Um grupo de criminosos cibernéticos publicou na internet uma grande quantidade de dados roubados de um sistema do estado da Flórida, nos Estados Unidos, que reúne informações sobre veículos e motoristas. O ataque atingiu o banco de dados conhecido como DAVID, utilizado pelas autoridades estaduais para consultar registros relacionados a veículos, proprietários e habilitação.
A invasão foi atribuída ao grupo ShinyHunters, conhecido por realizar ataques contra empresas e instituições e posteriormente exigir pagamentos para não divulgar as informações roubadas. Segundo os próprios criminosos, os dados foram publicados porque a vítima não teria atendido às exigências de resgate.
O caso ganhou ainda mais relevância porque os arquivos disponibilizados pelos invasores incluem informações pessoais de proprietários de veículos, além de documentos e identificadores que podem ser utilizados em golpes de identidade.
Como aconteceu a invasão
A invasão do sistema DAVID teria ocorrido no início de setembro. Antes da publicação dos dados, o grupo ShinyHunters afirmou ter conseguido acesso à base de informações mantida pelo Florida Department of Highway Safety and Motor Vehicles (FLHSMV).
A própria agência confirmou que sofreu uma violação de segurança.
Segundo informações divulgadas pelo órgão, os criminosos conseguiram obter as credenciais de um policial. O problema estava relacionado ao fato de essas credenciais terem sido armazenadas em um dispositivo pessoal.
Com esse acesso, os invasores conseguiram chegar ao sistema estadual utilizado para consultar informações sobre motoristas e veículos.
O episódio é um exemplo de como uma invasão não necessariamente começa diretamente no servidor de uma organização. Uma conta legítima, quando comprometida, pode funcionar como uma porta de entrada para sistemas que deveriam estar protegidos por diferentes camadas de segurança.
Especialistas em segurança consultados pela imprensa também chamaram atenção para o risco de armazenar credenciais utilizadas em sistemas governamentais em dispositivos pessoais.
Centenas de milhares de registros foram publicados
Depois de afirmar que havia invadido o sistema, o grupo publicou centenas de milhares de arquivos em seu site utilizado para divulgar dados roubados.
A análise realizada pela TechCrunch encontrou registros relacionados a certificados de propriedade de veículos. Esses documentos podem conter informações sobre compradores e vendedores, incluindo nomes e endereços.
Os arquivos também apresentam o número de identificação do veículo (VIN), código utilizado para identificar individualmente automóveis.
A combinação desses dados pode ser valiosa para criminosos porque permite relacionar uma pessoa a um veículo específico e a um endereço residencial ou comercial.
A quantidade de documentos divulgados também indica que o ataque não ficou restrito a um pequeno conjunto de registros utilizados apenas como prova de invasão.
Alguns arquivos continham números de seguridade social
Além dos registros relacionados a veículos, uma parcela menor dos arquivos roubados continha informações ainda mais sensíveis.
Segundo a análise dos dados obtidos pela TechCrunch, alguns documentos incluíam números de Social Security, equivalentes ao número utilizado para identificação de cidadãos nos Estados Unidos.
Também foram encontrados documentos emitidos por governos, incluindo passaportes de pessoas que não são cidadãs americanas e documentos relacionados à imigração.
Apesar disso, a análise inicial não indicou a presença de fotografias de pessoas ou cópias de carteiras de motorista nos arquivos publicados.
Isso não significa que os dados roubados sejam pouco relevantes. Informações de identidade podem ser combinadas com outros conjuntos de dados obtidos em vazamentos diferentes para criar perfis completos das vítimas.
Grupo exigiu pagamento de resgate
Antes de publicar os arquivos, o ShinyHunters teria tentado negociar com o estado da Flórida.
A lógica é semelhante à utilizada em ataques de extorsão: os criminosos roubam informações e prometem não divulgá-las caso a organização afetada aceite pagar determinado valor.
Nesse caso, o grupo afirmou que publicou os dados porque o governo não teria pago o resgate nem colaborado com suas exigências.
A publicação transforma o ataque em um problema ainda maior para as pessoas envolvidas. Mesmo quando uma organização consegue recuperar seus sistemas, impedir a continuidade do ataque e fechar a vulnerabilidade explorada, os dados que já foram copiados pelos criminosos podem continuar circulando.
Uma vez publicados ou compartilhados em fóruns clandestinos, documentos pessoais podem ser replicados diversas vezes.
