Ett enda poliskonto gav en cyberkriminell aktör tillgång till delar av Floridas omfattande register över förare och fordon.
Florida Department of Highway Safety and Motor Vehicles, FLHSMV, uppger att angriparen kom över inloggningsuppgifter tillhörande en användare vid Plant City Police Department. Uppgifterna hade enligt myndighetens utredning lagrats felaktigt på den anställdes privata elektroniska enhet. Med de komprometterade uppgifterna kunde angriparen den 4 september komma åt myndighetens system.
Det betyder att intrånget, enligt myndighetens egen redogörelse, inte började med att någon knäckte själva körkortsdatabasen. Angriparen använde en legitim inloggning som redan gav tillgång till informationen.
Annons
Körkort, fordonsdata och dokumentbilder kan ha nåtts
FLHSMV meddelade den 16 oktober att den pågående utredningen visar att körkortsuppgifter, information om motorfordon, dokumentbilder och annan personlig information kan ha berörts.
Myndigheten har inte offentliggjort någon fullständig lista över exakt vilka uppgifter som exponerats för varje person. Den har inte heller angett hur många människor som omfattas av intrånget.
Det är en viktig skillnad mot vissa uppgifter som cirkulerat efter attacken. Hackergruppen ShinyHunters har i medier tagit på sig intrånget och hävdat att mer än 200 000 registerposter stulits. Den siffran har inte bekräftats av Florida.
Inloggningen låg på en privat enhet
Det mest uppseendeväckande är hur angriparen enligt myndigheten tog sig in.
FLHSMV säger att utredningen spårade intrånget till ett enda konto vid Plant City Police Department. Kontots inloggningsuppgifter hade ”improperly housed”, alltså förvarats på ett olämpligt sätt, på den anställdes privata elektroniska enhet.
Myndigheten har inte sagt om det rörde sig om en mobiltelefon, dator eller någon annan typ av enhet. Den har inte heller beskrivit exakt hur angriparen därefter fick tag på uppgifterna.
Det är därför mer korrekt att säga att inloggningsuppgifterna lagrades osäkert än att exempelvis påstå att ett lösenord låg i en oskyddad anteckning.
Angriparna och myndigheten ger olika bilder
ShinyHunters har gett en annan beskrivning av hur gruppen säger sig ha tagit sig in.
Gruppen har enligt rapportering hävdat att en svaghet i systemets lösenordsåterställning användes för att ta över flera konton, bland annat konton tillhörande myndighetsanställda. Floridas egen utredning pekar i stället ut de komprometterade uppgifterna från en enskild polisanvändare som vägen in.
Det går därför inte att slå fast ShinyHunters version som den tekniska orsaken till intrånget. FLHSMV har dessutom inte offentligt identifierat gruppen vid namn utan beskriver angriparen som en internationell cyberkriminell organisation.
Gamla Floridabor kan också vara drabbade
Intrånget begränsas inte nödvändigtvis till människor som i dag bor i Florida.
Myndigheten säger att personer som tidigare haft ett körkort, ID-kort eller ett fordon registrerat i delstaten också kan ha information kvar i systemen. Problemet är att FLHSMV inte alltid har aktuella adresser till tidigare invånare och därför inte kan garantera att alla får ett brev om incidenten.
Personer som fortfarande har ett giltigt körkort eller ID-kort och bedöms vara berörda ska kontaktas direkt.
Myndigheten har inte sett något missbruk
FLHSMV säger att det i nuläget inte finns några bevis för att den information som angriparen kom åt har använts för exempelvis identitetsbedrägerier.
Det betyder däremot inte att myndigheten kan slå fast att kopierade uppgifter aldrig kommer att användas. Berörda erbjuds därför ett års kostnadsfri identitets- och kreditövervakning via Sontiq, som ägs av TransUnion, samt en identitetsstöldförsäkring på upp till en miljon dollar.
Myndigheten rekommenderar också att berörda kontrollerar kontoutdrag och kreditupplysningar, bevakar sina internetkonton och överväger att lägga in bedrägerivarning eller kreditspärr.
Ett konto kan ge tillgång långt utanför polisen
Fallet visar ett återkommande problem när olika myndigheter delar centrala IT-system.
En lokal polis behöver inte ha hackats på traditionellt vis för att konsekvenserna ska bli stora. Om en anställds konto ger behörighet till ett centralt register kan just det kontot bli nyckeln till information som lagras av en helt annan myndighet.
I Florida används DAVID, Driver and Vehicle Information Database, för att ge behöriga användare åtkomst till information om förare och fordon. Inloggningssidan är uttryckligen begränsad till auktoriserade användare.
Läs mer: Revolut lämnade ut känslig kunddata till bedragare
Utredningen är fortfarande öppen
Florida säger att åtkomsten stoppades efter att intrånget upptäcktes och att berörda inloggningsuppgifter återställdes. Myndigheten har även tagit in cybersäkerhetsexperter och infört ytterligare skydd. Utredningen sker tillsammans med Florida Digital Service och Florida Department of Law Enforcement.
Hur mycket information angriparen faktiskt kopierade är fortfarande inte offentligt fastställt.
Det gör också rubriker om att ”hela Floridas körkortsregister” stals missvisande. Vad som är bekräftat är att en angripare med komprometterade polisuppgifter fick obehörig tillgång till register där körkorts-, fordons- och dokumentinformation lagrades.
Och vägen in verkar enligt myndighetens egen utredning ha börjat betydligt enklare än så: med en legitim inloggning som inte hade skyddats tillräckligt väl.
Läs mer: Dustin.se varnar kunder efter intrång: personuppgifter kan vara drabbade
Spela lite spel!
Spela lite spel från TeknikGeeks redaktions utvalda bibliotek. Ett slumpmässigt spel i varje artikel.