La violazione del Florida DMV ricondotta a credenziali della polizia conservate su un dispositivo personale

L’agenzia automobilistica della Florida ha subito una violazione dei dati dopo che un criminale ha utilizzato credenziali assegnate a un dipendente del Plant City Police Department, hanno confermato funzionari statali.

Il Florida Department of Highway Safety and Motor Vehicles, o FLHSMV, ha scoperto l’intrusione il 4 settembre. Gli investigatori hanno stabilito successivamente che il percorso di accesso coinvolgeva un utente del dipartimento di polizia, le cui credenziali erano state conservate impropriamente su un dispositivo elettronico personale.

Lunedì ShinyHunters ha rivendicato la responsabilità dell’attacco e pubblicato immagini che pretenderebbero di mostrare informazioni ottenute da un sistema FLHSMV. Giovedì, le autorità della Florida hanno confermato che la rivendicazione del gruppo era autentica.

Il numero delle persone coinvolte resta sconosciuto. FLHSMV non ha inoltre comunicato le categorie complete di informazioni a cui è stato effettuato l’accesso né reso noto quanto è stato effettivamente sottratto dall’attaccante.

Un singolo account della polizia ha aperto un varco nei registri statali

L’indagine ha identificato le credenziali associate a un utente del Plant City Police Department come probabile punto d’ingresso. Plant City si trova nei pressi di Tampa.

Secondo le autorità, le credenziali erano state conservate sul dispositivo personale del dipendente. Non hanno chiarito se il dispositivo sia stato compromesso da un malware, raggiunto attraverso il phishing, analizzato dopo la compromissione di un altro account o esposto a causa di modalità di archiviazione o sincronizzazione non sicure.

Anche il tipo di credenziale è sconosciuto. FLHSMV non ha precisato se l’attaccante abbia ottenuto una password, una sessione del browser, un token di autenticazione, una credenziale API, un profilo di accesso remoto salvato o un’altra forma di accesso riutilizzabile.

Queste distinzioni sono importanti, perché la sola modifica della password non interrompe necessariamente l’accesso dell’attaccante. I cookie di sessione sottratti e alcuni token possono restare validi finché non vengono revocati esplicitamente, mentre gli archivi di password sincronizzati possono esporre le credenziali di diversi servizi.

Non sono state identificate vulnerabilità software, versioni di prodotto interessate o exploit in relazione alla violazione. Le informazioni disponibili descrivono invece un’intrusione basata sull’identità: un criminale ha utilizzato credenziali legittime per entrare in un ambiente al quale l’account aveva già accesso autorizzato.

Non è noto se l’account fosse protetto dall’autenticazione multifattore. Le autorità non hanno inoltre comunicato se le policy di accesso consentissero al dispositivo personale di connettersi direttamente alle risorse FLHSMV o se le credenziali fossero utilizzate attraverso un sistema di polizia separato.

ShinyHunters ha pubblicato un presunto documento del DMV

A dimostrazione dell’accesso ottenuto, ShinyHunters ha diffuso immagini che mostrerebbero un documento del Florida DMV associato a Jeffery Epstein, descritto come finanziere statunitense e criminale sessuale condannato per reati contro minori.

L’immagine indica un possibile accesso ad almeno un documento automobilistico, ma non stabilisce l’entità complessiva della compromissione. Le schermate possono dimostrare che un intruso ha raggiunto una determinata interfaccia o un dataset specifico, senza provare che sia stato scaricato un intero database.

FLHSMV non ha comunicato il numero totale dei documenti coinvolti. Non ha inoltre fornito un inventario definitivo dei campi esposti, come nomi, indirizzi, date di nascita, informazioni sulle patenti, fotografie, dati sui veicoli o altri identificativi che i sistemi automobilistici possono contenere.

Non è stato confermato neppure se ShinyHunters abbia esfiltrato ulteriori informazioni oltre al materiale mostrato. Non sono emerse prove pubbliche dell’installazione di ransomware e non sono state segnalate interruzioni operative dei servizi del Florida DMV.

