La fuite de données du DMV de Floride attribuée à des identifiants policiers stockés sur un appareil personnel

L’agence automobile de Floride a subi une fuite de données après qu’un cybercriminel a utilisé des identifiants attribués à un employé du Plant City Police Department, ont confirmé les autorités de l’État.

Le Florida Department of Highway Safety and Motor Vehicles, ou FLHSMV, a découvert l’intrusion le 4 septembre. Les enquêteurs ont ensuite déterminé que le point d’accès impliquait un utilisateur du service de police dont les identifiants avaient été stockés de manière inappropriée sur un appareil électronique personnel.

ShinyHunters a revendiqué l’attaque lundi et publié des images censées montrer des informations obtenues depuis un système de la FLHSMV. Jeudi, les autorités de Floride ont confirmé que la revendication du groupe était fondée.

Le nombre de personnes concernées reste inconnu. La FLHSMV n’a pas non plus communiqué la liste complète des catégories d’informations consultées ni précisé publiquement quelle quantité de données l’attaquant avait extraite.

Un seul compte de police a ouvert l’accès aux dossiers de l’État

L’enquête a identifié les identifiants associés à un utilisateur du Plant City Police Department comme point d’entrée probable. Plant City se trouve à l’extérieur de Tampa.

Les autorités ont indiqué que les identifiants avaient été conservés sur l’appareil personnel de l’employé. Elles n’ont pas précisé si l’appareil avait été compromis par un malware, accessible au moyen d’une attaque par hameçonnage, fouillé après la prise de contrôle d’un autre compte ou exposé en raison d’un stockage ou d’une synchronisation non sécurisés.

La nature des identifiants reste également inconnue. La FLHSMV n’a pas indiqué si l’attaquant avait obtenu un mot de passe, une session de navigateur, un jeton d’authentification, un identifiant API, un profil d’accès à distance enregistré ou une autre forme d’accès réutilisable.

Ces distinctions sont importantes, car le simple changement d’un mot de passe ne met pas nécessairement fin à l’accès d’un attaquant. Les cookies de session volés et certains jetons peuvent rester valides jusqu’à leur révocation explicite, tandis que les coffres-forts de mots de passe synchronisés peuvent exposer les identifiants de plusieurs services.

Aucune vulnérabilité logicielle, version de produit concernée ou exploitation n’a été identifiée en lien avec la fuite. Les éléments disponibles décrivent plutôt une intrusion fondée sur l’identité : un cybercriminel a utilisé des identifiants légitimes pour pénétrer dans un environnement auquel le compte disposait déjà d’un accès autorisé.

On ignore si l’authentification multifacteur protégeait le compte. Les autorités n’ont pas non plus indiqué si les politiques d’accès autorisaient l’appareil personnel à se connecter directement aux ressources de la FLHSMV ou si les identifiants avaient été utilisés par l’intermédiaire d’un système de police distinct.

ShinyHunters publie un prétendu dossier du DMV

Pour prouver son accès, ShinyHunters a diffusé des images censées montrer un dossier du DMV de Floride associé à Jeffery Epstein, présenté comme un financier américain condamné pour abus sexuels sur mineurs.

L’image indique qu’au moins un dossier automobile pourrait avoir été consulté, mais elle ne permet pas d’établir l’ampleur totale de la compromission. Des captures d’écran peuvent démontrer qu’un intrus a atteint une interface ou un jeu de données précis sans prouver qu’une base de données entière a été téléchargée.

La FLHSMV n’a pas communiqué le nombre total de dossiers concernés. Elle n’a pas fourni d’inventaire définitif des champs exposés, tels que les noms, adresses, dates de naissance, informations de permis, photographies, données relatives aux véhicules ou autres identifiants susceptibles de figurer dans les systèmes automobiles.

Il n’est pas non plus établi que ShinyHunters ait exfiltré d’autres informations que celles présentées publiquement. Aucun élément public n’indique le déploiement d’un ransomware, et aucune perturbation opérationnelle des services du DMV de Floride n’a été signalée.

