Die Verkehrsbehörde des US-Bundesstaates Florida hat eingeräumt, dass ihre Fahrerdatenbank DAVID von Unbefugten angezapft wurde. Auslöser der Bestätigung waren Behauptungen der Erpressergruppe ShinyHunters, die den Einbruch zuvor öffentlich reklamiert und den Diebstahl von mehr als 200.000 Fahrerdatensätzen für sich beansprucht hatte.
“Am 4. September 2026 erfuhr FLHSMV von einem Datenabfluss, der von einer internationalen cyberkriminellen Organisation durchgeführt wurde”, heißt es in einer Stellungnahme der Behörde auf X. Der Vorfall sei rasch eingedämmt worden; ein weiterer Einbruch habe nicht stattgefunden und dauere auch nicht an.
Nach Darstellung von FLHSMV verschaffte sich der Angreifer Zugang über kompromittierte Zugangsdaten eines einzigen Nutzerkontos des Plant City Police Department. Die Anmeldedaten seien unsachgemäß auf dem privaten elektronischen Gerät des betreffenden Mitarbeiters abgelegt gewesen.
Diese Rekonstruktion widerspricht der Version der Angreifer. ShinyHunters hatte angegeben, eine Schwachstelle in der Funktion zum Zurücksetzen von Passwörtern ausgenutzt und damit Zugriff auf mehrere DAVID-Konten erlangt zu haben – darunter Konten von Mitarbeitern der Zulassungsbehörde sowie das Konto eines FBI-Agenten.
Die Gruppe erklärte weiter, sie habe ab dem 3. September systematisch die Datensatz-Kennungen in DAVID durchlaufen und die zugehörigen HTML-Seiten samt Bildern heruntergeladen. Als Beleg für den Einbruch veröffentlichten die Täter einen Bildschirmfoto-Auszug eines DAVID-Eintrags zu Jeffrey Epstein, der sensible persönliche Angaben sowie Fahrzeugdaten enthielt.
Gegenüber BleepingComputer erklärte ShinyHunters später, man habe den Zugang zu dem System verloren und gehe davon aus, dass die Schwachstelle geschlossen werde.
FLHSMV hat die Generalstaatsanwaltschaft von Florida über den Vorfall unterrichtet und arbeitet bei der Reaktion mit dem Florida Digital Service und dem Florida Department of Law Enforcement zusammen. “Da es sich um ein laufendes Strafverfahren handelt, werden weitere Informationen zu gegebener Zeit veröffentlicht”, teilte die Behörde mit.
Offen bleibt bislang, wie viele Datensätze im Zuge des Vorfalls tatsächlich eingesehen oder kopiert wurden. Die Behörde hat weder eine eigene Zahl genannt noch die Angabe der Angreifer von mehr als 200.000 entwendeten Datensätzen bestätigt.