A revelação, hoje, 20 de outubro de 2026, de que dados e imagens de cerca de 58 mil câmeras do sistema Smart Sampa estiveram acessíveis indevidamente na internet por cerca de 11 meses traz novamente ao centro do debate um tema frequente na cobertura do Crypto ID: a necessidade de evolução contínua na governança e na segurança da informação de infraestruturas tecnológicas conectadas.
O caso, divulgado por veículos de imprensa como UOL, TV Globo e G1, envolveu equipamentos instalados em vias públicas, creches, escolas e hospitais. A administração municipal informou ter identificado e afastado um agente de segurança responsável pelo acesso indevido, e destacou o reforço imediato das diretrizes de acesso à plataforma, incluindo senhas exclusivas, autenticação de dois fatores e checagens adicionais por SMS.
Em sistemas de grande porte e hiperconectados, a gestão de riscos exige olhar além de medidas operacionais pontuais. Em cidades do porte de São Paulo, com mais de 11,4 milhões de habitantes, a proteção de ecossistemas digitais robustos demanda arquiteturas de segurança integradas, capazes de prevenir tanto desvios individuais quanto vulnerabilidades de acesso em larga escala.
A relevância da chave única por equipamento na arquitetura de hardware
A segurança em ambientes de videomonitoramento e Internet das Coisas (IoT) depende diretamente da cadeia de custódia criptográfica estabelecida no hardware dos dispositivos.
O especialista em criptografia e arquitetura de chaves públicas, José Carlos da Silva Neto, engenheiro, CTO da CERMOB e especialista em criptografia, lembra que um dos pontos mais sensíveis na contratação de frotas de equipamentos é o uso de chaves criptográficas idênticas ou padrões de fábrica em múltiplos dispositivos.
“A proteção de um ecossistema conectado ganha consistência quando estruturada desde a fabricação. A boa prática prevê que cada equipamento possua uma chave criptográfica única, gerada diretamente no hardware no processo de produção. Quando frotas inteiras dependem de uma mesma chave padrão ou compartilhada, a gestão de acesso se torna frágil. Se uma chave padrão de determinado lote é comprometida, a visibilidade sobre a rede pode ser afetada de forma ampla, dificultando a rastreabilidade e a integridade dos logs de auditoria“, afirma José Carlos da Silva Neto.
Em redes com milhares de dispositivos, a simples gestão por credenciais manuais ou planilhas isoladas mostra limitações, reforçando o papel das câmeras e sensores como nós computacionais estratégicos.
Gestão de Identidades e Credenciais: O papel de arquiteturas centralizadas e automatizadas
Para conferir previsibilidade e controle aos acessos, Luis Correia, Especialista em Certificados Digitais, Assinaturas Digitais, Smartcards e Soluções PKI, e responsável pelo desenvolvimento de negócios da AET Europe no Brasil destaca o valor da governança centralizada e automatizada de identidades de pessoas e máquinas (Machine-to-Machine, M2M).
“A gestão de identidades de pessoas e equipamentos não termina na emissão das credenciais. É preciso saber, a qualquer momento, quem ou o que está se autenticando, com qual credencial e até quando“, afirma Luis Correia.
Segundo Luis Correia, o mercado global tem adotado arquiteturas integradas para gerenciar todo o ciclo de vida de certificados e credenciais digitais, combinando autenticação forte e assinaturas seguras. Essas plataformas permitem emitir, renovar e revogar identidades de operadores e dispositivos com alto grau de automação e rastreabilidade. Estruturas com esse nível de maturidade apoiam a continuidade e a proteção operacional em ecossistemas críticos ao redor do mundo, abrangendo desde instalações industriais e de energia até edifícios institucionais, centros financeiros e redes hospitalares.
A adoção gradual desses referenciais internacionais por sistemas municipais de videomonitoramento representa um passo natural para reforçar a proteção de dados biométricos e de imagem capturados em espaços públicos.
PAM, GIA e a governança de credenciais nas organizações públicas
Expandindo a reflexão sobre governança, Elson Condor, fundador e CEO da NetAdmin, aponta que a gestão de acessos privilegiados é um dos pilares essenciais na prevenção de incidentes em instituições públicas e privadas.
“A eficiência na segurança de grandes organizações passa pelo controle rigoroso sobre a Gestão de Acessos Privilegiados (PAM) e a Gestão de Identidades (GIA). É fundamental evitar o acúmulo de acessos sem uso ou desatualizados — credenciais de prestadores, servidores movimentados ou terceiros cujos contratos foram encerrados. O gerenciamento automatizado via PAM possibilita a rotação periódica de chaves e a revogação imediata de privilégios, assegurando que apenas usuários ativos e autorizados acessem sistemas sensíveis“, diz Elson Condor.
A gestão de acessos em grandes estruturas
Gerenciar o acesso a milhares de dispositivos conectados por meio de credenciais simplificadas ou controles descentralizados assemelha-se a administrar um grande complexo predial distribuindo cópias de chaves gerais a diversos colaboradores sem um registro centralizado e automatizado de portaria. Quando um acesso é utilizado de forma indevida, a análise técnica volta-se não apenas ao fato isolado, mas à oportunidade de aprimorar o modelo de controle e auditoria em tempo real.