Cette incertitude laisse ouvertes plusieurs hypothèses quant à l’impact. L’incident pourrait avoir consisté en une simple consultation limitée via un compte, en des recherches plus larges effectuées avec les autorisations de l’utilisateur, en une extraction massive ou en un déplacement vers des systèmes connectés. La FLHSMV n’a pas indiqué quelle hypothèse était étayée par ses journaux.

La fuite d’IDScan n’a pas été reliée à l’incident en Floride

Les premières spéculations ont établi un lien entre la compromission de la FLHSMV et une fuite distincte chez IDScan, une entreprise spécialisée dans la vérification d’identité, qui concernait 153 millions de permis de conduire.

ShinyHunters avait auparavant tenté d’acheter la base de données dérobée à IDScan, créant un lien circonstanciel entre le groupe et les deux ensembles de données relatives aux permis de conduire. Toutefois, aucun élément ne permet actuellement d’établir que l’intrusion en Floride s’est appuyée sur les données d’IDScan ou qu’elle faisait partie de la même compromission.

Cette distinction est importante. Une base de données obtenue auprès d’un prestataire tiers et un accès non autorisé au moyen du compte d’un employé de l’État correspondent à deux vecteurs d’attaque différents, même si les informations obtenues se recoupent.

Dans le cas de la Floride, les enquêteurs ont attribué l’accès aux identifiants d’un seul utilisateur du Plant City Police Department. En l’absence de conclusions forensiques indiquant le contraire, l’incident d’IDScan doit être considéré comme distinct.

L’IA fait partie des méthodes plus larges du groupe, mais son rôle ici reste inconnu

ShinyHunters a revendiqué une série d’attaques visant les secteurs des technologies, de la santé, de la finance, du voyage, de l’éducation et des services aux consommateurs. Parmi les cibles citées figurent Jack Henry, McKesson, Carnival Cruises, Ticketmaster, AT&T, McGraw Hill, ADT et Rockstar.

D’autres opérations revendiquées ont touché une suite logicielle éducative largement déployée, un grand fabricant de dispositifs médicaux et plusieurs autres grandes entreprises. Dans le cas du fabricant de dispositifs médicaux, des informations concernant plus de 4 millions de personnes auraient été dérobées à la suite d’une attaque menée en avril. Un incident touchant une entreprise de technologies éducatives a provoqué des perturbations dans l’ensemble des États-Unis en mai.

Anthropic a publié jeudi un rapport décrivant comment des affiliés présumés de ShinyHunters ont utilisé l’intelligence artificielle lors d’intrusions. Les activités rapportées comprenaient l’identification d’identifiants, l’interprétation d’environnements techniques inconnus et la collecte d’informations sur les victimes à des fins d’extorsion.

Dans un cas examiné par Anthropic, un opérateur est passé de la possession d’un jeton de développeur volé au contrôle administratif complet de l’environnement cloud d’une victime en environ trois heures. Des incident responders de Google ont indiqué séparément la semaine dernière que des membres du groupe utilisaient des outils d’Anthropic à plusieurs étapes de leurs attaques.

Rien ne confirme que des outils d’IA aient été utilisés contre la FLHSMV. Les informations disponibles montrent néanmoins comment des attaquants peuvent combiner des identités volées à des opérations de reconnaissance et d’analyse technique assistées par l’IA, ce qui pourrait réduire le délai entre l’accès initial et la collecte des données.

L’IA ne remplace pas l’identifiant dans cette chaîne. Elle peut rendre un identifiant volé valide plus utile en aidant un opérateur à cartographier les systèmes, à comprendre les autorisations, à formuler des requêtes et à repérer les référentiels de données de valeur.

L’enquête doit encore combler d’importantes lacunes

La FLHSMV a informé d’autres administrations de Floride et collabore avec la Florida Digital Service. L’agence a reconnu publiquement la fuite et identifié l’utilisation probable des identifiants de l’employé de Plant City.

