Banco de dados de motoristas da Flórida é violado via conta policial roubada
O FLHSMV, órgão de trânsito da Flórida, confirmou que seu banco DAVID (com dados de motoristas e veículos) foi acessado indevidamente usando credenciais de um funcionário do Departamento de Polícia de Plant City, mal armazenadas em um dispositivo pessoal. O grupo ShinyHunters reivindicou o roubo de mais de 200 mil registros e divulgou capturas de tela como prova, incluindo dados ligados a Jeffrey Epstein. Não há confirmação de fraude já cometida com os dados, mas o tipo de informação exposta é justamente o insumo clássico para roubo de identidade.
O incidente não decorre de uma falha técnica sofisticada no sistema do DAVID, e sim de higiene de credenciais: um agente público guardou login e senha de acesso ao banco em um aparelho pessoal, que foi comprometido, dando a um invasor as chaves de um sistema que nunca foi desenhado para ser acessado fora de estações de trabalho controladas pela polícia. É o mesmo padrão que ShinyHunters e grupos correlatos vêm repetindo em 2026: em vez de explorar vulnerabilidades de zero-day, eles caçam credenciais fracas ou vazadas em dispositivos de funcionários com acesso privilegiado a bases de dados governamentais ricas em PII.
O valor desse tipo de vazamento para o ecossistema de fraude é indireto, mas real: registros de CNH normalmente trazem nome completo, endereço, data de nascimento, número de documento e, em alguns casos, histórico de veículos — exatamente os dados usados para abrir contas fraudulentas, solicitar cartões de crédito, contornar verificações de KYC baseadas em documento ou montar sinteticamente uma identidade (synthetic identity fraud). Não é necessário que o grupo invasor monetize diretamente; um segundo mercado de revenda desses lotes para fraudadores especializados em abertura de conta e crédito é comum.
Para profissionais de antifraude, o episódio reforça por que é arriscado tratar dados de DMV/CNH como "verificação forte" de identidade: bases inteiras já circularam ou circulam no submundo, então validações que dependem só de conferir número de documento e dados cadastrais perdem força como sinal isolado. Camadas complementares — biometria comportamental, device fingerprinting, checagem de consistência entre canais — seguem necessárias mesmo quando o documento apresentado "bate" com o cadastro oficial.
Do lado da prevenção institucional, o caso é um lembrete simples e recorrente: acesso a bases sensíveis deveria exigir MFA resistente a phishing, bloqueio de uso de credenciais fora de dispositivos gerenciados, e monitoramento de acessos anômalos por conta — controles que teriam dificultado o uso de uma credencial pessoal comprometida para puxar 200 mil registros de uma só vez.