Uma falha de segurança deixou expostas por cerca de 11 meses informações que permitiam o acesso indevido a mais de 58 mil câmeras do Smart Sampa, o sistema de videomonitoramento da Prefeitura de São Paulo descrito como o maior da América Latina. A brecha foi revelada nesta segunda-feira (20) por uma investigação da coluna de Artur Rodrigues, no UOL, que alertou a prefeitura. Os dados foram retirados do ar depois do aviso.
As informações estavam em um repositório público na internet, algo parecido com deixar a chave mestra de um prédio pendurada na porta da frente, junto com a planta de todos os andares. Havia 181 logins e senhas de usuários autorizados, dados de mais de 6 mil agentes de segurança e instruções técnicas que permitiam reproduzir o funcionamento da plataforma em qualquer computador ou celular, segundo o UOL.
Para testar a extensão da exposição, a reportagem usou um comando de inteligência artificial para montar, a partir do material vazado, uma interface que espelhava o sistema. Com ela, foi possível navegar pelo mapa da cidade, ver rostos de pedestres e placas de veículos e até gravar os próprios acenos diante de oito câmeras de totens privados conveniados ao programa nos Campos Elíseos, no centro. O acesso alcançava ainda pontos sensíveis, como creches, hospitais e unidades de atendimento a dependentes químicos.
Procurada, a Prefeitura de São Paulo afirmou que houve "um vazamento ilegal de dados por parte de um servidor", que foi identificado, afastado e é investigado pela Corregedoria da Guarda Civil Metropolitana. A administração negou que exista "fragilidade nos mecanismos de segurança da plataforma" e não explicou quais controles impediriam um novo vazamento.
Risco que vai além da privacidade
Para o professor Rafael Alcadipani, da Fundação Getulio Vargas (FGV), especialista em segurança pública, o problema é de segurança nacional. Ele lembrou ao UOL que Israel usou imagens de câmeras de Teerã para mapear a rotina dos seguranças do líder iraniano Ali Khamenei, assassinado em fevereiro.
"Consigo saber onde as autoridades estão, onde as viaturas estão, onde os equipamentos de defesa da cidade estão se deslocando. É gravíssimo. Você pega uma estrutura que o Estado tem para enfrentar o crime, e que possivelmente pode ser utilizada pelo crime para enfrentar o Estado."
Vitrine política e o que ainda não sabemos
O episódio atinge a principal vitrine da gestão de Ricardo Nunes (MDB), que instalou um painel de rua apelidado de "prisômetro" para divulgar as mais de 3 mil prisões de foragidos feitas com ajuda das câmeras. O sistema usa reconhecimento facial e leitura de placas para alertar, por aplicativo, os policiais mais próximos de cada flagrante. Crescer rápido rende capital político: o modelo inspirou a promessa do candidato à Presidência Flávio Bolsonaro (PL) de criar o Smart Brasil. No debate da Band, ele falou em mais de 1 milhão de câmeras, segundo o Metrópoles; o UOL registra a promessa como de 2 milhões. A campanha não detalhou como financiaria a expansão nem quais bases de dados seriam integradas.
Há incentivos claros em jogo. Para a prefeitura, cada câmera nova vira número de prisão no painel e argumento de campanha. Para os parceiros privados, que cedem imagens de seus equipamentos, a integração amplia a rede sem custo direto para o município. O que ninguém explica é quanto do orçamento vai para proteger o sistema, em vez de expandi-lo. Também não está claro quem acessou os dados durante os 11 meses de exposição, se as 181 senhas foram trocadas, nem por que a prefeitura contabilizava cerca de 50 mil câmeras em abril, segundo levantamento do Metrópoles, enquanto o UOL conseguiu acessar 58 mil.
Na prática, vale acompanhar três coisas: o resultado da investigação da Corregedoria da GCM, uma eventual apuração da ANPD, a agência brasileira de proteção de dados, já que rostos e placas são dados pessoais, e se o plano Smart Brasil incluirá orçamento e regras específicas de segurança. Enquanto isso, o cidadão paulistano não pode fazer muito além de cobrar: é a prefeitura, e não o usuário, quem segura a chave dessa porta.