L’incertezza lascia aperti diversi possibili livelli di impatto. L’incidente potrebbe riguardare una consultazione limitata effettuata tramite un singolo account, ricerche più ampie condotte sfruttando i permessi dell’utente, un’estrazione massiva o il passaggio a sistemi collegati. FLHSMV non ha indicato quale scenario sia supportato dai log.

La violazione di IDScan non è stata collegata all’incidente in Florida

Le prime ipotesi hanno collegato la compromissione di FLHSMV a una violazione distinta subita da IDScan, azienda che si occupa della verifica dell’identità, nella quale sono state coinvolte 153 milioni di patenti di guida.

In precedenza ShinyHunters aveva tentato di acquistare il database sottratto a IDScan, creando un collegamento circostanziale tra il gruppo e i due insiemi di dati relativi alle patenti. Tuttavia, al momento non esistono prove che stabiliscano che l’intrusione in Florida si sia basata sui dati di IDScan o facesse parte della stessa compromissione.

La distinzione è significativa. Un database ottenuto da un fornitore terzo e un accesso non autorizzato tramite l’account di un dipendente pubblico rappresentano due percorsi d’attacco diversi, anche quando le informazioni risultanti si sovrappongono.

Nel caso della Florida, gli investigatori hanno attribuito l’accesso alle credenziali appartenenti a un singolo utente del Plant City Police Department. Fino a quando gli accertamenti forensi non indicheranno il contrario, l’incidente di IDScan deve essere considerato separato.

L’AI fa parte della strategia più ampia del gruppo, ma il suo ruolo in questo caso è sconosciuto

ShinyHunters ha rivendicato una serie di attacchi contro aziende tecnologiche, sanitarie, finanziarie, di viaggi, dell’istruzione e dei servizi ai consumatori. Tra gli obiettivi citati figurano Jack Henry, McKesson, Carnival Cruises, Ticketmaster, AT&T, McGraw Hill, ADT e Rockstar.

Altre operazioni rivendicate hanno colpito una suite software per l’istruzione ampiamente utilizzata, un’importante azienda di dispositivi medici e altre grandi imprese. Nel caso dell’azienda di dispositivi medici, secondo quanto riportato, durante un attacco avvenuto ad aprile sono state sottratte informazioni relative a oltre quattro milioni di persone. A maggio, un incidente che ha coinvolto una società di tecnologia per l’istruzione ha causato disagi in tutti gli Stati Uniti.

Giovedì Anthropic ha pubblicato un rapporto che descrive come presunti affiliati di ShinyHunters abbiano utilizzato l’intelligenza artificiale durante le intrusioni. Le attività riportate comprendevano l’identificazione di credenziali, l’interpretazione di ambienti tecnici non familiari e la raccolta di informazioni sulle vittime a fini estorsivi.

In un caso esaminato da Anthropic, un operatore è passato dal possesso di un token sviluppatore sottratto al pieno controllo amministrativo dell’ambiente cloud della vittima in circa tre ore. La scorsa settimana, separatamente, i responsabili della gestione degli incidenti di Google hanno riferito che membri del gruppo utilizzavano strumenti Anthropic in diverse fasi degli attacchi.

Non è stato confermato l’utilizzo di strumenti di AI contro FLHSMV. Le informazioni più ampie disponibili mostrano comunque come gli attaccanti possano combinare identità sottratte e ricognizione e analisi tecnica assistite dall’AI, riducendo potenzialmente il tempo tra l’accesso iniziale e la raccolta dei dati.

L’AI non sostituisce la credenziale in questo processo. Può rendere più utile una credenziale sottratta e valida, aiutando l’operatore a mappare i sistemi, comprendere i permessi, formulare query e individuare gli archivi di maggior valore.

