A Prefeitura de São Paulo anunciou que servidores autorizados a acessar o Smart Sampa passarão a utilizar reconhecimento facial para entrar na plataforma. A medida foi divulgada após a exposição de credenciais de acesso ao sistema na internet.
O Smart Sampa reúne dezenas de milhares de câmeras instaladas na cidade, incluindo equipamentos em ruas, escolas, creches, unidades de saúde e outros locais.
Segundo as informações divulgadas, 181 logins e senhas e outros dados ligados à plataforma ficaram disponíveis em um repositório público por cerca de 11 meses. As credenciais permitiam o acesso a imagens de mais de 58 mil câmeras conectadas ao sistema.
A Prefeitura reconheceu a divulgação indevida, mas afirmou que não houve invasão externa. De acordo com a administração municipal, um servidor com acesso autorizado teria divulgado as credenciais ilegalmente. Ele foi afastado e é investigado.
Além da autenticação em dois fatores, anunciada anteriormente, o prefeito Ricardo Nunes informou, em 27 de outubro, que os agentes autorizados deverão utilizar reconhecimento facial para acessar a plataforma. A exigência também deverá alcançar promotores do Ministério Público que receberam acesso por acordo de cooperação.
Identificação e autenticação são procedimentos diferentes
O reconhecimento facial usado em câmeras de rua tem uma finalidade diferente daquela prevista para os operadores do sistema.
Quando o sistema analisa imagens de uma multidão para procurar uma pessoa, realiza uma operação de identificação. Nesse caso, compara um rosto com uma base ampla de imagens para responder quem é aquela pessoa.
No acesso à plataforma, a proposta é de verificação ou autenticação facial. O servidor informa sua identidade e apresenta o rosto para confirmar que é o usuário autorizado.
A diferença é relevante: em vez de buscar uma pessoa entre milhares ou milhões de imagens, o sistema compara o rosto apresentado com a referência biométrica de um usuário específico.
Biometria pode reforçar o acesso, mas exige proteção
A adoção da biometria pode criar uma camada adicional de segurança. Uma senha obtida ou compartilhada, por si só, deixaria de bastar para entrar no sistema.
A medida também pode ampliar a rastreabilidade dos acessos, permitindo identificar quem entrou, quando entrou e qual atividade realizou. Em uma plataforma que monitora milhares de câmeras, esse controle é central para a apuração de eventuais irregularidades.
Mas o uso do rosto como fator de autenticação impõe uma exigência adicional: proteger os dados biométricos dos próprios usuários.
Senhas podem ser alteradas após um vazamento. Dados biométricos, porém, têm características permanentes. Por essa razão, a Lei Geral de Proteção de Dados classifica os dados biométricos vinculados a uma pessoa como dados pessoais sensíveis.
A discussão, portanto, não se limita à adoção de reconhecimento facial. Também envolve a forma de coleta, armazenamento, acesso, prazo de retenção e eventual uso desses dados para outras finalidades.
Perguntas sobre a arquitetura do sistema
O anúncio da medida não esclarece, por si só, como a biometria será tratada tecnicamente.
Em alguns sistemas, o rosto é convertido em uma representação matemática, conhecida como template biométrico, usada para comparação. Essa informação pode permanecer no dispositivo ou ser processada em servidores externos. Há ainda soluções que usam fotografias, selfies e mecanismos de prova de vida.
Entre os pontos que precisam ser esclarecidos estão:
- como a biometria será coletada;
- onde os dados serão armazenados;
- quem terá acesso a eles;
- por quanto tempo serão mantidos;
- se haverá criptografia;
- se será exigida prova de vida;
- se o reconhecimento facial será combinado com outros fatores de autenticação;
- quais registros serão mantidos sobre consultas e acessos às câmeras.
Exposição de credenciais segue sob apuração
O episódio também levantou dúvidas sobre os controles internos existentes antes da adoção da biometria.
Se as credenciais foram expostas por um usuário autorizado, como afirma a Prefeitura, ainda será necessário verificar se havia mecanismos para detectar atividades fora do padrão, restringir acessos e revisar periodicamente quem permanecia autorizado a utilizar a plataforma.
A Autoridade Nacional de Proteção de Dados recebeu pedido de organizações da sociedade civil para analisar o caso e solicitou esclarecimentos à Prefeitura de São Paulo. Os questionamentos envolvem o incidente de segurança, a proteção dos titulares dos dados e as providências adotadas pelo Município.
O caso também chegou ao Judiciário. Uma perícia independente deverá avaliar protocolos de segurança da informação, criptografia, tratamento de dados, bancos usados pelo reconhecimento facial e índices de falsos positivos e negativos.
Em 28 de outubro, o Conselho Nacional dos Direitos Humanos pediu a suspensão do Smart Sampa, sob o argumento de que as falhas reveladas exigem medidas adicionais de proteção e investigação.
O pedido não representa uma decisão judicial que tenha determinado o desligamento do sistema. O programa segue no centro de discussões institucionais e jurídicas.
Novas informações ampliam o debate
Em 29 de outubro, reportagem da Folha de S.Paulo informou, com base em análise de um especialista em segurança digital, que credenciais associadas ao Smart Sampa já teriam sido encontradas expostas desde outubro de 2024, poucos meses após a inauguração do programa.
Parte das informações teria sido obtida por meio de um infostealer, programa malicioso criado para roubar credenciais armazenadas em computadores.
A Prefeitura ainda não havia respondido às novas evidências apresentadas na reportagem até sua publicação.
Caso os dados sejam confirmados nas apurações, o debate poderá ir além de um episódio isolado de exposição de senhas e envolver a avaliação do modelo de segurança adotado para a plataforma.
Tecnologia e controle precisam caminhar juntos
A Prefeitura afirma que o Smart Sampa utiliza reconhecimento facial para localizar foragidos da Justiça e pessoas desaparecidas, além de integrar dezenas de milhares de câmeras públicas e privadas.
A discussão não se limita ao uso da tecnologia. O ponto central é a necessidade de controles proporcionais à capacidade de monitoramento e à sensibilidade das informações envolvidas.
O reconhecimento facial pode dificultar o uso indevido de credenciais roubadas e reforçar a autenticação de operadores. Mas sua adoção só será efetiva se estiver associada a controle de acessos, auditoria, transparência, treinamento, proteção de dados e capacidade de detectar falhas rapidamente.
O caso do Smart Sampa amplia uma questão já presente no cotidiano: o rosto vem sendo usado como credencial em aplicativos bancários, provas de vida, abertura de contas, controle de acesso, aeroportos, estádios e outros serviços.
A biometria pode reduzir fraudes e facilitar acessos. Ao mesmo tempo, exige cuidados específicos, porque há uma diferença entre alguém ver um rosto e possuir dados capazes de identificá-lo digitalmente.
No caso do Smart Sampa, a nova exigência coloca uma camada adicional de proteção no acesso à plataforma. A eficácia da medida, porém, dependerá de como esses dados biométricos serão protegidos e de quais outros controles acompanharão sua implantação.