ShinyHunters: Florida DMV sotto attacco, 200mila record in pericolo

La notte del 7 settembre 2026 ShinyHunters ha aggiunto il Florida Department of Highway Safety and Motor Vehicles al proprio data leak site, rivendicando l'accesso a oltre 200.000 record di autisti tratti dalla piattaforma DAVID. L'operazione, secondo la dichiarazione del gruppo, è iniziata il 3 settembre tramite una vulnerabilità di password reset. Nessuna agenzia governativa ha confermato al momento della pubblicazione, e l'unica "prova" distribuita è uno screenshot del record DMV di Jeffrey Epstein, deceduto nel 2019.

Il paradosso della "prova" Epstein: un morto come garante di credibilità

ShinyHunters ha pubblicato uno screenshot che mostra il record DMV di Jeffrey Epstein, con informazioni dettagliate: indirizzo, numero di previdenza sociale, data di nascita, identificativo patente, date di emissione e scadenza, veicoli registrati. La scelta di un personaggio pubblico deceduto nel 2019 come "proof-of-breach" introduce un'anomalia logica: un record storico di questo tipo può essere stato ottenuto da fonti precedenti, ricostruito da dati già esposti, o effettivamente estratto da una violazione fresca. La fonte CyberInsider ha esplicitamente dichiarato di non poter verificare indipendentemente le claim, l'autenticità del record visualizzato, né l'origine diretta dalla piattaforma FLHSMV.

La strategia comunicativa del gruppo è leggibile: un target di alto profilo mediatico garantisce visibilità alla rivendicazione e amplifica la pressione psicologica sulle controparti istituzionali. Ma dal punto di vista epistemologico, la prova è circolare. Se il record è autentico e proveniente da DAVID, conferma l'accesso ma non il volume dichiarato di 200.000 record. Se è inautentico o preesistente, invalida l'intera catena di credibilità. L'intervallo di incertezza è totale, e le fonti non forniscono elementi per scioglierlo.

Il metodo dichiarato: password reset e account privilegiati

Secondo la dichiarazione di ShinyHunters a BleepingComputer, il punto di ingresso è stato una "password-reset flaw" che ha permesso di compromettere account multipli all'interno di DAVID. Il gruppo afferma che tra gli account vi fossero quelli di dipendenti DMV e di un agente FBI. Da questa base, l'operazione sarebbe proseguita con enumerazione iterativa dei record per ID, scaricando HTML e immagini associate.

La piattaforma DAVID — acronimo di Driver and Vehicle Information Database — è un sistema operativo dal Florida Department of Highway Safety and Motor Vehicles, accessibile via web a law enforcement e funzionari autorizzati. La sua criticità è duplice: contiene dati di identità personale sensibili (PII) di milioni di residenti, e funge da infrastructure interconnessa tra agenzie statali e federali. Una vulnerabilità nel meccanismo di recupero password, se confermata, indica un fallimento di basic security hygiene in un sistema che gestisce accessi privilegiati a dati governativi.

Il gruppo ha dichiarato di aver perso l'accesso alla piattaforma e che la vulnerabilità è in fase di patching. Questa affermazione, se vera, suggerisce che la difesa ha individuato l'attività anomala e ha avviato la contenimento, ma non chiarisce se l'indagine abbia mappato la totalità dell'esfiltrazione o identificato gli account compromessi con precisione forense.

Timeline e meccanismo di estorsione

L'attività di listing sul leak site è avvenuta il 7 settembre 2026, con una "final warning" e una deadline per il contatto fissata all'11 settembre 2026. La dichiarazione di inizio violazione — 3 settembre 2026 — lascia un intervallo di quattro giorni tra compromissione e pubblicazione, compatibile con una fase di ricognizione e confezionamento della minaccia. ShinyHunters ha affermato di non essere in negoziazione con la vittima.

Il modello operativo è quello del data leak extortion senza cifratura: nessun ransomware deployato, ma la minaccia di pubblicazione pubblica dei dati rubati. Questa modalità, ormai dominante nel threat landscape 2024-2026, riduce la visibilità forense rispetto al classico ransomware e rende più complessa la quantificazione dei danni. La deadline del 11 settembre funge da leva temporale, ma la mancanza di conferma ufficiale da parte di FLHSMV o FBI lascia aperta la possibilità che la vittima stia valutando la risposta giuridica piuttosto che quella tecnica.

