Le téléphone d'un policier, un mot de passe enregistré, et la base de données des conducteurs d'un État

Le Department of Highway Safety and Motor Vehicles de Floride a confirmé le 11 septembre ce qu'un groupe d'extorsion affirmait depuis une semaine. DAVID, le système que la police et les agences de l'État utilisent pour consulter les dossiers des conducteurs, les détails des véhicules et les informations personnelles qui y sont rattachées, a été pénétré. L'agence dit avoir eu connaissance de l'intrusion le 4 septembre, le lendemain du début des téléchargements, et que l'accès a depuis été fermé.

C'est le mode d'entrée qui mérite une seconde lecture. L'enquête a établi que l'attaquant s'est servi des identifiants d'un seul utilisateur du Plant City Police Department, et que ces identifiants avaient été, selon les termes mêmes de l'agence, stockés de façon inappropriée sur l'appareil électronique personnel de l'employé. Une personne qui range un identifiant professionnel quelque part de pratique. Toute la chaîne tient là-dedans.

ShinyHunters, qui revendique l'attaque, affirme avoir pris plus de 200 000 dossiers de conducteurs. La Floride n'a confirmé aucun chiffre ni précisé quels champs ont été exposés, même si la capture d'écran fournie par le groupe comme preuve d'accès montrait un dossier DAVID contenant un numéro de permis et un numéro de sécurité sociale. L'annonce concernant la Floride a ensuite disparu du site de fuites du groupe le jour même où l'État s'est exprimé publiquement, ce que les observateurs de ces groupes interprètent généralement comme le signe qu'une discussion a eu lieu. C'est aussi le deuxième lot de données de permis de conduire américains à faire surface ce mois-ci, après la fuite IDScan révélée par Brian Krebs le 3 septembre.

Vous ne pouvez rien faire au sujet d'un mot de passe qu'un policier de Floride a enregistré sur son téléphone. Vous pouvez agir sur la même habitude sur votre propre machine, plus répandue que personne ne l'avoue : le fichier texte d'identifiants posé sur le Bureau, le navigateur connecté à une banque sur un PC sans écran de verrouillage. Le contrôle de confidentialité et des comptes de Tendvane montre à quels comptes votre PC est connecté et comment chacun est protégé, et la liste est en général plus longue que prévu.