Florida: il database DAVID violato da credenziali polizia su dispositivo

Il Florida Department of Highway Safety and Motor Vehicles ha confermato il 4 settembre 2026 che il database DAVID, contenente i record di 22 milioni di automobilisti, è stato accesso da un'organizzazione criminale internazionale. L'agenzia ha identificato l'ingresso attraverso credenziali compromesse di un singolo utente del Plant City Police Department, immagazzinate impropriamente su un dispositivo elettronico personale. La rivendicazione del gruppo ShinyHunters — oltre 200.000 record rubati con una presunta falla nel reset password — resta non verificata dalle autorità e introduce una discrepanza che mette a nudo il vuoto tra responsabilità individuale e carenze sistemiche.

La versione ufficiale: negligenza individuale senza allarmi automatici

Secondo la fonte primaria BleepingComputer, che ha riportato la dichiarazione ufficiale FLHSMV, l'attaccante ha usato "compromised credentials belonging to a single Plant City Police Department user that had been improperly stored on the employee's personal electronic device". La frase è precisa: non un exploit zero-day, non una vulnerabilità nel software DAVID, ma credenziali valide esfiltrate da un endpoint non controllato.

La conferma ufficiale, pubblicata su X dall'agenzia, afferma che "the data breach was quickly mitigated and no further breach has occurred or is ongoing". FLHSMV ha notificato il Florida Office of the Attorney General e sta collaborando con Florida Digital Service e Florida Department of Law Enforcement. L'agenzia ha anche chiuso la comunicazione con la formula standard delle indagini in corso: "further information will be released at an appropriate time in the future".

Ciò che la versione ufficiale non spiega — e questo è il primo vuoto rilevante — è come un singolo account di polizia municipale abbia potuto interrogare decine di migliaia di record senza innescare controlli di volume. Il database DAVID, acronimo di Driver and Vehicle Information Database, è progettato per essere accesso in tempo reale da forze dell'ordine, agenzie statali e alcuni operatori privati autorizzati. La sua architettura non prevede, o non implementa, rate limiting o alert per query massicce da singoli utenti. La persistenza dell'accesso criminale per un arco temporale misurato in giorni, con esfiltrazione potenzialmente di centinaia di migliaia di voci, indica una failure di authorization controls e monitoring, non solo di sicurezza endpoint.

La versione dei criminali: una "password reset flaw" e account multipli

ShinyHunters, gruppo noto per rivendicazioni di breach massivi e vendita di dati su forum criminali, ha offerto una ricostruzione alternativa. Secondo We Fix PC e BleepingComputer, che hanno riportato le dichiarazioni del gruppo, l'accesso non sarebbe avvenuto tramite furto di credenziali da un solo dispositivo, ma sfruttando una "password reset flaw" che avrebbe permesso di compromettere account multipli, inclusi impiegati DMV e, a detta del gruppo, un agente FBI.

Il gruppo ha pubblicato uno screenshot del record DMV di Jeffrey Epstein — contenente, secondo le descrizioni, "sensitive personal and vehicle information" — come prova di accesso. FLHSMV non ha confermato né smentito l'autenticità del campione. Il gruppo afferma di aver iniziato l'attività il 3 settembre 2026, con oltre 200.000 record rubati.

La discrepanza non è marginale. Se la versione FLHSMV è corretta, il problema è governance delle credenziali e endpoint security. Se la versione ShinyHunters è attendibile, esiste una vulnerabilità nel meccanismo di recupero password del DAVID che espone account arbitrari. L'agenzia non ha confermato questa seconda ipotesi, ma non ha nemmeno pubblicato un advisory tecnico che la escluda. Il silenzio operativo, in un contesto di indagine criminale attiva, lascia entrambe le versioni in campo.

DAVID: dati non scadibili e un pregresso di abusi interni

Il database DAVID contiene fotografie, firme, Social Security Number, indirizzi, storico veicoli e informazioni assicurative. Questi dati, a differenza di numeri di carta di credito o password, non sono "scadibili": un SSN esposto rimane un vettore permanente di identity theft. Hoodline e Shattered.io hanno sottolineato che il Driver's Privacy Protection Act (18 U.S.C. § 2724) impone danni liquidati di almeno $2.500 per ciascuna violazione non autorizzata. Se applicato alla scala di 200.000 record rivendicata da ShinyHunters — e qui si entra nel dominio speculativo, poiché FLHSMV non ha confermato il numero — l'esposizione potenziale supera le nove cifre.

