El celular de un policía, una contraseña guardada y así quedó abierta la base de conductores de Florida
Florida dice que a su base de licencias de conducir se entró con el usuario de un solo empleado policial, guardado donde no debía estar. Los propios atacantes cuentan otra versión de cómo entraron.
Si tenés una licencia de conducir de Florida, tu registro vive en un sistema estatal llamado DAVID. El 4 de septiembre de 2026, el Departamento de Seguridad Vial y Vehículos Motorizados de Florida (FLHSMV) descubrió que alguien había estado adentro. La agencia asegura que el intruso usó credenciales activas de un usuario del Departamento de Policía de Plant City — credenciales que ese empleado había guardado, de forma indebida, en su propio dispositivo personal.
El grupo de extorsión ShinyHunters afirmó haberse llevado más de 200.000 registros de conductores. Florida no confirmó esa cifra, ni dijo cuántos registros fueron vistos o robados. Como prueba, los atacantes publicaron una captura de pantalla de un registro de DAVID perteneciente a Jeffrey Epstein, con datos personales y del vehículo.
Una base de datos de conductores no es una cuenta bancaria. No podés cambiar tu fecha de nacimiento, tu historial de direcciones, la foto de tu licencia ni tu vehículo después de una filtración. Ahí está la diferencia con una tarjeta robada: no hay reemisión posible. Quien tenga una copia la tiene para siempre, y las personas de esa base nunca fueron clientes que aceptaron nada — solo necesitaban manejar.
El punto de entrada importa más que la base en sí misma. La versión de Florida es que la contraseña guardada de una sola persona, en un celular o notebook personal, alcanzó para llegar a los registros de cientos de miles de desconocidos. Departamentos de policía de todo el país tienen ese mismo tipo de acceso a los sistemas estatales de conductores. El eslabón débil no es el servidor del estado — es cada dispositivo de cada persona que alguna vez recibió un usuario y una clave.
Una contraseña guardada. Cientos de miles de registros ajenos.
Y después está la parte que no cierra. Florida dice que el atacante usó credenciales robadas de un solo usuario policial. ShinyHunters dice otra cosa: que explotó una falla en el restablecimiento de contraseñas para entrar a varias cuentas de DAVID, incluidas algunas de empleados del DMV y de un agente del FBI, y que después recorrió los identificadores de registro uno por uno, descargando páginas e imágenes desde el 3 de septiembre. Son dos historias distintas. Una habla de un empleado descuidado. La otra dice que el sistema mismo dejó pasar a cualquiera. No sabemos cuál es la correcta — y hasta que alguien muestre pruebas, tampoco lo sabe quien está leyendo esto.
Cualquiera con una licencia de Florida — incluidos estudiantes y veinteañeros que la sacaron a los 16 y nunca más lo pensaron, y que hoy tienen un historial de direcciones y una foto de licencia guardados en el archivo de otro, sin forma de cambiarlos. También cualquiera cuyo trabajo incluye un usuario para entrar a un sistema del gobierno: la lección acá no es sobre los hackers, es sobre dónde dejás que tu propio celular guarde contraseñas. Y todo el resto de gente cuyos datos personales viven en una base estatal a la que nunca eligió sumarse — nadie se anota voluntariamente en un registro de conductores.
El FLHSMV dice que avisó a la Fiscalía General de Florida y que trabaja junto al Servicio Digital de Florida y al Departamento de Aplicación de la Ley de Florida. También dice que la investigación penal sigue abierta y que 'se dará más información en el momento apropiado' — sin fecha. Dos números para seguir de cerca: si el estado llega a confirmar cuántos registros fueron tocados, y si responde algo sobre la falla de restablecimiento de contraseñas que describió ShinyHunters. El grupo le dijo a BleepingComputer que había perdido el acceso y que creía que la falla ya se estaba parchando.
La prueba que eligieron publicar los atacantes fue el registro de Jeffrey Epstein. Un nombre conocido llama la atención — pero al lado, en esa misma base, hay alguien que ningún artículo va a nombrar jamás. Su archivo quedó copiado igual, y a esa persona nadie le va a avisar en particular.
Fuentes: Bleeping Computer, 11 de septiembre de 2026 — 'Florida confirms DMV database breached via stolen police account', de Lawrence Abrams; comunicado del FLHSMV publicado en X.
Porque la base de licencias de un estado quedó abierta por una sola contraseña policial guardada donde no debía, y la versión oficial no coincide con lo que cuentan los propios atacantes.
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones