Especialista da UMC alerta sobre riscos após caso Smart Sampa

O vazamento de informações relacionadas ao Smart Sampa, sistema de monitoramento por câmeras da cidade de São Paulo, acendeu um alerta sobre a importância da cibersegurança e da adoção de mecanismos capazes de impedir acessos não autorizados a imagens e dados pessoais.

O episódio revelou os riscos provocados por falhas no controle de acesso a plataformas que concentram grandes volumes de informações. Para Flávio Francisco da Silva, especialista em cibersegurança e professor do curso de Análise e Desenvolvimento de Sistemas da Universidade de Mogi das Cruzes (UMC), sistemas desse porte precisam ser desenvolvidos considerando inclusive a possibilidade de erros humanos e ações mal-intencionadas.

“Um bom desenho de segurança parte justamente do princípio de que alguém, em algum momento, vai errar ou agir de má-fé”, explica o especialista.

Uma falha relacionada ao Programa Smart Sampa possibilitou o acesso indevido às imagens de câmeras da capital paulista durante vários meses. O caso, divulgado pela imprensa nesta semana, levantou discussões sobre a proteção de sistemas de monitoramento e os riscos da exposição de informações capazes de revelar a rotina de milhões de pessoas.

Segundo Flávio, a proteção dessas plataformas depende da combinação entre tecnologia, processos de segurança e capacitação dos usuários. Autenticação em duas etapas, criptografia, controle de permissões e monitoramento dos acessos estão entre as medidas capazes de diminuir a exposição dos dados.

“A proteção não deve depender exclusivamente da conduta individual dos usuários, mas também de mecanismos capazes de limitar os danos de eventuais falhas e detectar comportamentos suspeitos”, afirma o engenheiro de software.

Segurança das imagens e dados de condomínios

O acesso indevido a câmeras de segurança pode revelar informações sobre a rotina de moradores, funcionários e visitantes. Registros de entradas e saídas, horários de circulação e veículos utilizados, por exemplo, podem ser explorados para planejar crimes, praticar extorsões ou invadir a privacidade das pessoas.

Nos condomínios que compartilham imagens de câmeras externas com sistemas públicos de monitoramento, é importante diferenciar essas gravações dos cadastros internos, como nomes de moradores, registros de visitantes e dados biométricos, que geralmente permanecem sob responsabilidade dos próprios empreendimentos ou das administradoras.

A separação, entretanto, não elimina os riscos relacionados às imagens compartilhadas.

Flávio destaca que cada usuário deve ter acesso somente às informações necessárias para exercer sua função. Também é fundamental manter registros das consultas realizadas e revisar periodicamente as permissões concedidas, permitindo identificar acessos desnecessários ou comportamentos suspeitos.

Câmeras conectadas à nuvem também exigem proteção

Os riscos de segurança não estão restritos às plataformas públicas. Sistemas de monitoramento instalados em residências, condomínios e empresas também podem apresentar vulnerabilidades, inclusive quando as imagens são armazenadas na nuvem.

De acordo com o especialista da UMC, muitas invasões não dependem de técnicas altamente sofisticadas, mas exploram falhas básicas de segurança.

“O problema geralmente está na configuração e no acesso. A maioria das invasões de câmeras não envolve ataques sofisticados, e sim senhas fracas, senhas de fábrica nunca trocadas, firmware desatualizado e logins compartilhados entre várias pessoas”, observa.

Para reduzir os riscos, Flávio recomenda a utilização de senhas fortes e exclusivas, autenticação em dois fatores, atualização regular dos equipamentos e restrição das permissões de acesso.

Outra medida importante é estabelecer prazos para o armazenamento das gravações, evitar o posicionamento de câmeras voltadas para espaços privados e definir regras claras para o compartilhamento das imagens.

Os fornecedores também têm responsabilidade na proteção dessas informações. Segundo o professor, medidas de segurança devem estar incorporadas desde o desenvolvimento dos sistemas, incluindo criptografia, atualizações de software e registros de acesso.

Os contratos firmados com empresas responsáveis pelas plataformas também devem estabelecer responsabilidades relacionadas à proteção dos dados e à comunicação de eventuais incidentes.

Prevenção e resposta a incidentes

A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece obrigações relacionadas ao tratamento seguro de informações pessoais, embora existam regras específicas para operações realizadas exclusivamente para fins de segurança pública.

Quando um incidente representa risco ou dano relevante aos titulares dos dados, a regulamentação da Autoridade Nacional de Proteção de Dados (ANPD) prevê a comunicação à autoridade e às pessoas afetadas, conforme os requisitos estabelecidos pela legislação.

A resposta a esse tipo de ocorrência deve envolver medidas para conter a exposição, revisar credenciais de acesso e investigar as circunstâncias que provocaram o incidente.

“Quem trata imagens de pessoas precisa encarar isso como obrigação legal, e não como detalhe técnico”, destaca Flávio.

Para o especialista, controles preventivos, revisão periódica das permissões e uma resposta rápida diante de incidentes são medidas essenciais para proteger a privacidade dos cidadãos e garantir que tecnologias de monitoramento sejam utilizadas de forma segura.