao código-fonte, aos modelos de inteligência artificial nem às bases utilizadas para treinar os algoritmos. A administração também informou que não são realizadas auditorias independentes desses modelos.

Os registros de abordagens mostram outro ponto de atenção. Entre novembro de 2024 e maio de 2026, 268 pessoas foram conduzidas a delegacias após alertas do reconhecimento facial e acabaram liberadas. Em 75 casos, houve inconsistências na identificação; em 181, os mandados estavam desatualizados; e, em 12, foram constatados problemas cadastrais.

Prefeitura atribui vazamento a servidor

Em nota, a Prefeitura de São Paulo afirmou que o vazamento foi provocado ilegalmente por um servidor, identificado, afastado e investigado pela Corregedoria da Guarda Civil Metropolitana. A administração negou fragilidades nos mecanismos de segurança e contestou a caracterização do episódio como falha na plataforma.

A prefeitura declarou ainda ter reforçado a proteção com senhas exclusivas, autenticação em duas etapas e validação por SMS para a criação de novas senhas. Também citou a fiscalização do Tribunal de Contas do Município e a existência de consultoria especializada em governança e privacidade.

O Smart Sampa utiliza reconhecimento facial para localizar pessoas procuradas ou desaparecidas e identificar veículos roubados ou furtados. A exposição dos dados, porém, coloca em questão os controles de acesso e a proteção das informações reunidas por uma rede de vigilância que abrange milhares de pontos da cidade.

O post Uma falha expôs acesso a mais de 58 mil câmeras do Smart Sampa apareceu primeiro em Olhar Digital .