インシデント / INCIDENT / DATA BREACH
フロリダ州の運転者データベースに不正侵入、警察官の認証情報が流用 — ShinyHuntersの犯行声明後に州当局が確認
フロリダ州高速道路安全自動車局（FLHSMV）は2026年9月、運転者・車両情報データベース「DAVID」が不正侵入を受けたことを確認した。侵入者はプラントシティー警察の利用者の認証情報を悪用し、職員が個人端末に不適切に保存していたものだった。20万件超の窃取をうたうShinyHuntersの主張について件数は確認されていない。
米フロリダ州高速道路安全自動車局（FLHSMV）は2026年9月、同州の運転者・車両情報データベース「DAVID」が不正侵入を受けたことを確認した。恐喝型犯罪集団ShinyHuntersが侵害を主張したことを受けた公表で、当局は2026年9月4日に国際的なサイバー犯罪組織による侵害を把握し、速やかに封じ込めたと説明している。現在も継続中の侵害はないという。
流用されたのは警察官1名の認証情報
DAVID（Driver And Vehicle Information Database）は、州内の法執行機関が運転者や車両の記録を照会する仕組みだ。当局の調査によれば、攻撃者はプラントシティー警察の利用者1名の認証情報を使って侵入した。この認証情報は、職員が個人の電子機器に不適切に保存していたものだったという。
当局は侵害を州司法長官に通知し、フロリダ・デジタル・サービスおよび州法執行局（FDLE）と連携して対応に当たっている。刑事捜査が継続中のためとして、詳細の公表は今後の適切な時期に委ねるとしている。
犯人側の主張と当局の説明は食い違う
ShinyHuntersは犯行声明で、パスワード再設定の欠陥を突いてDMV職員やFBI捜査官を含む複数のDAVIDアカウントに侵入し、9月3日から記録IDを総当たりで巡回して20万件超の運転記録を窃取したと主張した。証拠として運転記録のスクリーンショットも公開したとされる。その後、同集団はアクセスを失い、欠陥が修正されつつあるとの見方を示したという。
ただし、これらの主張は当局が確認した内容ではない。当局は窃取された件数を公表しておらず、侵入経路の説明も当局の調査結果（警察官1名の認証情報の流用）とは食い違っている。件数や手口の断定は、捜査の進展を待つ必要がある。
共有データベースを守る認証管理の重み
今回の事案で確定している教訓は、1つの組織の枠を超えて共有されるデータベースでは、末端の1つの認証情報の扱いが全体の防御を左右することだ。法執行機関の照会権限という強い権限が、個人端末への不適切な保存という基本的な不備から流用された。強い権限を持つ認証情報ほど、公私の端末を問わず保管と利用の統制が重要になることを示している。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。