导语：Zcash创始人Zooko转发了这条推文，背后是KrebsOnSecurity查实的一桩北美年度数据泄露大案——暗网Nexus明码标价1.53亿张驾照扫描件，美国国防部长的驾照标价100美元，FBI新奥尔良分局已火速介入调查。
事件回放：一条推文炸出的”惊天大雷”
这条被加密圈大佬Zooko转发的推文，看起来只是句轻飘飘的爆料，但它背后的故事可比推文本身刺激多了。一切要从独立安全记者Brian Krebs说起——这位以揭穿地下黑产著称的老哥，8月31日收到线人爆料：俄罗斯黑产论坛Exploit上冒出来一个叫Nexus的新卖家，正在兜售北美1.7亿人的证件扫描。
Krebs老哥一看就坐不住了——Nexus居然拿他本人的弗吉尼亚州驾照当免费样品，挂在销售帖里当广告。顺着这条线索往下查，他发现Nexus绝非虚张声势：平台里执行一次”空白搜索”就返回约1150万页结果，每页15条，总量与Nexus宣称的1.53亿份驾照高度吻合。美国国防部长Pete Hegseth的驾照被标价100美元单独出售，连FBI一位助理局长的证件也在列——这已经不是普通的身份买卖，简直是把美国政要的”全家桶”摆上了货架。
Nexus的货架上，到底有啥”硬货”
这次泄露的数据，远不止普通驾照那么简单。从目前披露的内容看，Nexus把几乎所有高价值身份文件都搜罗齐了：1.53亿张驾照、超过1000万张身份证、300万份旅行证件、57.9万张医疗卡，外加一些”重口味”彩蛋——商业驾照（CDL）、军人与联邦雇员的CAC卡、大麻销售许可卡……基本覆盖了一个北美成年人身份证明的全谱系。
更让人头皮发麻的是扫描的精细程度。Krebs自己那份记录包含6张图：正反面的普通、红外、紫外扫描各一组，每张图都带日期时间戳，而那个时间戳精确对应他2025年6月赴美中西部的一次行程。这意味着数据不是某次突发泄露偷来的零散快照，而是服务方”养”了一年多的系统化采集。Nexus自己在帖子里的原话也印证了这点：”我们已经连续向私有数据库外渗新数据超过一年。”过去24小时内，可查的驾照记录又增加了近40万条——这条暗线还在不断”进货”。
锅该谁背？线索指向一家身份验证巨头
Krebs请十几位亲友验证，结果9人的驾照都在数据库里，且都能对上一次具体的出行场景。顺着时间戳往回追溯，这些扫描的”出产地”高度集中——每份扫描都来自一家广泛被企业用于身份验证（KYC）的第三方服务商，服务客户涵盖多家世界500强企业。目前业界主流推测指向总部位于路易斯安那州的IDScan.net，但该公司截至发稿尚未公开承认，FBI新奥尔良分局也已经正式立案调查。
这件事最值得玩味的，不是泄露的数据量，而是数据来源的身份。Nexus的运营者等于把一家本应守护用户身份的”守门人”，变成了批量倒卖身份的”批发商”。这种供应链内部失陷或系统性渗漏的模式，是近两年大型数据泄露事件中比较典型的路径——攻击面早已不在最终用户身上，而在他们看不见的B2B服务商那端。你以为你在和银行KYC打交道，其实你的驾照已经悄悄住进了第三方的数据库。
这事到底尴尬在哪儿
FulcrumSec这次的动作相当高调。一上来就把记者本人的驾照当免费样品发出来，营销胆子很大，颇有挑衅意味。但换个角度，这也暴露出黑产链条的进化——他们不只是卖账号密码，而是把”身份证明”做成了标准化商品，红外、紫外扫描齐备，时间戳都对得上，方便买家直接拿去开假账户、做KYC绕过、申请信用卡，一条龙服务。把”凭据变现”做成流水线，这套手法已经相当成熟。
但真正尴尬的是防守端。一家服务世界500强的身份验证公司，被人连续外渗超过一年都没察觉。IDScan.net这类KYC供应商掌握着海量高敏感数据，本应是黑产眼中的”高价值目标”，结果它倒成了最大的”漏水口”。这背后反映的是行业普遍存在的安全盲区：大家都在拼命防外部APT、防0day，却往往忽略了核心供应商其实早就被攻击者长期驻留。一年多才被发现，这种延迟放在任何一家企业的安全运营里都属于灾难级别。
所以这事儿真正的教训，与其说给最终用户，不如说是给所有依赖第三方处理敏感数据的企业——你的供应链安全等级，才是你真正的安全等级。
普通人和企业，能做点啥
对普通人来说，这种规模的泄露很难完全规避，但有几件事值得立刻做：留意银行、信用卡和信用报告里的异常活动，必要时申请信用冻结；在KYC流程上传驾照时，多问一句对方的数据保留周期和合规资质；优先选择支持”去标识化”或”最小化存储”的服务。
对企业来说，重点不在”我们也买KYC服务”上，而在”我们的KYC服务商，今天安全吗？”几个值得立刻拉清单的问题：第三方处理敏感数据的访问日志是否独立审计？数据是否加密、最小化存储？合同里有没有明确的安全事件通知SLA？这次Nexus事件，就是一次教科书式的演示——供应链里任何一个环节的失守，都会直接放大到所有下游企业。
版权声明：本文由华盟网原创发布，保留所有权利。配图由华盟网授权使用。
暂无评论内容