Além do monitoramento: o diálogo sobre a segurança técnica em IoT
Incidentes que envolvem acessos indevidos ressaltam a importância de incorporar requisitos de segurança nativa (Security by Design) nos processos de especificação e contratação de tecnologias conectadas.
A atenção ao ciclo de vida de chaves criptográficas e à gestão de privilégios mínimos aplica-se a uma ampla gama de serviços e infraestruturas urbanas:
- Automação industrial e robótica: Linhas de produção e controle operacional na indústria.
- Catracas inteligentes e controle biométrico: Sistemas de acesso em edifícios públicos, terminais de transporte e ambientes corporativos.
- Equipamentos médicos e de diagnóstico: Dispositivos hospitalares e monitores de saúde integrados à rede.
- Gateways de Wi-Fi público: Roteadores e pontos de acesso em praças e estações.
- Iluminação pública inteligente (Smart Lighting): Sensores e luminárias conectadas.
- Medidores inteligentes de energia elétrica, gás e água (Smart Meters): Infraestruturas essenciais onde a integridade das leituras digitais garante a precisão de faturamentos e a continuidade do abastecimento.
- Sinalização viária e semáforos inteligentes: Redes de tráfego urbano e mobilidade.
- Veículos autônomos e drones: Equipamentos de apoio e patrulhamento remoto.
Recomendações para o aprimoramento de especificações e RFPs
O Crypto ID destaca a importância de que governos e corporações continuem evoluindo a régua técnica nos processos de licitação e RFP para a contratação de tecnologias conectadas estabelecendo adicionalmente alguns requisitos de segurança como:
- Arquitetura Zero Trust e Privilégio Mínimo (PoLP): Fracionar permissões para que consultas e extrações de dados sejam pontuais, justificadas e temporárias.
- Chaves criptográficas individuais na fabricação: Estipular que cada dispositivo nasça com sua própria chave gravada em hardware seguro (TPM/HSM).
- Governança Unificada de GIA e PAM: Automatizar o ciclo de concessão e revogação de acessos para eliminar credenciais inativas.
- Plataformas dedicadas para Gestão de Credenciais: Adotar soluções estruturadas para emissão e gestão de certificados e autenticação forte.
- Trilha de Auditoria Criptográfica: Garantir registros inalteráveis e assinados digitalmente para todas as operações de visualização e exportação.
A segurança cibernética em cidades inteligentes e indústrias exige maturidade contínua e padrões elevados de governança. O respeito à privacidade dos cidadãos, a proteção de vidas e a integridade da infraestrutura nacional dependem da adoção definitiva de arquiteturas técnicas consolidadas, profissionais e verdadeiramente integradas.
Incidentes recentes em infraestruturas críticas envolvendo França, Reino Unido e Brasil
A busca pelo fortalecimento de sistemas conectados reflete uma tendência global frente a incidentes registrados em diferentes partes do mundo:
- França (Setor Industrial e Varejo): Registros de ataques a sistemas operacionais e de logística no setor de varejo demonstraram a importância da autenticação forte em redes industriais.
- Reino Unido (Infraestrutura Energética): Eventos direcionados a sistemas de controle e armazenamento de energia reforçaram os cuidados necessários no isolamento e na gestão de acesso em redes elétricas.
- Sistemas de Alerta Urbano: Episódios como o acesso não autorizado a plataformas de alerta de emergência, a exemplo da invasão ao sistema de Cell Broadcast no Brasil, na qual a fragilidade de credenciais permitiu a emissão de notificações falsas de desastre em massa para milhões de celulares, ilustram didaticamente como vulnerabilidades na gestão de acessos e autenticação em interfaces de controle público podem causar sérias disrupções sociais e operacionais.
Esses exemplos reforçam que a convergência entre criptografia forte, chaves individuais por equipamento e gestão rigorosa de identidades é o caminho consistente para garantir a resiliência e a confiança nas cidades do futuro.
Nota editorial: Esta matéria possui caráter exclusivamente técnico, informativo e orientativo sobre arquiteturas de segurança da informação, governança digital e criptografia. O texto não possui qualquer finalidade eleitoral, partidária ou de crítica pessoal/política a agentes públicos ou administrações específicas, servindo como uma contribuição do Crypto ID ao debate educacional sobre a proteção de infraestruturas conectadas no Brasil.
SEG Summit 2026 reúne tecnologias de IA, videomonitoramento e segurança integrada
Seg Summit 2026 prevê R$ 500 milhões em negócios com investimento de R$ 8 milhões
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
IAM: Segurança que vai além do acesso
Em um ambiente sem perímetro definido, é a identidade que define quem acessa, como acessa e até onde pode ir. E a disciplina se desdobra: o IGA governa e audita esses acessos, e o PAM protege os privilégios mais críticos. O Crypto ID, referência editorial em tecnologia e segurança digital, mantém conteúdo riquíssimo sobre IAM – Identity and Access Management e todo o seu ecossistema.
Acesse a coluna e confira.
Criptografia Forte é o Padrão que Mantém Bilhões de Pessoas Seguras Todos os Dias! Leia sobre Criptografia no canal que fala a sua língua! Acesse agora mesmo!
