#9月·每日幸运签#

当地时间 9 月 2 日，网络安全记者布莱恩・克雷布斯率先披露暗网 Nexus 交易平台出现大规模身份档案数据库，随后美国联邦调查局正式开启调查工作，多家海外科技媒体跟进报道这起数据泄露事件。

打开网易新闻 查看精彩图片

最近，暗网上出现了一个庞大的数据库，里面装着超过1.7亿美国和加拿大居民的个人证件扫描件。这个数字什么概念？美国和加拿大加起来也就三亿多人，差不多一半的人口被一锅端了。

具体泄露的东西很全。超过1.53亿份驾驶执照，约1000万份国民身份证，大约300万份旅行证件和国际文件，还有至少57.9万份患者的医疗记录。很多扫描件做得非常专业，连证件正反面的红外和紫外图像都有。这意味着这些扫描件可以用来绕过很多需要验证证件真伪的系统。

但这起事件最让人后背发凉的地方，是数据里出现了美国国防部长皮特·赫格塞思的驾照，还有一批国防部高级官员和战略安全专家的证件。一个国家的最高军事决策者，个人身份信息就这样被人挂在暗网上公开叫卖。

事情是怎么被发现的？独立网络安全记者布莱恩·克雷布斯接到线索后展开调查。他发现一个叫Nexus的暗网服务在公开出售这些数据。更绝的是，卖家为了招揽生意，把克雷布斯本人的弗吉尼亚驾照当作“免费样品”发到了俄语犯罪论坛上。这操作等于把调查记者直接引到了自己门口。克雷布斯的调查指向了新奥尔良一家叫IDScan.net的身份验证公司。这家公司每个月在全球超过两万个地点进行超过2100万次身份验证。它的客户包括赫兹租车、联邦快递、GameStop游戏零售连锁和凯撒娱乐等大公司。

这些数据到底怎么流出去的？克雷布斯和几位独立研究员找了九个愿意配合的朋友，查他们的驾照记录是否出现在泄露数据里。结果发现，这些人的共同点不是机场安检，而是租车柜台——好几家都是赫兹租车，还有一个是拉斯维加斯的大麻店。IDScan.net在2022年跟这家大麻连锁店签过独家验证协议，赫兹也是它的客户。也就是说，你在租车公司柜台掏出驾照的那一下，扫描数据可能就被存到了某个地方，然后整个数据库被人端走了。

Nexus平台声称他们已经持续窃取数据超过一年，光一天之内就新增了近40万条记录。研究人员在网站里随便搜了一下，返回了大约1150万页结果，每页15条信息。这个量级跟黑客宣称的吻合。不过有趣的是，克雷布斯的报道发出后几小时内，Nexus网站就消失了，只剩下一行字：“此服务不再可用。”

安全公司Cybera的拉里·鲍德温指出了一个很多人没想到的严重后果——那些依赖匿名生活的人，比如逃离家暴的人和受证人保护计划保护的人，他们的身份一旦暴露，后果可能是致命的。这些人没法换脸，也没法重新开始。

有分析认为，这种级别的泄露意味着外国情报机构可以对美国主要军事决策者的个人关系、行动轨迹和健康状况进行深入分析。换句话说，对手不仅能知道你是谁，还能通过你的驾照信息拼接出你的生活习惯、你去过哪里、你跟谁在一起。这比偷一份机密文件要命得多——文件可以改密码、可以换系统，但一个人的脸和身份信息改不了。

网上有人说，美国成天拿数据安全说事，动不动就指责别人搞网络攻击，结果自家防长的驾照先挂到了暗网上明码标价。还有人说，这1.53亿份数据，不知道要查到哪辈子去。

但这件事真正让人心里发毛的地方不在于数据本身，而在于它揭示的一个现实：我们每天都在把最私密的个人信息交给各种第三方——租车要扫驾照，住酒店要扫身份证，买东西要刷卡。这些数据被存在无数个公司的服务器里，而我们对这些公司怎么保护这些数据几乎一无所知。IDScan.net是一家做身份验证的公司，它的本职工作就是保护证件数据安全，结果恰恰是它出了问题。

当一个人的驾照扫描件、医疗记录、旅行文件全部落到暗网上被公开叫卖的时候，这个人基本上就没有隐私可言了。而这次，是1.7亿人同时失去了这种保护。这不是某个人的不幸，是整个系统的溃败。