Retour au blog
Hacks célèbresfuite donnéesAuthentification

Floride, base DAVID : 200 000 permis revendiqués par ShinyHunters via le compte d'un policier

Publié le 2026-09-125 min de lectureCleanIssue

> En bref : Le département des véhicules motorisés de Floride (FLHSMV) a confirmé qu'un cybercrime international a accédé à la base DAVID (Driver and Vehicle Information Database), avec découverte de l'incident le 4 septembre 2026. Le gang d'extorsion ShinyHunters revendique le vol de plus de 200 000 dossiers de conducteurs. Selon l'agence, l'attaquant a utilisé des identifiants compromis appartenant à un utilisateur du Plant City Police Department, « stockés de façon impropre sur l'appareil électronique personnel » de l'agent. ShinyHunters raconte une autre histoire : une faille de réinitialisation de mot de passe, des accès à plusieurs comptes (agents DMV, un agent du FBI), et une énumération des identifiants d'enregistrements à partir du 3 septembre.

Deux versions divergentes — et pourquoi ça compte

La version officielle (un seul compte, identifiants mal stockés sur un appareil personnel) et la version des attaquants (faille de reset, multiples comptes, énumération en masse) ne sont pas cosmétiquement différentes : elles engagent des remédiations distinctes. Un identifiant volé sur un téléphone personnel se corrige par des règles BYOD et de la MFA. Une faille de réinitialisation de mot de passe qui permet de prendre le contrôle de comptes arbitraires — y compris d'un agent du FBI — est un défaut produit qui touche potentiellement chaque utilisateur du système.

Les preuves publiées par ShinyHunters penchent pour une compromission étendue : le groupe a partagé la fiche DAVID de Jeffrey Epstein (informations personnelles et véhicule) et décrit un moissonnage méthodique des enregistrements par itération sur les ID. L'agence, de son côté, n'a confirmé ni le volume ni la méthode, et renvoie à l'enquête criminelle en cours — procureur général de Floride, Florida Digital Service et police judiciaire saisies.

Pourquoi ça vous concerne

DAVID est exactement le type de système qu'on retrouve dans chaque éditeur SaaS B2B : un back-office à forts privilèges où des comptes institutionnels (clients, partenaires, autorités, support) accèdent à des dossiers individuels — chez vous, ce seront des dossiers salariés, des bulletins de paie, des données de santé ou des identités. Les trois défaillances de cette affaire sont les trois classiques des back-offices :

  • des identifiants qui vivent en dehors du périmètre contrôlé (appareil personnel, sans gestionnaire de mots de passe ni MFA effective) ;
  • un flux de réinitialisation de mot de passe insuffisamment vérifié — le mécanisme censé secourir l'authentification devient le chemin d'attaque principal ;
  • une énumération possible : itérer sur des identifiants séquentiels et moissonner des fiches complètes suppose qu'aucune limite de débit ni détection d'anomalie ne s'est déclenchée sur des dizaines de milliers de requêtes.
  • Ce qu'il faut faire

  • Interdire le stockage d'identifiants professionnels sur des appareils personnels — et le rendre détectable : secrets scannés, sessions inexpliquées, connexions depuis des appareils non managés.
  • Imposer la MFA résistante au phishing sur chaque accès à des données personnelles, sans exception pour les comptes « institutionnels » ou « de confiance » — c'est précisément ceux-là qui sont ciblés.
  • Auditer le flux de réinitialisation de mot de passe comme une surface d'attaque à part entière : vérification d'identité progressive, notifications à l'utilisateur, verrouillage contre l'énumération.
  • Détecter le moissonnage : un compte légitime qui consulte des centaines de fiches séquentielles en peu de temps est une signature d'alerte simple et peu coûteuse — elle a manifestement manqué ici.
  • Préparer la divergence narrative : quand un gang revendique et que l'institution minimise, seule une investigation indépendante établit le périmètre réel. Documentez les logs d'accès AVANT d'en avoir besoin.
  • La leçon plus large

    Le même gang ShinyHunters apparaît dans plusieurs dossiers de cette rentrée (Brevo/Trezor côté logisticien ShipMonk, revendication Odido...). Les groupes d'extorsion industrialisent : un accès, une base, une exigence de rançon, une fuite publique si refus. Face à ça, la question n'est plus « nos mots de passe sont-ils forts » mais « combien de fiches un seul compte compromis peut-il extraire en une nuit, et qu'est-ce qui l'arrête ».

    Vous éditez un logiciel RH, paie ou recrutement ? CleanIssue réalise des audits de sécurité pour SaaS RH en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.

    Besoin d'une revue externe de votre SaaS RH ?

    Expliquez votre produit, votre stack et votre contexte client. Nous revenons vers vous avec le bon niveau de revue.

    Parler de votre audit