El teléfono de un agente, una contraseña guardada y la base de datos de conductores de un estado

El Departamento de Seguridad Vial y Vehículos Motorizados de Florida confirmó el 11 de septiembre lo que un grupo de extorsión llevaba una semana afirmando. DAVID, el sistema con el que la policía y las agencias estatales consultan registros de conductores, datos de vehículos y la información personal asociada, fue asaltado. La agencia dice que supo de la intrusión el 4 de septiembre, un día después de que empezara la descarga de datos, y que el acceso ya está cerrado.

La vía de entrada es la parte que conviene leer dos veces. La investigación determinó que el atacante usó las credenciales de un único usuario del Plant City Police Department y que esas credenciales estaban, en palabras de la propia agencia, almacenadas de forma indebida en el dispositivo electrónico personal del empleado. Una persona que deja una clave de trabajo en un sitio cómodo. Ahí está la cadena entera.

ShinyHunters, que se atribuye el ataque, afirma haberse llevado más de 200.000 registros de conductores. Florida no ha confirmado ninguna cifra ni ha dicho qué campos quedaron expuestos, aunque la captura que el grupo enseñó como prueba mostraba un registro de DAVID con número de licencia y número de la seguridad social. El anuncio sobre Florida desapareció del sitio de filtraciones del grupo el mismo día en que el estado salió a hablar, algo que quienes siguen a estos grupos suelen leer como señal de que hubo conversación. Es además el segundo botín de datos de carnés de conducir estadounidenses que aparece este mes, tras la filtración de IDScan que Brian Krebs contó el 3 de septiembre.

Con la contraseña que un agente de Florida guardó en su móvil no puedes hacer nada. Con esa misma costumbre en tu propio equipo sí, y es más común de lo que nadie admite: el archivo de texto con las claves en el Escritorio, el navegador con la sesión del banco abierta en un PC sin bloqueo de pantalla. La comprobación de privacidad y cuentas de Tendvane muestra en qué cuentas ha iniciado sesión tu PC y cómo está protegida cada una, y la lista suele salir más larga de lo que uno espera.