Un único dato de acceso, guardado en un dispositivo electrónico personal, fue suficiente para desatar un ciberataque de gran escala contra DAVID, la base de datos estatal de licencias de conducir, vehículos e imágenes de documentos de Florida. La investigación confirmó que un atacante obtuvo las credenciales que un funcionario de la policía de Plant City, un suburbio adyacente a Tampa, mantenía fuera de los sistemas protegidos, y las utilizó para ingresar a los registros.
El incidente ocurrió el 4 de septiembre. A raíz del ataque, el Departamento de Seguridad Vial y Vehículos Motorizados de Florida (FLHSMV) notificó a las víctimas con una demora cercana a seis semanas. Según el propio organismo, el acceso no autorizado se dio a través de las credenciales de un solo empleado del Departamento de Policía de Plant City.
FLHSMV atribuyó el asalto a “una organización criminal cibernética internacional”, sin identificar formalmente a la agrupación responsable. En paralelo, el medio especializado BleepingComputer relacionó el episodio con el grupo ShinyHunters, que semanas antes habría publicado en la dark web una captura de una supuesta licencia de conducir de Jeffrey Epstein para ilustrar el robo. Ars Technica añadió que ShinyHunters habría exigido un pago para no filtrar la base completa, con un plazo límite del 11 de septiembre.
Poco después, el grupo eliminó cualquier mención a Florida de su mensaje original, un movimiento que un analista de la firma de monitoreo de amenazas Flashpoint interpretó como indicio de que el estado estaría negociando para evitar la difusión de los datos.
Según FLHSMV, entre los datos potencialmente expuestos figuran licencias de conducir, información de vehículos, imágenes de documentos y otros datos personales. La agencia no precisó cuántos registros resultaron afectados en total. Aunque ShinyHunters afirmó haber sustraído más de 200.000 registros, esa cifra no fue confirmada por el organismo en sus comunicados públicos.
Como medida de mitigación, el departamento ofrece un año de monitoreo de crédito gratuito a través de Sontiq, empresa asociada a TransUnion, para quienes recibieron la carta de notificación. El FLHSMV reconoció, no obstante, que no cuenta con datos de contacto actualizados de muchos antiguos residentes de Florida cuya información seguía almacenada en el sistema.
Quienes sospechen haber estado expuestos, incluso si ya no residen en el estado, pueden escribir a customerinquiry@flhsmv.gov para realizar consultas o gestionar la verificación de su situación.
