Informações de acesso ao Smart Sampa, sistema de videomonitoramento da Prefeitura de São Paulo, ficaram disponíveis na internet por cerca de 11 meses e permitiram visualizar imagens de mais de 58 mil câmeras, segundo reportagem do UOL publicada em 20 de outubro de 2026. O caso importa porque a rede alcança espaços como escolas, creches e unidades de saúde: não se trata apenas de proteger senhas, mas de limitar quem pode observar rotinas e locais sensíveis. A prefeitura atribui a divulgação a um agente com acesso autorizado e nega falha na plataforma; o Ministério Público de São Paulo abriu um procedimento para analisar o episódio, informou a Folha.
O que se sabe
- O UOL relatou que dados sigilosos do sistema ficaram em um repositório público por aproximadamente 11 meses. Segundo o Idec, entre as informações expostas havia 181 logins e senhas de usuários autorizados, além de dados de mais de 6 mil agentes de segurança.
- A reportagem do UOL disse ter usado credenciais expostas para entrar no sistema e visualizar imagens de câmeras. O veículo relatou registros de locais como creches, escolas e unidades de saúde. Isso documenta o acesso feito pela reportagem, mas não esclarece, por si só, se outras pessoas exploraram as credenciais ou por quanto tempo.
- A Prefeitura de São Paulo confirmou o vazamento e afirmou que um servidor foi identificado, afastado e passou a ser investigado pela Corregedoria da Guarda Civil Metropolitana. A gestão disse ainda que o repositório foi retirado do ar e que reforçou controles, incluindo senhas exclusivas e autenticação em dois fatores, segundo o Convergência Digital.
- A versão municipal atribui o episódio à divulgação ilegal por alguém que tinha acesso autorizado e sustenta que não houve fragilidade nos mecanismos da plataforma. Já a reportagem do UOL descreveu acesso às câmeras com dados que estavam expostos. São afirmações de fontes diferentes; a apuração pública deverá esclarecer como se relacionam.
- O Ministério Público de São Paulo abriu um procedimento para analisar indícios relacionados ao caso, informou a Folha. Segundo o jornal, trata-se de uma Notícia de Fato, ainda não de uma investigação formal; um promotor deverá avaliar se cabe instaurar inquérito civil.
Vazamento de credenciais também é falha de controle
Atribuir a exposição a um agente não encerra a questão técnica. Credenciais são parte da segurança de qualquer plataforma: precisam ser guardadas, ter acesso restrito e poder ser revogadas rapidamente. Se logins e senhas permanecem acessíveis em um repositório público, a organização precisa explicar como esse material foi parar ali, quais alertas existiam e por que a exposição persistiu por meses. A responsabilidade individual, se confirmada, e a avaliação dos controles institucionais são frentes distintas, não versões que se anulam.
O número de câmeras também não equivale automaticamente ao de pessoas afetadas, nem permite concluir que todas as imagens foram copiadas. Mas, quando credenciais abrem acesso a uma rede ampla, o risco potencial inclui acompanhar movimentos em locais onde há crianças, pacientes e trabalhadores. A dimensão concreta depende de registros de acesso, auditoria técnica e análise dos dados efetivamente consultados. Até que essas informações sejam apresentadas, afirmar que houve exploração criminosa — ou que não houve uso indevido — vai além do que está comprovado publicamente.
O que falta saber
Ainda não está claro quando a prefeitura identificou a exposição, que medidas tomou antes de ser procurada pela imprensa e se houve acessos não autorizados além do teste relatado pelo UOL. Também faltam detalhes sobre quais câmeras e dados ficaram acessíveis, se as senhas expostas foram revogadas e se uma auditoria independente verificará a arquitetura do sistema. A prefeitura informou ter reforçado a autenticação, mas os materiais disponíveis não detalham quando as novas exigências passaram a valer nem como sua eficácia será verificada.
A análise do MP-SP poderá esclarecer responsabilidades e lacunas, mas será importante que a administração publique informações verificáveis sem ampliar a exposição de dados sensíveis. Opinião: em sistemas de vigilância, segurança não pode depender apenas da conduta correta de cada usuário; precisa ser demonstrada por controles, registros e prestação de contas capazes de reduzir o acesso indevido e revelar quando ele acontece.