Após o vazamento de dados sigilosos do Smart Sampa, sistema de monitoramento por câmeras da cidade de São Paulo, o professor Leandro Piquet Carneiro, coordenador da Escola de Segurança Multidimensional da USP (ESEM-USP), classificou a plataforma como “vulnerável”.
Em entrevista à CNN Brasil, Piquet afirmou que o ocorrido não compromete diretamente a operação das forças policiais, mas revela uma vulnerabilidade na infraestrutura de dados da gestão municipal.
O Smart Sampa é vulnerável. Essa governança dos dados do sistema se mostrou frágil e sem os procedimentos adequados. Para qualquer sistema de dados públicos, é preciso ter um nível de segurança e de proteção maior do que o Smart Sampa foi capaz de impor.
Falha de governança x Eficiência operacional
Para o especialista, é preciso separar a eficiência do sistema de videomonitoramento dos protocolos de proteção da base de dados que o sustenta.
O vazamento desses dados não afeta o principal objetivo do Smart Sampa, seja na identificação de procurados pela Justiça ou no monitoramento de áreas urbanas.
No entanto, ele afirma que a tese de responsabilidade exclusiva de um único usuário, que foi apresentada pela prefeitura, não sustenta a gravidade da situação.
Esse caso evidencia protocolos frágeis de autenticação, uso de senhas e contra-senhas, além da falta de governança dos dados.
Principais riscos do vazamento
O risco imediato é a comercialização das informações obtidas em plataformas clandestinas para aplicação de golpes digitais, abertura de crédito irregular e fraudes financeiras.
De acordo com Leandro, s exposição desses dados também pode alimentar a engrenagem de crimes digitais, modalidade que vem crescendo no país.
Ameaças futuras também devem ser consideradas, como o risco de invasores mais capacitados usarem o acesso para manipular imagens do sistema de monitoramento ou sabotar operações de inteligência.
Existe um mercado hoje muito dinâmico ligado à fraude, usando dados de pessoas que são obtidos nessas bases diversas, e agora, o Smart Sampa contribuiu para esse acervo de ilicitude, também na área de crimes digitais.
O que é preciso mudar?
Para que o Smart Sampa não enfrente o mesmo problema no futuro, Piquet aponta a necessidade de aumentar as exigências contratuais da administração pública, além de investir mais recursos na área.
A prefeitura deve estabelecer exigências técnicas e contratuais de cibersegurança mais rigorosas com empresas fornecedoras.
O professor também menciona outros mecanismos de proteção já consolidados no setor financeiro e em bases de dados governamentais que poderiam ser replicados, como o SUS (Sistema Único de Saúde).
Os protocolos precisam de reforços, como implementação de verificação multifator, gestão de privilégios e auditorias constantes sobre os acessos operacionais ao sistema.
O uso de inteligência artificial e a análise de dados continuam sendo essenciais para combater o crime organizado e a criminalidade urbana nos dias de hoje, e casos de vazamento de dados não anulam essa necessidade.
A crise do Smart Sampa não é uma crise dos sistemas de tecnologia aplicada à segurança. É uma crise de gestão de dados, segurança de dados.
Entenda o vazamento
Em reportagem publicada nesta terça-feira (20), o UOL informou que dados sigilosos do sistema ficaram expostos na internet por cerca de 11 meses.
Segundo o veículo, o material permitia o acesso indevido a imagens de mais de 58 mil câmeras conectadas ao Smart Sampa, incluindo equipamentos instalados em ruas, escolas, creches e hospitais.
O repositório continha 181 logins e senhas de usuários autorizados, dados de mais de 6 mil agentes de segurança e instruções para reproduzir o sistema em computadores ou celulares.
Em nota, a prefeitura classificou o episódio como um ato criminoso praticado por um dos mais de 7.500 agentes de segurança. A administração municipal afirmou que não houve uso indevido da plataforma e contestou a caracterização do caso como uma falha de segurança.
Segundo a administração, o repositório disponibilizado ilegalmente na internet foi retirado do ar pela Secretaria Municipal de Segurança Urbana, e o material não continha senhas de acesso.
Também informou que o Smart Sampa é fiscalizado pelo TCM (Tribunal de Contas do Município) e conta com consultoria especializada em governança e privacidade de dados.
As obrigações contratuais do programa incluem auditorias periódicas, testes de segurança, monitoramento, apresentação de relatórios técnicos e correção de eventuais vulnerabilidades.
A CTIS (Coordenadoria de Tecnologia, Integração e Segurança), vinculada à Secretaria Municipal de Segurança Urbana, é responsável pela supervisão e fiscalização da plataforma.
A prefeitura também afirmou que as câmeras instaladas em equipamentos públicos abrangem áreas de circulação comum, sem incluir consultórios, salas de atendimento ou ambientes assistenciais.
Segundo a nota, a captação de uma imagem não significa que a pessoa tenha sido cadastrada ou identificada pelo sistema.
A ANPD (Agência Nacional de Proteção de Dados) informou nesta quarta-feira (21) que acompanha, “no âmbito de suas competências legais”, o incidente. A agência informou que, até o momento, não foi procurada pela prefeitura de São Paulo.
Entre as atribuições da agência estão fiscalizar, exigir medidas de mitigação e aplicar sanções administrativas aos órgãos públicos responsáveis em casos de invasão de sistema público de dados.