Una contraseña en dispositivo personal detonó hackeo masivo a licencias de Florida

Una sola contraseña guardada en un teléfono o computadora personal fue suficiente. Un empleado del Departamento de Policía de Plant City, un municipio cercano a Tampa, Florida, cometió el error de almacenar sus credenciales de acceso fuera de los sistemas protegidos de la institución. Un ciberdelincuente las obtuvo y las utilizó para abrir las puertas de DAVID, la base de datos estatal que contiene licencias de conducir, registros vehiculares e imágenes de documentos de residentes de Florida. El ataque ocurrió el 4 de septiembre, pero la agencia responsable, el Departamento de Seguridad Vial y Vehículos Motorizados de Florida (FLHSMV), tardó más de un mes y medio en notificar a las víctimas.

La investigación interna del FLHSMV confirmó lo que los especialistas en seguridad ya sabían: las credenciales de ese único empleado policial fueron el punto de entrada. El organismo atribuyó el ataque a una organización criminal cibernética internacional sin identificarla formalmente, pero investigadores de ciberseguridad vincularon rápidamente el incidente con ShinyHunters, un grupo delictivo que opera en la web oscura. Semanas después del robo, ShinyHunters publicó una captura de pantalla de lo que decía era una licencia de conducir de Jeffrey Epstein, el financista fallecido condenado por delitos sexuales, como prueba de que tenían acceso a la base de datos. El grupo exigió un pago para no filtrar el contenido completo, fijando un plazo límite para el 11 de septiembre.

Lo que sucedió después sugiere que Florida negoció con los atacantes. Poco tiempo después de publicar la prueba del robo, ShinyHunters eliminó toda referencia a Florida de su mensaje original en los foros de la web oscura. Un investigador de Flashpoint, una empresa que monitorea amenazas cibernéticas, interpretó este movimiento como una señal de que el estado estaba en conversaciones con los delincuentes para evitar que los datos se difundieran públicamente.

Según reportes de ciberseguridad, ShinyHunters afirmó haber robado más de 200.000 registros de conductores. El FLHSMV nunca confirmó esa cifra en ninguna comunicación oficial. Lo que sí confirmó es que los datos comprometidos incluyen licencias de conducir, información de vehículos, imágenes de documentos y otra información personal de residentes. La agencia no especificó el número exacto de registros afectados. Para quienes recibieron la notificación, el FLHSMV ofreció un año de monitoreo de crédito gratuito a través de Sontiq, una empresa de TransUnion. Pero hay un problema: la agencia no tiene datos de contacto actualizados para muchos antiguos residentes de Florida cuya información seguía almacenada en el sistema. Quienes sospechen que sus datos fueron comprometidos pueden escribir a customerinquiry@flhsmv.gov para confirmar si fueron afectados, incluso si ya no viven en el estado.

Este incidente ilustra un patrón que los especialistas en seguridad informática llaman "TI en la sombra": el uso de dispositivos personales no autorizados para acceder a sistemas sensibles, completamente fuera del control de los departamentos de tecnología de las instituciones. Un profesor de ciberseguridad consultado por la cadena WCTV explicó que estos equipos personales son mucho más vulnerables que las computadoras institucionales, que cuentan con protecciones y monitoreo. El riesgo es evidente: una sola contraseña mal guardada puede exponer información de decenas de miles de personas. El FLHSMV indicó que la investigación continúa junto con el Servicio Digital de Florida y el Departamento de Aplicación de la Ley del estado, y que proporcionará nueva información cuando lo considere apropiado. Mientras tanto, las cartas de notificación siguen llegando a quienes la agencia logra localizar entre los residentes actuales y pasados del estado.