Las credenciales de acceso a la plataforma del Smart Sampa, el mayor programa de vigilancia con reconocimiento facial de Brasil, estuvieron expuestas en internet desde 2024, según el investigador en seguridad de la información Davi Mikael, entrevistado por Folha de S.Paulo. El hallazgo indica que las fallas del sistema de la alcaldía de São Paulo son más antiguas y profundas de lo que se sabía.
El caso salió a la luz la semana pasada, cuando una investigación de UOL reveló que 181 usuarios y contraseñas del programa estuvieron expuestos durante 11 meses, lo que permitió el acceso indebido a las imágenes de más de 58 mil cámaras repartidas por la ciudad. Mikael, que tiene 13 años de experiencia en seguridad digital y es conocido como Penegui, comenzó a investigar el sistema después de esa publicación. En un video publicado en sus redes el martes (27), afirma haber encontrado 15 credenciales de acceso filtradas desde 2024. Folha recibió parte de esos datos e informa que apuntan a filtraciones al menos desde octubre de 2024, apenas tres meses después del lanzamiento oficial del programa, en julio de ese año.
Para entender el tamaño del problema, piensa en las credenciales como la llave maestra de un edificio entero dejada debajo del felpudo de la entrada. Quien la encuentra no necesita forzar nada: basta abrir la puerta y recorrer los pasillos. En el caso del Smart Sampa, los pasillos son las imágenes y los datos biométricos de millones de paulistanos captados sin aviso por las cámaras. Según Folha, Mikael y otras fuentes señalan que los problemas iban más allá de las contraseñas, con indicios de otras vulnerabilidades, incluido un repositorio de datos abierto que permitía acceder a las imágenes de las cámaras.
La respuesta de la alcaldía y los intereses en juego
Consultada por Folha sobre los indicios de filtraciones desde 2024, la alcaldía de São Paulo no respondió. La semana anterior, la gestión del alcalde Ricardo Nunes afirmó en un comunicado que "no hay ninguna fragilidad en los mecanismos de seguridad de la plataforma" y atribuyó el episodio a una filtración ilegal de datos por parte de un agente de la Guardia Civil Metropolitana, que fue apartado del cargo y es investigado internamente. La alcaldía también dice que el repositorio expuesto fue retirado del aire y que adoptó contraseñas exclusivas y autenticación en dos factores, según g1.
Conviene mirar los incentivos de cada parte. El Smart Sampa es operado por un consorcio que incluye a la empresa Sentinelx, cuyo negocio es precisamente vender la plataforma que identifica personas, gestiona incidentes y despacha patrullas. Para la empresa, admitir una falla estructural amenaza contratos. Para la alcaldía, el programa es una vidriera política de resultados en seguridad, y reconocer un problema de diseño sale caro. Culpabilizar a un solo funcionario es la salida más barata para ambos. Especialistas escuchados por g1 cuestionan esa versión: el abogado Luiz Augusto D'Urso afirma que el caso configura una violación de la Ley General de Protección de Datos (LGPD) y que la responsabilidad es de la alcaldía, dueña del sistema. Pablo Nunes, del Centro de Estudios de Seguridad y Ciudadanía, y Fernanda Rodrigues, del instituto de investigación IRIS, advierten que un sistema de este tamaño, accesible con tanta facilidad, pone en riesgo la rutina de millones de personas que nunca consintieron ser monitoreadas.
Lo que aún no sabemos
Los hallazgos de Mikael fueron reportados por un solo medio y aún no han pasado por una verificación independiente. No sabemos si las credenciales expuestas desde 2024 fueron de hecho utilizadas por terceros, cuántas personas accedieron a las imágenes en ese período, ni si la Autoridad Nacional de Protección de Datos (ANPD) abrirá una investigación. La alcaldía tampoco explicó por qué la filtración habría comenzado meses antes del caso revelado por UOL.
En la práctica, no hay contraseña que el ciudadano pueda cambiar, porque quienes estamos del otro lado de las cámaras somos nosotros. Lo que se puede hacer es seguir de cerca si la ANPD y el Ministerio Público exigen una auditoría independiente del sistema y presionar a la alcaldía para que publique sus informes de seguridad. Mientras eso no ocurre, la promesa de que más cámaras significan más seguridad merece ser recibida con una buena dosis de escepticismo.