Falha humana abriu caminho para os criminosos
Um dos pontos mais importantes do incidente está na forma como os hackers conseguiram chegar ao sistema estadual.
De acordo com o FLHSMV, as credenciais utilizadas no ataque estavam armazenadas em um dispositivo pessoal de um funcionário de um departamento de polícia. A conta acabou sendo comprometida, permitindo que os invasores utilizassem informações legítimas para acessar o sistema DAVID.
Esse tipo de situação é frequentemente associado ao conceito de shadow IT, utilizado para descrever tecnologias, dispositivos, serviços ou práticas utilizados fora dos controles oficiais de uma organização.
O problema é especialmente relevante em ambientes governamentais. Uma credencial pode permitir acesso a sistemas que concentram informações de milhares ou milhões de pessoas.
Por isso, mecanismos como autenticação multifator, gerenciamento centralizado de credenciais, restrições de dispositivos e monitoramento de acessos podem reduzir o impacto de uma senha ou conta comprometida.
O que é o sistema DAVID?
O DAVID é o sistema utilizado pelas autoridades de trânsito da Flórida para administrar e consultar informações relacionadas a motoristas e veículos.
Por concentrar diferentes tipos de registros, uma plataforma desse tipo se torna um alvo valioso para grupos especializados em roubo de informações.
Em vez de atacar individualmente milhares de motoristas, um criminoso que consegue acesso ao banco centralizado pode potencialmente consultar grandes quantidades de registros a partir de uma única invasão.
Esse modelo representa um dos principais desafios enfrentados por governos na proteção de dados pessoais: quanto maior a concentração de informações em uma única plataforma, maior pode ser o impacto de um comprometimento.
Flórida não é o único caso recente
O vazamento acontece em um período de grande preocupação com o roubo de documentos de identidade na América do Norte.
No mesmo mês, outro incidente envolvendo a empresa de verificação de identidade IDScan expôs uma quantidade muito maior de documentos. Segundo reportagens sobre o caso, hackers obtiveram acesso a mais de 150 milhões de imagens de carteiras de motorista e outros documentos de identificação.
Os dois episódios são diferentes e não há indicação de que façam parte da mesma invasão. Entretanto, ambos demonstram o valor que informações de identificação possuem para criminosos.
Carteiras de motorista, passaportes, documentos de imigração e registros governamentais podem ser utilizados em tentativas de fraude, abertura de contas, falsificação de identidade e golpes direcionados.
Autoridades devem notificar pessoas afetadas
O governo da Flórida informou que comunicaria as pessoas cujos dados foram identificados como comprometidos. O caso também foi encaminhado às autoridades estaduais responsáveis pela investigação.
Ainda não está claro publicamente o número exato de pessoas afetadas pelo incidente, já que a quantidade de arquivos roubados não equivale necessariamente ao número de indivíduos envolvidos. Um mesmo proprietário pode aparecer em diferentes registros, por exemplo.
Também permanece a necessidade de determinar exatamente quais informações foram acessadas durante a invasão e quais dados estavam presentes nos arquivos posteriormente publicados.
Vazamento mostra risco de credenciais fora do ambiente corporativo
O caso da Flórida deixa uma lição importante para organizações que trabalham com grandes bases de dados: proteger apenas os servidores não é suficiente.
Uma conta legítima comprometida pode permitir que um atacante contorne diversas barreiras de segurança. Se as credenciais dessa conta estiverem armazenadas em um dispositivo pessoal vulnerável, o problema pode começar muito antes de o invasor chegar à infraestrutura oficial.
Por isso, políticas de segurança precisam considerar todo o caminho de acesso aos sistemas, incluindo computadores pessoais, celulares, armazenamento de senhas, autenticação multifator e permissões concedidas a cada funcionário.
O ataque ao DAVID também mostra por que vazamentos envolvendo governos podem ser particularmente preocupantes. Os criminosos não precisam necessariamente roubar informações financeiras para causar danos. Nome, endereço, dados de veículos, identificadores governamentais e documentos pessoais já podem formar um conjunto extremamente valioso para atividades fraudulentas.
Enquanto as autoridades investigam a extensão do incidente, os dados publicados pelo ShinyHunters permanecem como uma consequência concreta da invasão. O episódio reforça que uma única credencial comprometida pode abrir caminho para uma quantidade de informações muito maior do que aquela originalmente associada à conta invadida.