Il contesto storico non è rassicurante. Secondo Hoodline, un'indagine del 2020 aveva rivelato che oltre 900 impiegati governativi avevano abusato dell'accesso a DAVID, consultando record di celebrità, vittime di incidenti e persone connesse a casi mediatici. Il database è stato costruito per la fruizione rapida da parte di operatori autorizzati, non per l'audit granular delle singole query. Questo design precedente all'era della data governance intensiva ha lasciato un debito tecnico che il breach del 2026 sta ora riscuotendo.

"On September 4, 2026, FLHSMV learned of a data breach conducted by an international cybercriminal organization"
— Florida Department of Highway Safety and Motor Vehicles, dichiarazione ufficiale su X

Il caso IDScan: correlato ma distinto, con rischio di confusione narrativa

Nello stesso arco temporale, KrebsOnSecurity ha riportato un breach correlato ma separato: IDScan.net, fornitore di tecnologia di scansione documenti, avrebbe esposto 153 milioni di patenti di guida. Il servizio criminale "Nexus" rivendica l'esfiltrazione continua "per over a year into our private database". Questo incidente, pur toccando dati analoghi (patenti, fotografie, informazioni demografiche), non coinvolge FLHSMV né il database DAVID. L'inclusione di fonti secondarie nel dossier editoriale risponde a un'esigenza di contestualizzazione, ma non alimenta la claim principale: sono due breach, due vettori, due infrastrutture.

Il rischio per il lettore tecnico è di sovrapporre i due eventi. ShinyHunters ha minacciato di pubblicare dati da altri stati; non esistono conferme che queste minacce si riferiscano a DAVID o a IDScan, o che siano distinte. Il dossier non specifica sovrapposizioni tra i 200.000 record rivendicati e i 153 milioni di IDScan. Mantenere la separazione è un requisito di accuratezza.

Perché è importante

Il brief non documenta misure correttive specifiche adottate da FLHSMV oltre alla mitigazione immediata e alla collaborazione con le agenzie investigative. L'agenzia non ha pubblicato indicazioni tecniche per gli utenti del database, né un piano di audit per gli accessi storici. Il dossier non specifica se siano stati attivati controlli comportamentali nuovi, se il dispositivo personale sia stato forensato, o se le credenziali compromesse fossero protette da multi-factor authentication.

La fonte non specifica la natura esatta dei dati esfiltrati record per record, né se l'ufficiale di Plant City PD abbia subito conseguenze disciplinari. Non è documentato se FLHSMV abbia iniziato le notifiche individuali entro i 30 giorni previsti dalla Florida Information Protection Act. Il metodo di accesso rivendicato da ShinyHunters — la "password reset flaw" — non è stato verificato o escluso da fonti autorevoli.

Per le forze dell'ordine e le agenzie statali che si affidano a database centralizzati, il caso DAVID offre una lettura inquietante: un singolo account con accesso illimitato, nessun controllo sui dispositivi personali, e l'assenza di alert su pattern di query anomali. Questi sono fallimenti di authorization design, non di vulnerabilità software nel senso tradizionale. La sicurezza del dato non è qui una questione di patching, ma di governance degli accessi e monitoraggio comportamentale.

FAQ

Il Florida DMV ha confermato i 200.000 record di ShinyHunters?
No. FLHSMV ha confermato il breach ma non ha divulgato il numero di record accessi né ha verificato indipendentemente la cifra rivendicata dal gruppo criminale.

La "password reset flaw" rivendicata da ShinyHunters è confermata?
No. FLHSMV attribuisce l'accesso a credenziali compromesse su dispositivo personale. La fonte primaria non documenta la verifica tecnica della falla nel reset password.

I cittadini floridiani possono agire legalmente?
Il DPPA prevede danni liquidati di almeno $2.500 per violazione non autorizzata. Shattered.io ha analizzato l'esposizione potenziale, ma non esistono azioni legali confermate al momento della pubblicazione.

Fonti

• https://www.bleepingcomputer.com/news/security/florida-confirms-dmv-database-breached-via-stolen-police-account/
• https://www.helpnetsecurity.com/2026/09/11/idscan-net-data-breach-153-million-drivers-licenses/
• https://hoodline.com/2026/09/florida-dmv-breach-traced-to-plant-city-officer-s-password-hackers-claim-200-000-records/
• https://we-fix-pc.com/2026/09/08/shinyhunters-hackers-claim-breach-of-florida-david-dmv-database/
• https://www.safestate.com/post/florida-dmv-data-breach-shinyhunters-claims-200-000-records
• https://shattered.io/florida-dmv-breach-dppa-liability-risk-2026/
• https://krebsonsecurity.com/2026/09/fbi-probes-service-selling-153m-drivers-licenses/
• https://www.helpnetsecurity.com/2025/03/26/how-dark-web-works/
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti