Prefeitura de SP detalha falha no Smart Sampa e reforça senhas
Em resposta à ANPD, gestão diz que 178 usuários tinham o mesmo padrão de senha e anuncia autenticação multifator; links de 17 mil câmeras também são tema de investigação.
Resumo em 30 segundos
A Prefeitura de São Paulo informou à ANPD que 178 usuários do Smart Sampa tinham o mesmo padrão de senha, mas ressaltou que isso não indica quantas contas foram acessadas indevidamente. A gestão anunciou novas exigências de segurança e também afirmou investigar o envio à imprensa de uma planilha com links de câmeras de empresas parceiras.
A Prefeitura de São Paulo informou à Autoridade Nacional de Proteção de Dados (ANPD) que 178 usuários do Smart Sampa tinham o mesmo padrão de senha. Em resposta à fiscalização, a administração reconheceu um acesso não autorizado ao sistema de videomonitoramento e afirmou ter reforçado os controles de segurança. O número corresponde a 2,73% dos 6.529 usuários identificados em um repositório externo, mas não representa a quantidade de contas acessadas indevidamente.
A prefeitura não especificou qual era o padrão de senha. Segundo os registros técnicos apresentados pelo Consórcio Smart City SP, operador do programa, uma conta foi diretamente relacionada ao episódio investigado. A gestão afirma que não encontrou sinais de quebra de senhas ou de tentativas automatizadas em massa e diz que foram usadas credenciais válidas.
De acordo com a administração, a conta relacionada ao caso permitia visualizar imagens, mas não tinha acesso administrativo irrestrito nem autorização para alterar as bases oficiais integradas ao programa. A prefeitura atribui a origem do incidente à publicação de informações associadas a um guarda municipal que tinha acesso legítimo à plataforma. O servidor foi afastado e é investigado pela Corregedoria da Guarda Civil Metropolitana e pela Polícia Civil.
Entre as mudanças anunciadas estão a remoção de funções administrativas que permitiam cadastrar senhas fora dos padrões definidos e a exigência de troca de senha para os usuários. As novas credenciais devem ter pelo menos 14 caracteres, com letras maiúsculas e minúsculas, números e símbolos. A autenticação multifator, que acrescenta uma etapa de verificação além da senha, passou a ser obrigatória para todos os usuários. O acesso também exige reconhecimento facial.
A resposta à ANPD, em ofício datado de 29 de outubro, descreve a sequência de comunicação adotada pela prefeitura. A administração diz ter recebido, em 16 de outubro, um aviso preliminar sobre a possível publicação de uma reportagem e confirmado o incidente em reunião com o operador no dia 18. A Secretaria Municipal de Segurança Urbana preparava uma comunicação separada à agência para 22 de outubro, mas recebeu naquela manhã uma intimação com prazo de cinco dias úteis e decidiu reunir as informações na resposta formal.
A prefeitura também informou que não conseguiu determinar quando começou a exposição das informações. Há registros de movimentação desde outubro de 2025, mas, segundo a gestão, eles não permitem estabelecer o início da disponibilização pública. A administração sustenta que o episódio envolveu vazamento de dados e afirma que o programa continua operando regularmente, sem sinais de ataque externo.
Nesta terça-feira, a prefeitura também se pronunciou sobre a exposição de links de imagens de cerca de 17 mil câmeras de empresas parceiras integradas ao Smart Sampa. A gestão afirmou que os endereços estavam em uma planilha confidencial produzida pela Companhia de Processamento de Dados do Município de São Paulo (Prodam) em uma análise de segurança iniciada em 20 de outubro. Disse que o arquivo foi encaminhado ilegalmente à imprensa e que investigará o envio.
A prefeitura declarou que mais de 20 mil câmeras próprias do município não estavam na planilha. Também afirmou que as empresas parceiras mantêm a responsabilidade pela operação e pela segurança de seus equipamentos e sistemas. As câmeras privadas são integradas ao programa, mas essa conexão não transfere à prefeitura o controle da infraestrutura tecnológica de cada empresa.
