暗网最近上架了一个“超级大礼包”——1.53亿份美国及加拿大驾照扫描件，附带1000多万份身份证、300万份旅行证件和57.9万张医疗卡。美国持有驾照的司机总共才2.42亿，换算下来，每三个司机里就有两个人的证件被挂上了货架。
消息来自安全研究组织KrebsOnSecurity。创始人Brian Krebs在暗网平台Nexus上试着搜了一下，系统直接返回1150万页结果，每页15条记录，和黑客声称的1.53亿份基本对得上。这批数据不止普通驾照，连商业驾驶证、军人及联邦政府人员认证卡都在里面，甚至包括美国国防部长皮特·赫格塞思的驾照扫描件。还有一位FBI助理局长也没能幸免。
更狠的是，黑客用Krebs本人的弗吉尼亚州驾照扫描件当“商品展示样图”，摆明了是挑衅。顺着线索追查，Krebs把泄露源头锁定在新奥尔良的身份验证服务商IDScan.net。这家公司为全球超过2万个网点提供证件扫描与验证技术，每月处理超2100万次验证请求，客户名单包括赫兹租车、塔吉特百货、联邦快递、凯撒娱乐等知名企业。
多个受害者的驾照扫描时间戳和他们在赫兹租车柜台递证件的记录精确吻合——Krebs和他母亲的驾照在同一天、同一个赫兹柜台被扫描，间隔只有几秒。Nexus声称这些数据来自对IDScan.net的持续入侵，而且被发现后的24小时内又新增了近40万份驾照扫描件，说明泄露源头可能还在往外吐数据。FBI新奥尔良分局已经介入调查。
戏剧性的是，KrebsOnSecurity的报道刚发出来，Nexus网站就从暗网消失了，页面上只剩一句“服务已不可用”。但安全界都知道，数据一旦流进暗网生态，就会被多次转售和复制，下线一个站点不过是掩耳盗铃。
这批驾照扫描件的危险之处在于，它们包含姓名、地址、出生日期、证件号码、照片甚至条形码，能直接用于冒名开户、绕过平台身份验证。对赫格塞思这样的高层官员来说，驾照信息泄露还可能带来物理安全风险。
安全专家建议，担心信息泄露的普通人应该尽快冻结信用报告、监控银行账户异动、开启强多因素认证，并通过IdentityTheft.gov报告疑似身份盗用行为。考虑到IDScan.net的客户覆盖租车、零售、金融、医疗等多个行业，几乎所有在美国生活过并出示过实体证件的人，都有理由检查一下自己的信息安全状况。
这次事件暴露了一个更深层的问题：当身份验证服务本身成为攻击目标时，整个“信任链”就会从根部断裂。IDScan.net这样的B2B服务商掌握着海量敏感数据，却没能守住防线。商业公司追求效率和覆盖，往往在安全投入上打折扣——客户名单越长，安全漏洞的辐射面就越广。赫兹、塔吉特这些大企业看似无辜，但它们选择的服务商如果是一块“筛子”，所有用户信息都会被漏出去。
暗网上的数据交易早已形成完整产业链：从黑客入侵、批量爬取，到中间商清洗、分类、定价，再到下游买家利用这些信息实施诈骗、洗钱、盗用身份。Nexus这次开价——一套完整的驾照扫描件大约卖几美元，量大还有折扣。1.53亿份的总价听起来可怕，但对于黑产而言，这不过是生产成本中的一环，真正的大钱在后面。
