1.53亿张驾照扫描件流向暗网：一家身份验证公司认了泄露

A5站长网9月12日消息，一起规模惊人的数据泄露事件这两天浮出水面。美国路易斯安那州的身份验证公司IDScan.net证实，有未授权第三方可能访问并复制了其云平台上客户账户中的部分信息，涉及姓名以及驾照或其他政府签发证件的号码。

事情的曝光过程很有戏剧性。独立安全记者Brian Krebs在8月31日收到线报，称俄语网络犯罪论坛上出现一个名为“Nexus”的暗网市场，正在兜售北美地区超过1.7亿人的身份文件扫描件。为验证真伪，卖家直接把Krebs本人的弗吉尼亚州驾照当成免费样品发给了他。Krebs随后逐一检索自己和其他知情者的记录，确认了泄露属实，并顺着数据追到了IDScan.net。卖家宣称的数据量包括超过1.53亿张驾照、1000万张身份证件、300万份旅行与国际证件，以及至少57.9万张医疗卡，其中加拿大记录超过110万份，仅安大略一省就接近47.4万份。更棘手的是，这批数据里还有商用驾照、用于进入政府设施的门禁卡，以及药房身份证件，种类远超一般的零售业泄露。

IDScan在9月4日发布了事故通知，称公司“在大约2026年9月1日前后”收到信息，随即采取措施保护系统，并聘请第三方专家调查，目前仍在配合联邦执法部门。美国联邦调查局新奥尔良分局已就此立案。公司表示正在“出于审慎”通知可能受影响的个人，并提供免费的信用监测和身份保护服务。

这起事件有两个细节值得普通人警醒。第一，泄露的是证件“扫描件”——正反面照片，还包含用于防伪验证的红外、紫外图像。这意味着被盗的不只是一个号码，而是一整套足以冒充你本人的视觉资料。安全专家反复提醒：泄露的驾照远比被盗的信用卡危险，因为信用卡能挂失、能换号，而驾照上的出生日期、家庭住址、体貌特征和政府证件号很难更改，危害可能伴随多年，可被用于贷款欺诈、账户接管和合成身份诈骗。第二，数据据称是“持续窃取超过一年”的累积结果，研究者甚至观察到单日新增近40万条记录，说明这可能不是一次性的历史转储。

从IDScan的业务结构看，问题的根源有普遍性。它向租车公司、零售商、药房等超过一千家商户提供身份与年龄核验服务，光是2025年就处理了约1.5亿次证件扫描。也就是说，你在租车柜台、便利店递出证件的那几秒钟，你的证件图像可能已经进入了某个第三方云平台，而绝大多数人根本不知道背后是哪家公司、数据存放在哪里。只要这类身份验证供应商使用集中式存储，一旦被攻破，波及面就会横跨大量看似无关的商户。对任何涉及用户身份数据的业务来说，这件事都值得当成一次压力测试：你依赖的第三方供应商权限是否最小化？数据是否必须留存？出事后的通知和补救机制是否提前写好？