Durante aproximadamente onze meses, as credenciais de acesso ao Smart Sampa ficaram disponíveis num repositório público na internet. Qualquer pessoa que soubesse onde procurar podia assistir, ao vivo, às imagens de mais de 58 mil câmeras da cidade de São Paulo.

Esse vazamento de credenciais foi revelado por reportagem do UOL publicada em 20 de outubro, que foi além de descrever: um repórter foi até uma rua dos Campos Elíseos e acenou para quatro câmeras, confirmando que o acesso funcionava.

O que estava exposto

Segundo o Idec, que acompanha o projeto desde 2022, o material incluía:

• 181 logins e senhas de usuários autorizados do sistema
• Dados de mais de 6 mil agentes de segurança
• Credenciais que permitiam ver imagens em tempo real
• Manuais com instruções para baixar as transmissões ao vivo

As câmeras alcançadas não eram só de rua. Incluíam equipamentos instalados em escolas, creches, UPAs, hospitais e estabelecimentos comerciais, com nitidez suficiente para reconhecer rostos de pedestres.

A resposta da Prefeitura

A Prefeitura de São Paulo confirmou o vazamento, mas negou que tenha havido falha de segurança na plataforma. Atribuiu o episódio à conduta ilegal de um servidor da Guarda Civil Metropolitana, um entre os mais de 7.500 agentes com credencial ativa. Ele foi identificado, afastado e responde a processo na Corregedoria.

O repositório irregular saiu do ar e a Prefeitura informou ter adotado novas barreiras, entre elas autenticação em dois fatores. O Ministério Público de São Paulo abriu procedimento para apurar o caso.

Esse enquadramento — “não foi falha nossa, foi conduta de uma pessoa” — é o mesmo que vimos no caso do BRBJUS, quando o TJ-BA apontou que o incidente ocorreu em ambiente do banco. E leva à mesma conclusão: a delimitação de responsabilidade pode estar correta e, ainda assim, o dano acontece inteiro.

Ninguém invadiu nada

Esse é o ponto que separa este caso de quase tudo que se lê sobre segurança.

Não houve exploração de vulnerabilidade. Não houve senha quebrada por força bruta. Não houve phishing. As credenciais eram legítimas, pertenciam a usuários autorizados, e foram usadas exatamente como foram projetadas para funcionar.

O que falhou foi o que acontece com a credencial depois que ela é entregue.

Por que esse é o risco mais desconfortável

Quase todo investimento em segurança é desenhado para impedir que alguém de fora entre. Firewall, antivírus, filtro de e-mail, bloqueio de porta. Tudo isso pressupõe uma fronteira entre dentro e fora.

Acesso interno indevido não cruza fronteira nenhuma. Ele já está dentro, com crachá e permissão.

E há um agravante que vale encarar com honestidade: nenhum desses controles falha de forma visível. Não há alerta, não há bloqueio, não há log de erro. Do ponto de vista do sistema, tudo funcionou perfeitamente durante onze meses.

O erro de leitura mais comum

A reação natural é tratar isso como problema de pessoa: foi um servidor mal-intencionado, afastem o servidor, caso encerrado.

Mas repare no número: 7.500 agentes com credencial ativa. Com essa escala, a pergunta deixa de ser “quem faria isso” e passa a ser “o que acontece quando alguém fizer”.

E mais: nem todo vazamento de credencial é má-fé. Credencial vai parar em lugar errado por pressa, por conveniência, por falta de alternativa — alguém colou uma senha num chat para resolver um chamado às onze da noite, outra pessoa subiu um arquivo de configuração para um repositório sem perceber o que havia dentro.

A diferença entre descuido e má-fé importa para o RH e para a Corregedoria. Para o atacante que encontra a credencial, não muda absolutamente nada.

Onde o vazamento de credenciais costuma começar

A pergunta não é retórica. Vale fazer de verdade, porque a resposta raramente é “só no cofre de senhas”.

Nenhum desses lugares é mal-intencionado. Todos são consequência de alguém tentando trabalhar.

