<strong>1.5亿份驾照护照疑遭窃取</strong>，身份核验巨头被黑引爆暗网数据泄露

独立安全记者Brian Krebs本周发布的一项调查显示，一个名为Nexus的暗网身份盗窃网站已公开了超过1.5亿份美国与加拿大居民的驾照和护照照片，疑似源自一家应对现实世界身份核验业务的公司。这意味着，如果你曾在酒吧、大麻商店或租车时出示过驾照或护照，这些证件信息很可能已经流入黑客之手。

Krebs在调查报告中指出，Nexus上线于本周，允许用户在暗网中直接检索证件数据。一个在知名俄语网络犯罪论坛上发布的推广帖声称，该站每天新增约50万份证照文档，数据来自一家“大型身份验证公司”，暗示黑客已几乎实时接入了对方系统，攻击者还在帖子中标注“如附带客户照片将一并显示”。

为验证数据真实性，Krebs在库中检索了自己的驾照，发现记录确实存在。美国国防部长皮特·赫格塞斯的证件照片也被列入可搜索条目。五角大楼发言人对TechCrunch回应称，已注意到相关报道并正在进行评估。

Krebs与同样在事件中受害的安全研究员Zach Edwards合作，将泄露源头锁定为身份验证服务商IDScan。这家总部位于路易斯安那州的公司，每月为全球各大科技和消费品牌核验数千万份身份证件，客户覆盖范围极广。

IDScan首席执行官Jimmy Roussel未回应TechCrunch的置评请求，COO Jillian Kossman则向Krebs表示公司正在调查此事。消息称，FBI新奥尔良办事处也已介入，联邦调查局发言人对TechCrunch的询问未作答复。Nexus网站在Krebs报道发布后不久即无法访问。

截至本文发布时，各方尚未确认此次泄露的确切规模与时间跨度，但若最终得到证实，这将是近年来已知最大规模的单一身份文件泄露事件。

这起事件的背景值得玩味：美国各州及多国政府正在密集推进年龄验证立法，要求成年人进入网站或App前上传身份证件以证明年龄。隐私倡导者对此提出多年警告——集中存证等于把数以亿计的高价值敏感信息放进少数企业的服务器里，一旦防线被撕开口子，后果是灾难性的。

IDScan代表了一类容易被忽视的中间角色：用户不会直接接触它，但它隐身在连锁酒吧、租车平台、电商后台甚至雇佣流程里，以“合规工具”的形态获取大量证件副本。用户把驾照递给前台店员时，很难想到这张卡片的数字拷贝会被传回数千公里外的服务器长期留存。这种链路越长，可被攻击的节点就越多——这次被突破的，恰好是链条上最不起眼的那家。

黑客在论坛中宣称“日均新增50万份文档”，这一数字若属实，说明入侵并非一次性拖库，而是持续了一段时间的实时传输。对普通用户而言，证件数据与密码不同，无法通过改密码或换绑手机号来止损，一旦泄露便永久暴露。在各国监管机构推进身份验证制度时，也许更应先回答一个问题：谁在替公众保管这些证件，它们的安全标准到底够不够硬？