Взлом DMV Флориды затронул данные водительских удостоверений, автомобилей, изображения документов и другую персональную информацию нынешних и бывших жителей штата. Доступ к системе был получен 4 сентября 2026 года через скомпрометированные учётные данные сотрудника местного правоохранительного ведомства, который ненадлежащим образом хранил их на электронном устройстве. Для российской IT-аудитории это очередное напоминание: защита критической системы ломается не обязательно через zero-day — иногда достаточно одного пароля, оставленного не там.
Департамент дорожной безопасности и транспортных средств Флориды (FLHSMV) начал рассылать уведомления пострадавшим и предложил год мониторинга кредитной истории через Sontiq. При этом ведомство прямо признаёт проблему с бывшими жителями штата: актуальных контактов у него может не быть, хотя их данные всё ещё находились в системах. Проверить возможную компрометацию таким людям предлагают через обращение в FLHSMV. Об инциденте сообщает Ars Technica.
По данным ведомства, пока нет свидетельств, что похищенную информацию уже использовали для мошенничества. Но набор потенциально скомпрометированных данных выглядит достаточно неприятно безо всяких подтверждённых злоупотреблений: водительские права и регистрационные сведения обычно содержат данные, из которых удобно собирать убедительные сценарии социальной инженерии, поддельные документы и заявки на финансовые продукты. Изображения документов делают задачу атакующих ещё проще: человеку гораздо сложнее отличить фишинг от настоящего письма, если преступник знает его адрес, номер удостоверения и вид самого документа.
Связь атаки с группировкой ShinyHunters официально не подтверждена властями Флориды. Однако ранее NBC Miami изучил публикацию в даркнете, где ShinyHunters заявила о компрометации DMV и дала властям срок до 11 сентября для переговоров о плате за нераскрытие массива данных. В качестве доказательства группа разместила фотографию предполагаемого водительского удостоверения покойного финансиста Джеффри Эпштейна, ранее жившего во Флориде. Позднее упоминания штата из публикации исчезли. Вице-президент по разведке компании Flashpoint Иан Грей предположил, что это может указывать на переговоры властей с вымогателями, но публичного подтверждения этой версии нет.
FLHSMV говорит, что после обнаружения инцидента заблокировал несанкционированный доступ, сбросил затронутые учётные данные, привлёк специалистов по кибербезопасности и добавил защитные меры. Расследование продолжается. Формулировка важна: ведомство не раскрывает, как долго злоумышленники находились в инфраструктуре и какой точный объём записей они успели просмотреть или выгрузить. Поэтому уведомления и кредитный мониторинг — разумная реакция для граждан, но не ответ на главный технический вопрос: почему учётные данные внешнего правоохранительного сотрудника вообще позволяли попасть в систему с настолько ценными данными.
Сам взлом DMV Флориды не связан с другой крупной утечкой, о которой сообщалось в сентябре: тогда речь шла о 153 млн американских водительских удостоверений и компании IDscan.net. Совпадение по тематике всё равно показательно. Базы, связанные с идентификацией граждан, становятся особенно привлекательной целью: их трудно «перевыпустить» так же легко, как банковскую карту, а срок жизни таких данных измеряется годами. С развитием автоматизированного поиска уязвимостей и инструментов на базе ИИ растёт не магия атаки, а скорость перебора слабых мест, открытых сервисов и плохо защищённых секретов.
Для команд разработки вывод здесь довольно приземлённый. Учётные данные не должны жить на пользовательских устройствах в виде, пригодном для повторного использования; доступ партнёров и подрядчиков должен быть минимальным, ограниченным по времени и наблюдаемым; а аномальные запросы к массивам персональных данных — вызывать тревогу до того, как инцидент станет новостью. Особенно это касается интеграций между ведомствами: доверенная учётная запись — не повод выдавать ей вечный и широкий доступ.
Для бизнеса урок не менее неприятный: формально защищённый периметр не спасает, если секреты уходят через соседнюю организацию с менее зрелыми процессами. Взлом DMV Флориды показывает, что оценивать риски поставщиков и партнёров нужно не только по наличию сертификата или подписанного SLA, но и по тому, как они управляют привилегированными доступами в реальной жизни. Следующим предметом публичного разбирательства, вероятно, станет не только объём утечки, но и границы ответственности между государственным ведомством и организацией, из которой пришли скомпрометированные данные для входа.