Una sola contraseña guardada en un dispositivo electrónico personal desató el masivo hackeo a la base de datos de licencias de conducir de Florida (DAVID). La investigación confirmó que un criminal cibernético obtuvo las credenciales que un empleado policial conservaba fuera de los sistemas protegidos de la institución, usándolas para infiltrar los registros de licencias, vehículos e imágenes de documentos de residentes.
Tras el ataque ocurrido el 4 de septiembre, el Departamento de Seguridad Vial y Vehículos Motorizados de Florida (FLHSMV) comenzó a notificar tardíamente a las víctimas con un mes y medio de demora.
Un fallo de seguridad en una sola clave de policía expuso la base de datos de licencias
La investigación del propio FLHSMV determinó que el acceso no autorizado se produjo a través de las credenciales de un solo empleado del Departamento de Policía de Plant City, un suburbio cercano a Tampa. Ese empleado había guardado sus datos de acceso en un dispositivo electrónico personal, fuera de los sistemas protegidos de la policía.
Un criminal consiguió esas credenciales y las utilizó para ingresar a DAVID, la base de datos estatal que reúne licencias de conducir e información de vehículos y que usan agencias autorizadas en todo el país. El organismo atribuyó el ataque a “una organización criminal cibernética internacional”, sin identificarla formalmente.
El medio especializado en ciberseguridad BleepingComputer vinculó el episodio con el grupo ShinyHunters, que semanas atrás había publicado en un foro de la web oscura una captura de una supuesta licencia de conducir de Jeffrey Epstein, el financista fallecido y condenado por delitos sexuales, como prueba del robo. Según Ars Technica, ShinyHunters llegó a exigir un pago para no filtrar la base completa, con un plazo límite fijado para el 11 de septiembre.
Poco después de esa publicación, el grupo eliminó toda mención a Florida de su mensaje original, un movimiento que un investigador de la empresa de monitoreo de amenazas Flashpoint interpretó como un indicio de que el estado negociaba con los atacantes para evitar la difusión de los datos.
Qué información quedó expuesta
Según el propio FLHSMV, los datos que pudieron verse comprometidos incluyen licencias de conducir, información de vehículos, imágenes de documentos y otra información personal. La agencia no precisó cuántos registros fueron afectados en total.
ShinyHunters había reclamado haber sustraído más de 200.000 registros de conductores, de acuerdo con BleepingComputer, aunque el organismo estatal no confirmó esa cifra en ninguna de sus comunicaciones públicas.
El departamento ofrece un año de monitoreo de crédito gratuito a través de Sontiq, una empresa de TransUnion, para quienes reciban la carta de notificación. El problema, admitió la propia agencia, es que no cuenta con datos de contacto actualizados de muchos antiguos residentes de Florida cuya información seguía almacenada en el sistema.
Quienes sospechen que pudieron verse afectados, aunque ya no vivan en el estado, pueden escribir a la casilla customerinquiry@flhsmv.gov (dirección de correo electrónico) para confirmar si sus datos formaron parte del robo. La agencia también recomendó revisar periódicamente los resúmenes bancarios y considerar congelar el acceso al crédito ante las tres principales agencias calificadoras.
Un patrón que se repite
El episodio de Plant City ilustra lo que los especialistas en seguridad informática llaman “TI en la sombra”: el uso de dispositivos personales no autorizados para acceder a sistemas sensibles, fuera del control de los departamentos de tecnología. Un profesor de ciberseguridad consultado por la cadena WCTV explicó que esos equipos son mucho más fáciles de vulnerar que las computadoras institucionales.
FLHSMV aclaró que la investigación continúa junto con el Servicio Digital de Florida y el Departamento de Aplicación de la Ley del estado, y que difundirá nueva información cuando lo considere oportuno. Mientras tanto, las cartas de notificación seguirán llegando a quienes la agencia pueda localizar entre los residentes actuales y pasados del estado.