E é por isso que esse risco atravessa empresa de qualquer porte: não depende de atacante sofisticado, depende de rotina.

Onze meses

Esse é o número que mais incomoda do caso todo.

As credenciais ficaram expostas por quase um ano. Durante esse período, o acesso funcionou, as imagens foram vistas, e nada no sistema indicou que algo estava errado — porque, tecnicamente, não estava. Eram usuários válidos fazendo o que usuários válidos fazem.

O vazamento não foi descoberto por monitoramento. Foi descoberto por jornalismo.

O que teria encurtado o vazamento de credenciais

Duas coisas, e nenhuma delas é exótica.

Vigilância sobre onde a credencial aparece. Existe monitoramento que procura credenciais da sua organização em repositórios públicos, fóruns e vazamentos. Não impede que vaze, mas reduz onze meses para dias.

Detecção por comportamento, não por regra. Um usuário autorizado acessando 58 mil câmeras, ou acessando de madrugada, ou acessando de um endereço que nunca usou, é anomalia detectável — desde que alguém tenha definido o que é normal e esteja olhando para o desvio.

É a mesma lógica dos dois casos anteriores desta série. Nas geladeiras dos supermercados franceses, foram seis horas até alguém perceber. Aqui, onze meses. Em clientes que contam com o MDR da Strati, a contenção de incidentes de porte médio costuma acontecer em menos de 30 a 40 minutos.

A diferença entre esses números não é tecnologia. É alguém de plantão olhando para o que foge do padrão.

O que fazer, na ordem

Organizar o acesso

1. Dê um lugar oficial para as credenciais. Enquanto não existir cofre de senhas corporativo, elas vão continuar em planilha e em chat — porque as pessoas precisam trabalhar. Combater o sintoma sem oferecer alternativa não funciona.

2. Exija segundo fator onde dói. Credencial vazada com MFA ativo vira credencial inútil. A Prefeitura adotou dois fatores depois do incidente; é o controle que teria transformado o vazamento em nada.

3. Elimine conta compartilhada. Se três pessoas usam o mesmo login, não há como saber quem fez o quê — e não há como revogar o acesso de uma sem derrubar as três. Usuário nominal é pré-requisito de qualquer investigação.

Vigiar o acesso

4. Revise acesso quando a pessoa muda de função, não só quando sai. Promoção e transferência acumulam permissões. Em pouco tempo alguém tem acesso a três áreas e trabalha em uma.

5. Varra os lugares onde credencial costuma vazar. Repositórios, drives compartilhados, históricos de chat, scripts de automação. É trabalho chato e revelador.

6. Monitore comportamento. Defina o que é uso normal de cada sistema crítico e configure alerta para o desvio: volume fora do padrão, horário atípico, origem desconhecida, acesso a dado que aquele usuário nunca tocou.

Contrato e processo disciplinar não são controle

Vale repetir o que o caso do BRBJUS já tinha mostrado.

Afastar o servidor e abrir processo na Corregedoria é a resposta correta do ponto de vista administrativo. Não devolve as imagens que foram vistas durante onze meses, não desfaz a exposição de dados de 6 mil agentes, e não impede que aconteça de novo com outra pessoa entre as 7.500.

Política define o que é proibido. Controle técnico define o que é possível.

O perímetro não é mais onde você pensa

Esta é a terceira vez em três semanas que um caso grande tem a mesma raiz: acesso que existia, era legítimo, e ninguém estava acompanhando.

No BRBJUS, credencial gerida por um parceiro. Nos supermercados franceses, equipamento conectado sem dono. Aqui, usuário autorizado com credencial exposta.

Muda o vetor. Não muda o problema.

E em nenhum dos três a falha foi de ferramenta. Foi de inventário, de rotina e de alguém olhando.

É por isso que, na Strati, todo contrato começa por um assessment. Não para entregar uma lista de problemas — para saber o que existe antes de assumir a responsabilidade de proteger. Quem tem acesso, a quê, desde quando e por quê.

Você sabe responder essas quatro perguntas sobre a sua empresa hoje? É por aí que começamos. Fale com a Strati e comece pelo assessment.