Le DMV de Floride confirme une intrusion dans la base de conducteurs DAVID via un compte de police compromis

Le 11 septembre 2026, le Department of Highway Safety and Motor Vehicles (FLHSMV) de Floride a confirmé publiquement que son système DAVID — la base d'informations sur les conducteurs et les véhicules utilisée par les forces de l'ordre de tout l'État — avait été compromis. L'agence a indiqué avoir eu connaissance de l'intrusion pour la première fois le 4 septembre et l'avoir reliée à un unique compte compromis appartenant à un utilisateur du service de police de Plant City, plutôt qu'à une faille de la plateforme de base de données elle-même.

Le groupe d'extorsion ShinyHunters a revendiqué l'attaque, affirmant avoir dérobé plus de 200 000 dossiers de conducteurs floridiens et menaçant de diffuser les données. Selon le groupe, il aurait exploité une faiblesse de réinitialisation de mot de passe pour prendre le contrôle de plusieurs comptes au sein du système, dont des comptes d'employés du DMV et, selon lui, celui d'un agent du FBI. DAVID contient des informations très sensibles — adresses, numéros de sécurité sociale, dates de naissance, identifiants de permis de conduire, dates d'émission et d'expiration, véhicules immatriculés, transactions de permis, détails d'assurance et permis de stationnement.

Une intrusion par usage abusif d'identifiants, non un piratage de la plateforme

Le FLHSMV a présenté l'incident comme un usage abusif d'identifiants légitimes plutôt qu'une compromission du logiciel sous-jacent de DAVID, et a déclaré avoir agi pour sécuriser le compte concerné après avoir détecté l'intrusion. Cette intrusion faisait écho à une tendance plus large des campagnes de ShinyHunters à cette période, qui s'appuyaient sur des faiblesses de réinitialisation de mot de passe et d'identifiants plutôt que sur des exploits inédits.

L'agence ayant identifié et verrouillé l'unique voie d'accès compromise et qualifié l'exposition de limitée aux dossiers accessibles via ce compte, l'incident a été évalué comme contenu, même si la menace d'extorsion visant à publier les données volées des conducteurs restait en suspens.