Dados de acesso ao Smart Sampa, sistema de videomonitoramento da prefeitura de São Paulo, ficaram em um repositório público na internet por cerca de 11 meses, segundo reportagem do UOL publicada em 20 de outubro. O material alcançava mais de 58 mil câmeras.
O repositório reunia 181 logins e senhas de usuários autorizados e informações de mais de 6 mil agentes de segurança. As credenciais davam acesso a nomes, CPFs, placas de veículos, boletins de ocorrência e à movimentação de agentes e viaturas.
Com esses dados a reportagem alcançou a plataforma da Sentinelx, empresa responsável pela tecnologia, sem passar pela autenticação em duas etapas. Pelas câmeras foi possível ver ruas da cidade e equipamentos instalados em escolas, creches e hospitais.
Um especialista ouvido pelo UOL apontou interfaces que poderiam permitir inserir registros no sistema sem verificar a identidade de quem envia, entre eles alertas falsos de reconhecimento facial e de leitura de placas. A reportagem não confirmou uso desse caminho.
A Sentinelx integra o Consórcio Smart City SP, que assinou com a prefeitura em 2023 um contrato de R$ 588 milhões por cinco anos. Segundo a mesma reportagem, entre novembro de 2024 e maio de 2026, 268 pessoas foram levadas a delegacias após alerta do reconhecimento facial e liberadas depois.
A prefeitura negou falha nos mecanismos de proteção, classificou o episódio como ato criminoso e atribuiu a exposição à conduta de um servidor, afastado e sob apuração da Corregedoria da Guarda Civil Metropolitana. A administração também contestou que o repositório contivesse senhas de acesso.
Depois do questionamento da imprensa a prefeitura retirou os dados do ar e passou a exigir senha individual, autenticação em dois fatores e validação por SMS para criar nova senha. O Ministério Público de São Paulo registrou em 20 de outubro uma notícia de fato de ofício na Promotoria do Patrimônio Público, etapa preliminar que pode resultar na abertura de inquérito civil.
