Filtrados los datos de miles de conductores en Florida tras el ciberataque a la base de datos de tráfico estatal

El grupo de ciberdelincuentes ShinyHunters ha publicado cientos de miles de registros confidenciales sustraídos del sistema central de vehículos a motor del estado de Florida, en Estados Unidos. La difusión masiva de estos archivos en la web oscura se produce tras la negativa de la agencia estatal a satisfacer la extorsión económica exigida por los atacantes, consumando una de las mayores brechas de seguridad que ha sufrido la administración vial regional en los últimos años.

La filtración afecta directamente a DAVID (Driver and Vehicle Information Database), la plataforma digital que gestiona el Departamento de Seguridad Vial y Vehículos Motorizados de Florida (FLHSMV). La propia entidad pública confirmó el incidente después de verificar que los atacantes lograron penetrar en su infraestructura a través de las credenciales de acceso de un agente de policía, las cuales se encontraban almacenadas de forma irregular en un dispositivo personal no corporativo.

Qué información ha quedado expuesta en la red

El análisis de los paquetes de datos liberados confirma que los atacantes consiguieron sustraer un volumen masivo de certificados de titularidad vehicular. Estos documentos contienen nombres completos, direcciones postales tanto de compradores como de vendedores y los respectivos números de identificación del vehículo (VIN), datos críticos habitualmente codiciados para la clonación documental y el fraude en compraventas.

Asimismo, los atacantes lograron hacerse con un lote complementario de documentación gubernamental especialmente sensible, entre los que se incluyen:

• Números de la Seguridad Social de ciudadanos estadounidenses.
• Copias de pasaportes extranjeros pertenecientes a residentes y visitantes.
• Expedientes y permisos de tramitación vinculados a servicios de inmigración.

Pese a la gravedad de los archivos expuestos, los primeros informes técnicos apuntan a que los atacantes no habrían obtenido las fotografías de los usuarios ni los números de permiso de conducir físicos, lo que delimita parcialmente el alcance del robo de identidad biométrico directo.

El chantaje de ShinyHunters y la respuesta institucional

Para demostrar la veracidad de la intrusión antes de liberar el archivo completo, la banda ShinyHunters publicó diversas capturas de pantalla de registros pertenecientes a figuras públicas vinculadas al estado, entre ellas documentación atribuida al fallecido magnate Jeffrey Epstein. En su comunicado, el grupo de ciberdelincuentes justificó la publicación abierta alegando que las autoridades estatales rechazaron cualquier tipo de negociación o cooperación económica.

La postura del FLHSMV responde a las directrices de ciberseguridad gubernamentales que desaconsejan sistemáticamente el pago de rescates a organizaciones delictivas. Ceder al chantaje no garantiza la destrucción de las copias sustraídas y retroalimenta el modelo de negocio de las mafias de la extorsión digital.

La vulnerabilidad de los sistemas de transporte e identidad

Este ataque vuelve a poner bajo el foco la fragilidad del perímetro de seguridad en las bases de datos de movilidad ciudadana. La brecha en Florida no es un hecho aislado; coincide en el tiempo con incidentes de enorme escala como el sufrido por la compañía de verificación biométrica e identidad IDScan, de cuyos servidores se extrajeron más de 150 millones de carnets de conducir digitalizados.

El vector de entrada en este incidente —un terminal privado utilizado por personal policial para almacenar claves corporativas— evidencia que las políticas de autenticación y la gestión de accesos privilegiados continúan siendo el eslabón más débil en la custodia de datos administrativos. Para los ciudadanos afectados, la exposición conjunta de direcciones físicas, números de bastidor y documentos oficiales abre la puerta a campañas de ingeniería social personalizada, robo de identidad y estafas en el mercado automovilístico.