ShinyHunters affirme avoir piraté la base DMV « DAVID » de Floride

Le groupe cybercriminel ShinyHunters affirme avoir obtenu une copie de DAVID, la base de données interne du département des véhicules à moteur de Floride (Florida Highway Safety and Motor Vehicles, FLHSMV). Selon les pirates, l'opération leur aurait permis d'exfiltrer plus de 200 000 dossiers de conducteurs. Il s'agit pour l'instant d'une revendication rapportée par la presse spécialisée américaine, sans confirmation officielle de l'État de Floride.

Une revendication transmise à la presse, avec une preuve ciblée

Selon les déclarations du groupe rapportées début septembre 2026 par le média spécialisé BleepingComputer, l'accès initial proviendrait d'une faille dans le mécanisme de réinitialisation de mot de passe de la plateforme DAVID. Cette faille aurait permis de compromettre plusieurs comptes, dont ceux, selon les pirates, d'employés du DMV et d'un agent du FBI disposant d'un accès au système. ShinyHunters affirme avoir commencé l'extraction des données autour du 3 septembre et dit avoir fixé un ultimatum au 11 septembre pour être contacté par l'État de Floride, avant une éventuelle publication du lot de données. Comme preuve, le groupe a diffusé une capture d'écran présentée comme le dossier DAVID de Jeffrey Epstein, incluant son adresse et ses véhicules immatriculés.

Quelles données personnelles seraient concernées

DAVID (« Driver and Vehicle Information Database ») est un système normalement réservé aux forces de l'ordre et aux administrations, utilisé pour consulter les dossiers de conducteurs et de véhicules en Floride. D'après ce que les pirates avancent, les informations visées couvriraient notamment :

• des demandes et données de permis de conduire

• des photographies et signatures numérisées

• des adresses postales

• des historiques de véhicules et d'immatriculation

• des informations liées à l'assurance automobile

Le mode opératoire habituel de ShinyHunters

ShinyHunters n'en est pas à son coup d'essai. Le nom est associé depuis 2024 à la vaste campagne d'extorsion visant des clients de la plateforme Snowflake, qui avait touché des entreprises comme Ticketmaster, AT&T ou Santander, puis plus récemment à des vagues de vols de données liées à des intégrations Salesforce chez de nombreuses entreprises. Le schéma se répète à chaque fois : revendiquer un accès, publier un échantillon présenté comme une preuve, fixer un délai avant publication, et laisser la pression médiatique jouer le rôle qu'une négociation discrète ne suffirait pas à obtenir seule. Plusieurs personnes présentées comme liées à la mouvance ShinyHunters ont par ailleurs déjà été interpellées dans le cadre d'enquêtes sur Snowflake, sur l'éditeur scolaire PowerSchool ou sur l'exploitation du forum de fuites Breached.

Comme le résume CyberInsider, média spécialisé qui a suivi l'affaire de près : « n'a pas pu vérifier de façon indépendante les affirmations de ShinyHunters, l'authenticité du document exposé, ni si les données proviennent bien d'une compromission directe » (traduit de l'anglais).

Ce qu'impliquerait une fuite de ce type pour les habitants

Un permis de conduire et une carte grise ne sont pas de simples documents administratifs : ce sont, aux États-Unis, des pièces couramment utilisées pour ouvrir un compte bancaire, souscrire un crédit ou prouver son adresse. Combinées à une photographie, une signature et une adresse, ce type de données constitue une base solide pour usurper une identité ou monter des tentatives de hameçonnage bien plus crédibles qu'un simple couple identifiant-mot de passe. Le fait que le système DAVID soit également utilisé par les forces de l'ordre ajoute une dimension sensible supplémentaire si l'accès a réellement été compromis, y compris pour les comptes professionnels concernés.

Ce qui reste à vérifier

Plusieurs éléments restent, à ce stade, non confirmés : l'authenticité réelle et l'intégralité du lot de données revendiqué, l'ampleur exacte de l'intrusion au-delà du chiffre de 200 000 dossiers avancé par les pirates eux-mêmes, et surtout une éventuelle réaction officielle de l'État de Floride ou du FLHSMV, qui n'avaient pas communiqué publiquement sur le sujet au moment de la rédaction de cet article. Comme souvent dans ce type d'affaire, seule une enquête indépendante ou une communication officielle permettra de distinguer une intrusion réelle d'une opération de pression médiatique visant la victime présumée.

Source

BleepingComputer, « ShinyHunters hackers claim breach of Florida "DAVID" DMV database », à lire sur bleepingcomputer.com.