Pattern sistemico: il targeting delle piattaforme DMV

BleepingComputer riporta che una fonte riferisce ShinyHunters attivo nel targetizzare piattaforme DMV di altri stati con tecniche di social engineering. Il gruppo ha dichiarato di aspettarsi di annunciare altre violazioni DMV nelle prossime settimane. Questa sequenza, se materializzata, delineerebbe una campagna strutturata contro un verticale governativo specifico: i database di gestione patente e veicoli, che concentrano dati di identità verificati e sono spesso accessibili attraverso interfacce web con autenticazione legacy.

La piattaforma DMV è un target di alto valore per il furto d'identità: SSN, indirizzi, foto patente, storia veicoli, sono tutti input verificati per frodi finanziarie, sintetici d'identità, e accessi fraudolenti a servizi. La criticità non è nel singolo record, ma nella scalabilità dell'accesso e nella verificabilità dei dati: una patente è un documento di fiducia che attraversa molti sistemi di autenticazione.

"CyberInsider could not independently verify ShinyHunters' claims, the authenticity of the displayed record, or whether the data came from a direct compromise of the Florida Department of Highway Safety and Motor Vehicles (FLHSMV)." — CyberInsider

Perché è importante

Il dossier non documenta misure correttive specifiche adottate da FLHSMV. La fonte non specifica se la piattaforma DAVID abbia implementato autenticazione a più fattori, rate limiting sul password reset, o logging di accesso sufficiente a rilevare l'enumerazione iterativa. Il brief non elenca azioni operative raccomandate per gli utenti potenzialmente coinvolti.

Il caso esemplifica un limite strutturale del threat intelligence: le rivendicazioni di gruppi estorsivi diventano notizia prima che qualsiasi verifica indipendente sia possibile, e le "prove" distribuite sono progettate per essere mediaticamente efficaci ma tecnicamente non verificabili. La scelta del record Epstein è sintomatica: un dato sensazionalistico che offusca la mancanza di audit trail pubblico. Fino a una conferma ufficiale o a un'analisi forense indipendente, lo stato dell'incidente rimane claim-based, non evidence-based.

Il pericolo per i residenti Florida è concreto ma non quantificabile: se la violazione è reale, i dati esposti abilitano frodi d'identità a lungo termine; se è inventata, il danno reputazionale alla fiducia nei sistemi governativi è comunque reale. Il settore cybersecurity osserva una campagna potenzialmente in espansione contro infrastrutture DMV statali, ma il brief non documenta l'ampiezza effettiva di questa minaccia o la mappa degli stati coinvolti.

La fonte non specifica la natura dei dati esposti oltre ai record di autisti, né se siano state coinvolte transazioni, dati assicurativi, o storia completa dei veicoli. Non emergono sovrapposizioni infrastrutturali che colleghino questo incidente alla precedente esposizione IDScan.net di circa 153 milioni di scansioni patente, esplicitamente smentita come correlata dalle fonti.

Fonti

• https://www.bleepingcomputer.com/news/security/shinyhunters-hackers-claim-breach-of-florida-david-dmv-database/
• https://cyberinsider.com/shinyhunters-claims-breach-of-florida-dmv-threatens-data-leak/
• https://blog.netmanageit.com/shinyhunters-hackers-claim-breach-of-florida-david-dmv-database/
• https://radar.offseq.com/threat/shinyhunters-hackers-claim-breach-of-florida-david-dmv-database-f7ff711b0e84c4fc
• https://blog.rankiteo.com/flo1788871160-florida-department-of-highway-safety-and-motor-vehicles-breach-september-2026/
• https://www.bleepingcomputer.com/
• https://www.bleepingcomputer.com/tutorials/
• https://www.bleepingcomputer.com/download/
• https://deals.bleepingcomputer.com/
• https://www.bleepingcomputer.com/vpn/

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti