Le groupe de cyberextorsion ShinyHunters a affirmé avoir piraté la plateforme DAVID de l’Autorité de la sécurité routière et des véhicules de Floride (FLHSMV), déclarant avoir volé plus de 200 000 dossiers liés aux conducteurs de l’État depuis le début de l’opération, le 3 septembre 2026.
L’autorité utilise la plateforme DAVID, acronyme de Driver And Vehicle Information Database, pour permettre aux services répressifs et aux responsables d’accéder aux données des conducteurs et des véhicules. Elle s’en sert également comme principal mécanisme de signalement des décès et des blessures graves.
Que revendique le groupe ?
ShinyHunters a ajouté la FLHSMV à son site de divulgation de données, menaçant de publier les informations qu’il affirme avoir obtenues à moins que l’autorité n’entame des négociations avec lui. Pour prouver le piratage, le groupe a publié une capture d’écran d’un dossier du système DAVID appartenant à Jeffrey Epstein, contenant des données personnelles et des informations sur des véhicules immatriculés.
Selon les informations communiquées par le groupe à BleepingComputer, l’accès a commencé par une faille dans le mécanisme de réinitialisation des mots de passe, qui a permis aux attaquants de prendre le contrôle de plusieurs comptes au sein du système. Il affirme que certains de ces comptes appartiennent à des employés de l’administration des véhicules, ainsi qu’à un compte client du Bureau fédéral d’enquête.
Après avoir obtenu l’accès, le groupe a déclaré s’être déplacé entre les identifiants des dossiers et avoir téléchargé des fichiers HTML ainsi que les images qui leur étaient associées. Selon l’article, les dossiers contenaient notamment des données telles que les adresses, les dates de naissance, les numéros de permis de conduire, les informations d’assurance, l’historique des transactions relatives aux permis, les anciens véhicules et les autorisations de stationnement.
Qu’est-ce qui a changé concrètement ?
ShinyHunters a déclaré avoir perdu l’accès à la base de données et que la faille utilisée pour compromettre les comptes était en cours de correction. Mais la perte d’accès ne répond pas à la question la plus importante : quelle quantité de données a effectivement été copiée, et des dossiers supplémentaires ont-ils été consultés avant la fermeture de la faille ?
BleepingComputer a contacté la FLHSMV et le Bureau fédéral d’enquête au sujet de l’incident, mais l’article ne contient aucune réponse de leur part au moment de sa publication. Les chiffres concernant les dossiers volés et la nature du piratage restent donc des affirmations émanant de l’attaquant et n’ont pas encore reçu de confirmation indépendante de la part de l’organisme propriétaire du système.
Des indices d’une campagne plus large
BleepingComputer a rapporté, citant une source, que les attaquants ciblent également des plateformes relevant des administrations des véhicules d’autres États au moyen d’attaques d’ingénierie sociale. ShinyHunters a aussi déclaré s’attendre à l’annonce d’autres compromissions dans les prochaines semaines, sans fournir de détails vérifiables.
ShinyHunters est connu pour cibler des applications web et des environnements logiciels cloud, ainsi que pour utiliser des identifiants volés et des jetons d’authentification afin d’accéder à des services interconnectés. Récemment, le nom du groupe a été associé à des attaques de hameçonnage vocal visant des comptes Okta, Microsoft et Google, notamment à des méthodes destinées à voler des jetons d’authentification unique et d’authentification multifacteur.
Pourquoi cette information est-elle importante ?
La gravité de cette affirmation tient au fait que DAVID ne semble pas être une plateforme publique destinée aux utilisateurs, mais plutôt un système centralisé qui regroupe des données d’identification et de circulation potentiellement très sensibles. Si le piratage est confirmé, ses conséquences s’étendraient aux conducteurs, aux employés et aux organismes qui dépendent du système, tandis que les questions relatives au nombre de dossiers touchés, à l’étendue des comptes compromis et à la publication effective ou non des données resteront ouvertes jusqu’à la publication d’une confirmation officielle.