租一辆车，几小时后你的驾照照片就出现在暗网上明码标价。这不是电影情节，而是正在发生的现实。
网络安全媒体Krebs On Security近日披露，一个名为Nexus的个人信息窃盗服务正在暗网上大规模售卖北美居民的驾照扫描件。该服务声称持有超过1.53亿张美国与加拿大驾照的数字扫描图像，另有超过1000万张身份证件、300万份旅行文件及57.9万张医疗卡数据。
数据从哪来？
Nexus在宣传中自称这些证件扫描件来自"大型身份验证公司的信息泄露"，并称该公司的客户包括多家财富500强企业。Krebs On Security的创始人布莱恩·克雷布斯在调查中发现，Nexus的数据库中甚至包含美国国防部长皮特·赫格塞斯的驾照扫描件。
克雷布斯验证了10多位朋友的驾照是否出现在Nexus中，结果找到9份。更关键的是，每份驾照扫描件都带有时间戳，而这些时间戳对应的日期，恰好是这些人在那段时间内有过出行记录。
线索指向租车公司
克雷布斯最初怀疑数据源与机场有关，但Nexus中并没有护照数据。他逐一询问朋友在时间戳前后的行动，发现多人曾在Hertz租车。克雷布斯本人也曾在赴中西部参加家族葬礼时与母亲一起在Hertz租过车——他在Nexus中搜索母亲的驾照，果然找到了，且时间戳与自己驾照的时间戳仅相差几秒。
另一条线索来自安全研究员扎克·爱德华兹。他的证件也在Nexus中被售卖，时间戳对应他前往安全会议DEFCON的行程。爱德华兹没有租车，但曾在药房Planet13出示过身份证件。Planet13与身份验证服务商idscan.net有合作，而idscan.net的客户名单中恰好包含Hertz。idscan.net还公开表示，其身份验证流程会同时用红外线和紫外线扫描证件。
FBI已介入调查
克雷布斯将怀疑通报给idscan.net，对方仅回应"正在调查中"。与此同时，联邦调查局（FBI）已确认知悉此事，并已启动对该案的调查。
Ars Technica的高级安全编辑丹·古丁也证实自己成为受害者："就在前几天，我在一家知名租车公司租了一辆SUV，员工扫描我的驾照后几小时内，我的驾照高清扫描件就出现在暗网上出售。"
Krebs On Security报道此事后，Nexus的网站已从暗网消失，登录页面显示"该服务目前不可用"。
几个值得注意的细节
- Nexus在空参数搜索时，每页显示约15条个人信息，类似页面多达约1150万页
- 数据库中绝大多数为美国人证件，搜索"加拿大驾照"可返回约110万条结果
- 证件扫描件标注了来源类型："CDL"指商用驾照，"CAC"指允许进入政府大楼的通用访问卡
租车时被扫描驾照，几乎是每个出行者都经历过的日常动作。而这次事件暴露出的问题是：这些看似常规的身份验证流程，背后收集的数据一旦集中泄露，波及范围可能远超想象。目前调查仍在进行中，Nexus的数据究竟如何流出、涉及多少家企业，还有待FBI的进一步结论。
热门跟贴