O telemóvel de um agente, uma palavra-passe guardada e a base de dados de condutores de um estado
O Departamento de Segurança Rodoviária e Veículos Motorizados da Florida confirmou a 11 de setembro aquilo que um grupo de extorsão andava a afirmar há uma semana. O DAVID, o sistema com que a polícia e as agências estaduais consultam registos de condutores, dados de veículos e a informação pessoal associada, foi assaltado. A agência diz ter sabido da intrusão a 4 de setembro, no dia seguinte ao início das transferências, e que o acesso já foi encerrado.
A forma como entraram é a parte que vale a pena ler duas vezes. A investigação concluiu que o atacante usou as credenciais de um único utilizador do Plant City Police Department e que essas credenciais estavam, nas palavras da própria agência, guardadas de forma indevida no dispositivo eletrónico pessoal do funcionário. Uma pessoa que põe uma senha de trabalho num sítio cómodo. A cadeia inteira é esta.
Os ShinyHunters, que reivindicam o ataque, dizem ter levado mais de 200.000 registos de condutores. A Florida não confirmou número nenhum nem disse que campos ficaram expostos, embora a captura de ecrã que o grupo mostrou como prova apresentasse um registo do DAVID com número de carta e número de segurança social. O anúncio sobre a Florida desapareceu depois do site de fugas do grupo no mesmo dia em que o estado veio a público, algo que quem acompanha estes grupos costuma ler como sinal de que houve conversa. É também o segundo lote de dados de cartas de condução americanas a aparecer este mês, depois da fuga na IDScan que Brian Krebs noticiou a 3 de setembro.
Sobre a palavra-passe que um agente na Florida guardou no telemóvel não pode fazer nada. Sobre o mesmo hábito na sua própria máquina pode, e é mais comum do que se admite: o ficheiro de texto com as credenciais no Ambiente de Trabalho, o navegador com a sessão do banco aberta num PC sem bloqueio de ecrã. A verificação de privacidade e contas do Tendvane mostra em que contas o seu PC tem sessão iniciada e como cada uma está protegida, e a lista costuma sair mais longa do que se espera.