O Consórcio Smart City SP, contratado pela gestão do prefeito Ricardo Nunes (MDB) para implantar e operar a estrutura tecnológica de 58 mil câmeras de monitoramento, pode ser multado em R$ 58,8 milhões por uma falha de segurança no sistema.
Isso porque a penalidade prevista em contrato pode chegar a 10% do valor total –de R$ 588 milhões– caso uma apuração conclua que as falhas de segurança reveladas pelo UOL configuram descumprimento de contrato.
O documento assinado entre o município e o consórcio atribui à contratada a responsabilidade pela segurança dos sistemas e da infraestrutura —casos de vandalismo contra os equipamentos são relatados pelas empresas responsáveis com o objetivo de tentar suspender multas e pedir reajuste no contrato.
Segundo o documento, o descumprimento da política de segurança da informação e da segurança cibernética é considerado a falta mais grave da operação, classificada como "grau 10".
A aplicação depende, entretanto, da identificação da falha como uma responsabilidade do Consórcio Smart City SP. As empresas têm direito de se defender administrativamente. O montante também dependeria da base contratual adotada, considerando eventuais alterações de valor.
Em nota à Folha , a prefeitura afirma que "não houve nenhuma falha dos mecanismos de segurança da plataforma".
"O que houve foi um vazamento ilegal de dados por parte de um servidor da GCM (Guarda Civil Metropolitana) entre os mais de 7.500 agentes de segurança. Ele já foi identificado, afastado e sua conduta está sendo investigada pela Corregedoria da GCM. Nenhum uso indevido da plataforma foi registrado", disse.
A Folha procurou o Consórcio Smart City SP por mensagens, ligações e email, mas não obteve retorno. A reportagem também ligou e enviou mensagens para o proprietário de uma das empresas do consórcio, mas não foi atendida.
Reportagem publicada pelo UOL nesta terça-feira (20) revelou que informações restritas do programa ficaram disponíveis em um repositório público na internet durante cerca de 11 meses. Entre elas estavam credenciais e dados de agentes de segurança.
O portal relatou ter conseguido visualizar imagens da plataforma, que integra mais de 58 mil câmeras. Para comprovar o acesso em tempo real, o colunista Artur Rodrigues gravou e recuperou imagens diante de oito equipamentos ligados ao programa, na região central.
A plataforma só passou a exigir autenticação em dois fatores após os questionamentos feitos pela reportagem do UOL.
O Ministério Público de São Paulo registrou uma notícia de fato para analisar os indícios apresentados pela reportagem. Segundo a instituição, essa etapa ainda não corresponde à instauração de inquérito civil. Caberá ao promotor responsável avaliar se há elementos para abrir a investigação formal.
A eventual participação de um servidor e o cumprimento das obrigações da contratada são questões que precisam ser examinadas separadamente. Identificar quem divulgou as informações não esclarece, por si só, se os controles exigidos estavam implantados nem se funcionaram para restringir o acesso de terceiros.