ShinyHunters afirma ter vazado banco de dados DAVID do DMV da Flórida com dados de mais de 200 mil motoristas
O grupo de extorsão ShinyHunters alega ter comprometido o sistema DAVID, plataforma usada pelo Departamento de Trânsito (DMV) da Flórida, e roubado mais de 200 mil registros de motoristas. Dados de identidade governamental como esses são especialmente valiosos para fraude, pois costumam conter nome completo, endereço, data de nascimento e número de habilitação — insumos-chave para roubo de identidade e abertura de contas fraudulentas.
Bases de DMV como a DAVID armazenam justamente o tipo de dado que sustenta fraude de identidade completa (full identity fraud): nome, endereço, data de nascimento e número de documento de habilitação, muitas vezes acompanhados de foto. Diferente de um vazamento de credenciais de login, que exige que a vítima reutilize senha em outro serviço, dados de identidade governamental são reutilizáveis diretamente em qualquer processo de verificação que dependa de informação declarativa (KYC baseado em pergunta-resposta, por exemplo).
O grupo ShinyHunters tem histórico de extorsão de empresas após roubo de dados, frequentemente ameaçando publicar ou vender os lotes caso a vítima corporativa não pague. Registros de DMV vazados alimentam diretamente esquemas de abertura de conta bancária ou de crédito em nome de terceiros (contas laranja involuntárias), portabilidade fraudulenta de número de celular (SIM swap, que costuma exigir dados de identidade para “provar” a titularidade da linha) e phishing/vishing direcionado com dados reais que aumentam a credibilidade do golpista perante a vítima.
Como o vazamento envolve um órgão governamental, o dano potencial ultrapassa os titulares diretos: dados desse tipo tendem a circular por anos em fóruns de cibercrime e serem recombinados com outros vazamentos (data enrichment) para compor dossiês completos sobre indivíduos, elevando a taxa de sucesso de golpes de personificação.
Para instituições financeiras e de crédito que atendem clientes na Flórida, o recomendável é reforçar temporariamente etapas de verificação que não dependam só de dados estáticos (nome, endereço, data de nascimento), priorizando biometria, prova de vida e checagem de dispositivo/comportamento. Para os cidadãos afetados, vale monitorar extrato de crédito, considerar bloqueio preventivo (credit freeze) e desconfiar de contatos não solicitados que citem corretamente dados pessoais como prova de legitimidade.