La agencia de registros de conductores de Florida informó que una organización internacional de ciberdelincuentes vulneró una base de datos estatal utilizando las credenciales de acceso de un usuario del Departamento de Policía de Plant City, las cuales fueron almacenadas de forma indebida en un dispositivo electrónico personal. El Departamento de Seguridad Vial y Vehículos Motorizados de Florida declaró que tuvo conocimiento de la intrusión el 4 de septiembre, la contuvo rápidamente y no ha detectado ninguna otra violación de seguridad.
El incidente tiene repercusión a nivel estatal porque la cuenta comprometida llegó a la base de datos de información de conductores y vehículos, conocida como DAVID. Los agentes del orden y los usuarios gubernamentales autorizados dependen de este sistema para recuperar los registros de conductores y vehículos. Un informe local indicó que la agencia rastreó el acceso hasta las credenciales de un usuario de la policía de Plant City, lo que confirma hasta el momento que el acceso se debió a la gestión de credenciales, en lugar de a una vulnerabilidad pública en la plataforma estatal.
Aún quedan preguntas importantes sin respuesta. El Departamento de Seguridad Vial y Vehículos Motorizados de Florida (FLHSMV) no ha revelado públicamente cuántas personas se vieron afectadas, qué campos fueron consultados o copiados, cuánto duró el acceso no autorizado ni si se requerirán notificaciones individuales. Un grupo de ciberdelincuentes afirma haber obtenido más de 200 000 registros de conductores, pero la información sobre el caso señala que Florida no ha confirmado esa cifra. Por lo tanto, considerar esa cifra como establecida iría más allá de los registros públicos.
El departamento informó que notificó al fiscal general de Florida y que está colaborando con el Servicio Digital de Florida y el Departamento de Aplicación de la Ley de Florida mientras continúa la investigación penal. Dicha notificación tiene implicaciones legales. La ley de Florida sobre violaciones de seguridad define una violación como el acceso no autorizado a datos electrónicos que contienen información personal, exige la notificación al Departamento de Asuntos Legales cuando al menos 500 floridanos se ven afectados y, por lo general, exige la notificación a las personas cuya información personal fue accedida. La ley permite una demora si las autoridades policiales consideran que la notificación interferiría con la investigación.
Para los residentes, la ausencia de un recuento confirmado de registros o un calendario de notificaciones implica que el riesgo real aún no puede medirse a partir de la información pública. La ley exige que cualquier notificación individual describa cuándo ocurrió la violación de seguridad, qué información personal fue accedida o se cree razonablemente que fue accedida, y cómo contactar a la entidad que custodia los datos. Hasta que FLHSMV publique esos detalles, los residentes deben distinguir los hechos confirmados por el estado —credenciales locales comprometidas, acceso a DAVID y medidas de contención— de las afirmaciones no verificadas del atacante sobre el volumen de datos.
Este episodio también pone de manifiesto un problema de gobernanza que va más allá de una sola cuenta. Una base de datos estatal puede protegerse de forma centralizada, pero aun así depender de las prácticas de seguridad de cada punto final local autorizado. La investigación en curso deberá determinar qué información se sustrajo, si se probaron otras credenciales y si es necesario modificar los controles de acceso o la monitorización. Estos hallazgos, más que la publicidad del atacante, determinarán la verdadera magnitud de la brecha y las medidas que Florida debe tomar a continuación.
