O que aconteceu com o Smart Sampa

O Smart Sampa, programa de videomonitoramento da Prefeitura de São Paulo, esteve no centro de duas reportagens sobre falhas de segurança. Em outubro, a primeira apontou exposição de imagens de mais de 58 mil câmeras. Em 3 de novembro de 2026, o UOL revelou uma segunda falha, que dava acesso sem senha a cerca de 17 mil câmeras de empresas parceiras.

É importante separar os termos. As reportagens descrevem exposição de imagens e dados. A Prefeitura nega que tenha havido invasão ao sistema central do Smart Sampa e atribui o vazamento de links a um ato criminoso. Por isso este texto não trata o caso como um hackeamento confirmado.

ℹ️
Resumo rápido

Há duas falhas relatadas. A Prefeitura diz que não houve invasão do Smart Sampa. O Ministério Público de São Paulo investiga o caso anterior. A autoria e o alcance dos acessos ainda não foram esclarecidos.

A primeira falha: 58 mil câmeras

Segundo a reportagem do UOL, repercutida pela Gazeta de S. Paulo e pelo Canaltech, a vulnerabilidade estava no código-fonte de um site ligado à Sentinelx, empresa responsável pela plataforma tecnológica do Smart Sampa. A falha permitiu acessar imagens de mais de 58 mil câmeras, incluindo equipamentos instalados em escolas e unidades de saúde.

A cobertura também menciona a exposição de dados cadastrais de mais de 6 mil agentes de segurança. O Canaltech relata que a exposição teria durado um período de 11 meses. Após o caso, a Prefeitura anunciou que o reconhecimento facial passaria a ser obrigatório para acessar o sistema.

A segunda falha: 17 mil câmeras sem senha

Na segunda reportagem, o UOL relata que um ambiente associado à Sentinelx permitia localizar cadastros de empresas parceiras e os links diretos das transmissões, sem autenticação. As imagens estavam hospedadas na nuvem da empresa Monuv.

Os jornalistas acompanharam transmissões ao vivo por pelo menos cinco dias. Para comprovar o acesso, apareceram diante das câmeras nos Campos Elíseos, em São Paulo, com jornais do dia. Segundo o Canaltech, entre as imagens estavam ruas onde moram autoridades. De acordo com o InfoMoney, a brecha foi corrigida após os questionamentos às empresas envolvidas.

⚠️
Atenção

As câmeras da segunda falha são de empresas parceiras, não necessariamente da rede municipal. A Prefeitura afirma que as câmeras municipais não estavam no material.

O que a Prefeitura e as empresas dizem

  • Prefeitura: afirma que não há sinais de ataque ao sistema do Smart Sampa e que o repositório com os links nunca esteve público. Atribui o vazamento a um ato criminoso.
  • Secretaria de Segurança Urbana: diz que os links vinham de uma planilha de uma análise de segurança da Prodam, repassada ilegalmente à reportagem.
  • Monuv: afirma manter mecanismos de autenticação e uma estrutura de segurança em linha com as boas práticas do setor.
  • Sentinelx: não respondeu ao UOL, segundo o InfoMoney.

Investigações e medidas

O Ministério Público de São Paulo abriu investigação sobre o caso anterior, e a Prefeitura abriu uma apuração própria. A Prodam e o Consórcio Smart City SP contrataram uma empresa independente para análises de segurança. Os links comprometidos foram removidos e, segundo o InfoMoney, a Prefeitura anunciou apuração também sobre a segunda falha.

O que ainda não se sabe

  • Quantas pessoas, além da reportagem, acessaram as imagens.
  • Por quanto tempo as câmeras da segunda falha ficaram expostas.
  • Quem vazou a planilha citada pela Prefeitura.
  • Quais outras empresas parceiras foram afetadas além da Monuv.
  • Se houve uso criminoso das imagens. As fontes consultadas não comprovam esse uso.
  • O resultado da análise independente e da investigação do Ministério Público.

Por que o caso importa

Sistemas de videomonitoramento reúnem imagens de espaços públicos, escolas e unidades de saúde. Quando links de transmissão ficam acessíveis sem autenticação, qualquer pessoa que os encontre pode observar a rotina de quem passa pelo local.

Uma especialista da Genetec, citada pelo Canaltech, sugere autenticação em dois ou mais fatores, separação de ambientes e máscaras de privacidade que borrem rostos em acessos sem restrição. São recomendações de mercado, não medidas confirmadas pela Prefeitura.

Fontes

As informações vêm de reportagens e de notas oficiais citadas por elas. O caso está em andamento e o texto foi atualizado em 12 de novembro de 2026.