A Prefeitura de Curitiba suspendeu na última terça-feira, 27 de outubro de 2026, o contrato firmado com a empresa Tecnovias Sistemas de Mobilidade Ltda., responsável pela operação de 214 semáforos inteligentes instalados em corredores estratégicos da capital paranaense. A decisão veio após uma auditoria interna do Instituto de Pesquisa e Planejamento Urbano de Curitiba, o IPPUC, identificar que o sistema de gestão de tráfego em tempo real transmitia pacotes de dados — incluindo volume de veículos, velocidade média de fluxo e padrões de deslocamento por faixa horária — para um servidor externo registrado em nome da Neva Intelligent Traffic Solutions, empresa sediada em Moscou e subsidiária do grupo russo Glonass Infrastructure Partners. O caso acendeu um sinal de alerta que vai muito além de uma irregularidade contratual pontual.
O que os semáforos ‘inteligentes’ estavam transmitindo e para onde
Os equipamentos instalados pela Tecnovias entre 2024 e 2025 fazem parte do programa municipal Curitiba Conectada, que prometia modernizar a mobilidade urbana com tecnologia de ponta. Cada semáforo da rede integrava sensores de contagem veicular por infravermelho, câmeras de monitoramento de fila e módulos de comunicação sem fio que enviavam dados ao Centro de Gerenciamento de Mobilidade da prefeitura. O problema, segundo o relatório técnico obtido pelo Mundo Agora com exclusividade, é que o software embarcado nos controladores de tráfego continha uma rotina de sincronização secundária que não constava na documentação técnica entregue durante a licitação.
Essa rotina estabelecia uma conexão criptografada com o endereço IP 185.43.217.104, que investigação da equipe de segurança da informação da Secretaria Municipal de Tecnologia e Inovação vinculou ao domínio nevaitstraffic.ru, registrado em nome da Neva Intelligent Traffic Solutions. A transmissão ocorria em janelas de 15 minutos durante os horários de pico matutino e vespertino — exatamente os períodos de maior fluxo nos corredores da Linha Verde, da Avenida Marechal Floriano Peixoto e do entorno do Centro Cívico, onde está concentrada parte significativa dos prédios do governo estadual e federal na cidade.
Os dados transmitidos não incluíam imagens de câmeras, mas continham metadados estruturados com nível de detalhe suficiente para construir mapas de comportamento viário com precisão elevada: quantidade de veículos por categoria, intervalos de ciclo semafórico ajustados dinamicamente e até identificação de anomalias de fluxo — o tipo de informação que especialistas em segurança descrevem como útil para inferir movimentações em massa, rotas de evacuação e gargalos logísticos de uma cidade.
A cadeia contratual que obscureceu a origem da tecnologia
A Tecnovias Sistemas de Mobilidade não é uma empresa com histórico suspeito no mercado brasileiro. Fundada em 2018 em Florianópolis, ela atuou em projetos de mobilidade em pelo menos seis cidades do Sul e Sudeste antes de vencer a licitação curitibana, avaliada em R$ 47 milhões. O que a investigação revelou, porém, é uma estrutura societária que passou despercebida durante o processo licitatório: a empresa adquiriu em 2023 uma licença de tecnologia de firmware para controladores semafóricos da Neva Intelligent Traffic Solutions, integrando o código da subsidiária russa diretamente nos equipamentos fornecidos à prefeitura.
A licença não foi declarada como exigido pelo edital de licitação, que determinava divulgação completa de parcerias tecnológicas com empresas estrangeiras. Advogados da área de direito público ouvidos pelo Mundo Agora apontam que essa omissão configura, no mínimo, vício insanável no contrato, abrindo espaço para rescisão com aplicação de multas e possível inclusão da empresa nos cadastros de impedimento do Tribunal de Contas do Estado do Paraná. Há ainda discussão sobre responsabilidade penal dos sócios caso seja comprovado dolo na omissão.
O caso também expõe uma lacuna nos procedimentos de due diligence tecnológica adotados pela prefeitura. A auditoria que descobriu o problema não foi iniciada por suspeita sobre a Tecnovias, mas sim por uma anomalia de tráfego de rede detectada por uma ferramenta de monitoramento que o município havia implementado apenas três meses antes — ironicamente, como parte de um projeto piloto de cibersegurança para infraestrutura crítica.
O que a suspensão significa para a cidade e para a segurança nacional
Com a suspensão imediata do contrato, os 214 semáforos afetados voltaram a operar em modo de temporização fixa, sem ajuste dinâmico baseado em fluxo real. Isso significa, na prática, aumento previsível de congestionamentos nos corredores afetados durante o período de transição, que técnicos do IPPUC estimam em pelo menos 60 dias até que uma solução provisória seja implementada. A prefeitura informou que está em contato com outros fornecedores homologados para retomada emergencial dos serviços, mas não revelou nomes.
O impacto operacional imediato, porém, é o menor dos problemas. A Agência Brasileira de Inteligência, a ABIN, já foi notificada e, conforme apuração do Mundo Agora junto a fontes próximas ao processo, deve abrir um procedimento formal de investigação para determinar a extensão e a finalidade do fluxo de dados enviados ao servidor russo durante o período de operação — aproximadamente 18 meses. A pergunta central que os analistas buscam responder é se a coleta tinha caráter comercial, como poderia argumentar a Neva em sua defesa, ou se havia interesse estratégico no mapeamento da mobilidade de uma capital que sedia instalações governamentais relevantes.
O episódio também reverberou no Congresso Nacional. A deputada federal Luciana Melo, do Paraná, anunciou a intenção de apresentar um projeto de lei que obrigue municípios com mais de 500 mil habitantes a submeter contratos de tecnologia urbana a um crivo de segurança nacional antes da assinatura, incluindo rastreabilidade completa de licenças de software embarcado. A proposta dialoga com discussões já em curso sobre infraestrutura crítica digital, impulsionadas globalmente pela crescente interdependência entre tecnologia urbana e geopolítica.
O que observar nos próximos meses e o que esse caso muda
O caso de Curitiba não deve ser lido como um episódio isolado. Em um cenário no qual cidades brasileiras aceleraram a adoção de tecnologias de mobilidade inteligente — câmeras com reconhecimento de padrões, sensores de presença, plataformas de gestão integrada de dados urbanos —, a pergunta sobre a origem do código que roda nesses sistemas raramente é feita com profundidade suficiente. A cadeia de fornecimento de software embarcado em infraestrutura urbana é longa, frequentemente internacionalizada e pouco transparente, o que cria vetores de risco que os processos licitatórios tradicionais não foram desenhados para detectar.
Nos próximos meses, vale acompanhar três desdobramentos concretos: a conclusão da análise forense dos logs de transmissão, que pode revelar se os dados foram apenas armazenados ou também processados e compartilhados com terceiros; a posição do Tribunal de Contas do Estado sobre a responsabilidade dos servidores que aprovaram o contrato sem detectar as omissões; e a resposta do mercado de fornecedores de tecnologia urbana, que agora enfrenta a perspectiva real de auditorias mais rigorosas sobre a procedência de seus componentes de software.
O semáforo que deveria apenas organizar o trânsito passou a simbolizar uma questão muito maior: em cidades cada vez mais instrumentalizadas por dados, quem controla o código controla o conhecimento sobre como uma cidade respira, se move e, em situações extremas, como reage. Curitiba descobriu tarde demais que não sabia responder essa pergunta sobre sua própria infraestrutura. Outras cidades brasileiras provavelmente também não sabem.