Restano importanti lacune da colmare nell’indagine

FLHSMV ha informato altri uffici del governo della Florida e sta collaborando con la Florida Digital Service. L’agenzia ha riconosciuto pubblicamente la violazione e individuato il probabile utilizzo delle credenziali del dipendente di Plant City.

Non ha comunicato se le credenziali siano state revocate, se le password siano state reimpostate o se le sessioni attive siano state terminate. Non sono inoltre disponibili informazioni pubbliche sulle analisi forensi degli endpoint, sulle misure di contenimento, sulla conservazione dei log di accesso, sulle notifiche alle persone coinvolte o sulle modifiche ai controlli di autenticazione.

Gli investigatori dovranno determinare quando l’attaccante ha utilizzato per la prima volta l’account, quali risorse ha interrogato e se l’attività provenisse da dispositivi o località insoliti. Dovranno inoltre stabilire se i permessi dell’account consentissero un accesso massivo e se l’intruso abbia creato nuove credenziali o meccanismi di persistenza.

È essenziale esaminare gli account collegati. Se il dispositivo personale conservava una credenziale governativa, potrebbe averne contenute altre tramite il browser, i password manager, le email, le schermate, le note o le applicazioni sincronizzate.

L’incidente solleva inoltre una questione di governance: se il personale delle forze dell’ordine debba poter conservare su dispositivi non gestiti le credenziali per i sistemi statali. Se l’accesso da dispositivi personali è consentito, le agenzie devono applicare controlli vincolanti relativi a cifratura, stato di sicurezza del dispositivo, conservazione delle credenziali, durata delle sessioni e revoca da remoto.

Gli utenti governativi e delle forze dell’ordine devono considerare esposte credenziali analoghe

Le organizzazioni il cui personale accede a database automobilistici o ad altri database governativi dovrebbero individuare gli account utilizzati da dispositivi personali e valutarli immediatamente. Le credenziali conservate su endpoint non gestiti devono essere considerate esposte finché il dispositivo e le attività associate all’account non saranno stati esaminati.

I team di sicurezza dovrebbero:

• Revocare le sessioni attive e i token di autenticazione, senza affidarsi soltanto alla modifica delle password.
• Esaminare i log di accesso, delle query e delle esportazioni alla ricerca di attività insolite che coinvolgano account delle forze dell’ordine.
• Cercare accessi effettuati da nuovi dispositivi, località inattese o in orari insoliti.
• Analizzare le ricerche anomale nei documenti, le query ad alto volume e le consultazioni ripetute di persone di rilievo.
• Richiedere un’autenticazione multifattore resistente al phishing, quando supportata.
• Limitare l’accesso ai sistemi sensibili ai dispositivi gestiti e conformi.
• Impedire la conservazione delle credenziali nei browser, nelle note, nelle schermate o in strumenti per password non autorizzati.
• Verificare se gli utenti compromessi avessero accesso ad altri sistemi statali o municipali.
• Conservare le prove relative agli endpoint e all’autenticazione prima di reinstallare l’immagine dei dispositivi coinvolti.

Non sono stati diffusi domini dannosi specifici, indirizzi IP, hash di file o altri indicatori tecnici. Le organizzazioni devono quindi concentrarsi sulle evidenze comportamentali e sulle anomalie a livello di account, anziché cercare corrispondenze con indicatori pubblici.

Per gli individui, il rischio immediato è difficile da misurare perché FLHSMV non ha identificato la popolazione coinvolta né i campi di dati esposti. Gli eventuali obblighi di notifica e le misure di protezione appropriate dipenderanno da quanto gli investigatori stabiliranno essere stato consultato o sottratto.

Il fatto centrale è già chiaro: un insieme di credenziali governative autorizzate, conservate su un dispositivo personale, è stato sufficiente a creare un percorso di accesso all’ambiente statale per la gestione dei veicoli. Gli ulteriori accertamenti forensi dovranno stabilire fin dove si siano spinti gli ShinyHunters dopo essere entrati.