Senha exposta em repositório: o que o caso Smart Sampa ensina

Imagine que alguém da equipe, com a melhor das intenções, guarda uma lista de acessos num arquivo e o publica num repositório que acredita ser restrito. Meses depois, descobre-se que ele era público. Foi algo nessa linha que a imprensa noticiou em outubro de 2026 sobre o Smart Sampa, o sistema de câmeras da cidade de São Paulo. O caso é um bom exemplo de como uma senha exposta em repositório pode abrir portas muito maiores do que o arquivo em que ela estava.

O que foi noticiado sobre o caso Smart Sampa

Segundo reportagem do UOL, publicada no dia 20 de outubro e repercutida pelo TecMundo e por outros veículos, dados do sistema ficaram acessíveis num repositório público por cerca de 11 meses. Entre eles, de acordo com a reportagem, havia 181 logins e senhas de usuários autorizados e informações de mais de 6 mil agentes. A matéria também relata que alguns acessos seguiam um padrão previsível e que a verificação em duas etapas só foi implementada depois dos questionamentos.

A Prefeitura de São Paulo confirmou a exposição de dados e informou que investiga o caso. Ao mesmo tempo, contesta a descrição: afirma que não houve falha de segurança na plataforma e atribui o episódio à conduta de um servidor com acesso autorizado. Como a apuração segue em andamento, vale tratar os detalhes como relato da imprensa e da Prefeitura, não como conclusão definitiva.

Por que isso importa para a sua empresa

Não é preciso operar um sistema de câmeras para passar por algo parecido. Credenciais costumam parar em lugares improváveis: planilhas compartilhadas, mensagens de chat, scripts, repositórios de código e pastas de projeto. Quando uma senha vaza, o risco não fica restrito ao arquivo original. Se a conta não exige uma segunda confirmação, quem encontrou a senha pode simplesmente entrar.

Há ainda o ponto dos fornecedores. A reportagem cita que as credenciais também davam acesso à plataforma de uma empresa que atua no sistema. Em muitas empresas, parceiros e terceiros acessam o ambiente com contas que ninguém revisa há anos.

Como se proteger de uma senha exposta em repositório

Nenhum controle sozinho resolve, mas estes cuidados reduzem o risco de uma senha vazada virar um acesso indevido:

1. Exija MFA em todas as contas, inclusive as de fornecedores e parceiros. No Microsoft Entra ID, os padrões de segurança e as políticas de acesso condicional ajudam a tornar a regra obrigatória. Veja o passo a passo em como ativar o MFA no Microsoft 365 em todas as contas.

2. Use acesso condicional para limitar de onde e como cada conta pode entrar, por exemplo bloqueando logins de dispositivos não gerenciados. Os recursos disponíveis dependem do plano contratado.

3. Não guarde senhas em arquivos, planilhas ou repositórios. Use um cofre de senhas ou um gerenciador de segredos e faça varreduras periódicas para encontrar credenciais esquecidas em código e pastas.

4. Troque senhas expostas imediatamente e evite padrões previsíveis, como a mesma estrutura de senha para todos os usuários.

5. Revise os acessos com data marcada. Liste quem tem acesso a quê, remova o que não é mais necessário e inclua contas de terceiros na revisão.

Se dados pessoais forem expostos, a LGPD prevê que a empresa avalie o incidente e, havendo risco relevante, comunique a ANPD e os titulares afetados.

Fonte

Reportagem do TecMundo (Estadão), de 20 de outubro de 2026, citando apuração do UOL e o posicionamento da Prefeitura de São Paulo: Smart Sampa: entenda o que vazou e quem são as empresas que operam o sistema de câmeras de SP.

Precisa de ajuda?

A WRA IT, parceira Microsoft, ajuda empresas a configurar MFA, acesso condicional e revisão de acessos no Microsoft 365. Fale com a gente em www.wra.com.br.