Contexte de la fuite

Le groupe de cybercriminels ShinyHunters a publié, au cours du mois de septembre 2026, plusieurs centaines de milliers de fichiers extraits de la base de données du Florida Department of Highway Safety and Motor Vehicles (FLHSMV), désignée sous le nom de DAVID. La fuite a été annoncée comme une représailles à l’absence de paiement d’une rançon. Le groupe a notamment partagé une capture d’écran prétendant montrer un enregistrement lié à Jeffrey Epstein, ce qui a servi de preuve de l’accès au système.

FLHSMV a confirmé le compromis dans un communiqué officiel, précisant que les hackers auraient récupéré les identifiants d’un officier de police stockés sur un appareil personnel, ce qui a permis un accès non autorisé à la base de données.

Données compromises

Selon les extraits consultés par TechCrunch, les fichiers divulgués comprennent des certificats de propriété de véhicules contenant le nom complet du propriétaire, son adresse postale, ainsi que le numéro d’identification du véhicule (VIN). Un sous‑ensemble plus restreint de documents renferme des numéros de sécurité sociale (SSN), des passeports étrangers et d’autres pièces d’identité émises par le gouvernement. Aucun fichier ne semble contenir de photos de permis de conduire ni les permis eux‑mêmes.

Le volume exact n’est pas précisé, mais les termes « hundreds of thousands » indiquent plusieurs centaines de milliers d’enregistrements, ce qui représente une base de données d’identité très riche pour des acteurs malveillants.

Analyse technique de la compromission

Le vecteur d’accès décrit – des identifiants d’un agent de police conservés sur un dispositif personnel – suggère une faiblesse de la gestion des identités et des accès (IAM). L’absence de multi‑factor authentication (MFA) sur ces comptes a permis une escalade de privilèges directe vers la base DAVID. Une fois les credentials obtenus, les attaquants ont pu exploiter les droits de lecture sur les tables contenant les certificats de propriété, qui ne semblent pas être chiffrées au repos.

La présence de données sensibles (SSN, passeports) dans la même base que les informations de véhicule indique un manque de segmentation des données. Un schéma de séparation logique aurait limité la portée d’une compromission en isolant les champs d’identité des métadonnées de véhicule.

Impacts et recommandations

La divulgation de noms, adresses, VIN, SSN et documents d’identité ouvre la porte à des fraudes d’usurpation d’identité, à des escroqueries liées aux titres de propriété et à des attaques de social engineering ciblant les propriétaires de véhicules. Le fait que les permis de conduire ne soient pas inclus réduit légèrement le risque de falsification de documents officiels, mais les informations restantes restent suffisantes pour créer de faux dossiers de crédit.

Pour réduire la surface d’attaque, FLHSMV devrait immédiatement implémenter :

• MFA obligatoire pour tous les comptes à privilèges, y compris les accès temporaires des forces de l’ordre.

• Chiffrement des colonnes contenant des données personnelles sensibles (SSN, passeports).

• Segmentation stricte des bases de données, avec des contrôles d’accès basés sur le principe du moindre privilège.

• Surveillance continue des accès aux bases critiques, incluant l’audit des connexions depuis des appareils non gérés.

Ce incident rejoint, dans le même mois, le piratage d’IDScan qui a exposé plus de 150 millions d’images de permis de conduire, soulignant la vulnérabilité généralisée des systèmes d’identité aux États‑Unis.