Elle n’a pas indiqué si les identifiants avaient été révoqués, si les mots de passe avaient été réinitialisés ou si les sessions actives avaient été interrompues. Aucune information publique ne concerne non plus l’analyse forensique des terminaux, les mesures de confinement, la conservation des journaux d’accès, les notifications aux personnes concernées ou les modifications apportées aux contrôles d’authentification.

Les enquêteurs devront déterminer quand l’attaquant a utilisé le compte pour la première fois, quelles ressources il a interrogées et si l’activité provenait d’appareils ou de lieux inhabituels. Ils devront également établir si les autorisations du compte permettaient un accès massif et si l’intrus a créé de nouveaux identifiants ou des mécanismes de persistance.

L’examen des comptes voisins est essentiel. Si l’appareil personnel stockait un identifiant gouvernemental, il pouvait en contenir d’autres dans le navigateur, des gestionnaires de mots de passe, des e-mails, des captures d’écran, des notes ou des applications synchronisées.

L’incident soulève également une question de gouvernance : le personnel chargé de l’application de la loi doit-il être autorisé à stocker sur des appareils non gérés les identifiants permettant d’accéder aux systèmes de l’État ? Si l’accès depuis un appareil personnel est permis, les administrations doivent mettre en place des contrôles applicables concernant le chiffrement, l’état de sécurité de l’appareil, le stockage des identifiants, la durée des sessions et la révocation à distance.

Les utilisateurs des administrations et des forces de l’ordre doivent considérer les identifiants similaires comme compromis

Les organisations dont le personnel accède à des bases de données automobiles ou à d’autres bases gouvernementales doivent identifier les comptes utilisés depuis des appareils personnels et les examiner immédiatement. Les identifiants stockés sur des terminaux non gérés doivent être considérés comme exposés jusqu’à l’examen de l’appareil et de l’activité associée au compte.

Les équipes de défense doivent :

• Révoquer les sessions actives et les jetons d’authentification plutôt que de compter uniquement sur un changement de mot de passe.
• Examiner les journaux de connexion, de requêtes et d’exportation à la recherche d’une activité inhabituelle impliquant des comptes des forces de l’ordre.
• Rechercher les accès depuis de nouveaux appareils, des lieux inattendus ou à des horaires inhabituels.
• Examiner les recherches anormales de dossiers, les requêtes en grand volume et les consultations répétées concernant des personnalités connues.
• Exiger une authentification multifacteur résistante à l’hameçonnage lorsqu’elle est prise en charge.
• Réserver l’accès aux systèmes sensibles aux appareils gérés et conformes.
• Empêcher le stockage des identifiants dans les navigateurs, les notes, les captures d’écran ou des outils de gestion de mots de passe non autorisés.
• Vérifier si les utilisateurs compromis avaient accès à d’autres systèmes de l’État ou des municipalités.
• Préserver les éléments présents sur les terminaux et les preuves d’authentification avant de réinstaller les appareils concernés.

Aucun domaine malveillant, aucune adresse IP, aucun hash de fichier ni aucun autre indicateur technique précis n’a été publié. Les organisations doivent donc se concentrer sur les éléments comportementaux et les anomalies liées aux comptes plutôt que de rechercher des correspondances avec des indicateurs publics.

Pour les particuliers, le risque immédiat est difficile à mesurer, car la FLHSMV n’a pas identifié la population concernée ni les champs de données exposés. Les obligations de notification et les mesures de protection appropriées dépendront de ce que les enquêteurs détermineront avoir été consulté ou extrait.

Le fait central est déjà établi : un seul ensemble d’identifiants autorisés par l’État, stocké sur un appareil personnel, a suffi à créer une voie d’accès vers l’environnement automobile de l’État. Les investigations forensiques restantes devront déterminer jusqu’où ShinyHunters a progressé après avoir pénétré dans le système.