1.53亿份驾照扫描件待售：Nexus案与KYC数据问题
2026年9月初，一个名为Nexus的暗网服务提供可搜索访问：超过1.53亿份美国和加拿大驾照的扫描件，外加数百万份其他身份证件。几天之内，FBI新奥尔良分局就这些图像的来源立案展开正式调查，KrebsOnSecurity率先报道了此事。FBI的角度上了头条，但更深层的故事在于基础设施：支撑KYC检查的身份验证系统，已成为暗网数据交易中最经久不衰的目标之一。
Nexus在卖什么
其宣称的数字即使按暗网标准也属罕见：超过1.53亿份美加驾照、逾1000万张身份证件、300多万份旅行证件或国际身份证，以及至少57.9万张医疗卡。空白搜索返回约1150万页结果，而在相关报道调研期间，驾照数量在24小时内就增长了近40万。该服务在俄语网络犯罪论坛Exploit上做宣传——甚至把报道此事的记者本人的弗吉尼亚驾照当作免费样本挂出。 每条记录可能包含六个图像文件：正常光下的驾照正反面，加上两者的红外与紫外版本——正是自动化证件核验所要检查的格式。库存中还有大麻药房的会员卡与驾照混在一起，有些带有CDL或CAC之类的来源标注。时间戳自有其故事：在Nexus上找到自己驾照的人，能把它们对应到具体的日子——一次Hertz租车取车，或一次拉斯维加斯大麻药房的到访——正是他们亲手把证件交给柜员的时刻。与idscan.net的关联
线索指向总部位于路易斯安那州的身份验证公司idscan.net，其网站将Hertz、Target、FedEx、Motorola Solutions、Jack Henry和Caesars Entertainment等品牌列为客户。该公司称，其系统每月处理超过2100万次核验，覆盖逾2万个网点，其中包括美国19个州的1000多家大麻药房。KrebsOnSecurity判断数据很可能就是从该平台窃取的。9月8日，idscan.net发布通告称，一个未经授权的第三方可能已访问并复制了客户信息，包括完整姓名以及驾照或其他政府身份证件号码，公司正在通知受影响人员并提供信用保护。Caesars则表示自2025年2月起已不再是其客户；该案获得了国际报道，其中包括德国媒体的Tarnkappe。 FBI新奥尔良分局已立案正式调查，SecurityWeek报道称部分驾照显然属于FBI工作人员。零售与酒店业情报共享中心（Retail and Hospitality ISAC）证实，该服务在首批报道后不久即消失，登录页面被替换成一句简短的告示：“此服务已不再提供。”报道没有说明的是，已经售出的副本去向如何。如此规模的数据集，不会因为一家店铺关张就凭空消失。为什么驾照扫描件是这门生意里最耐放的商品
被盗的密码可以更换，被盗的卡片可以补发。驾照不同：它把一组基本固定的事实——全名、出生日期、住址、驾照号码——绑定在一张照片上，泄露之后没有任何一项可以批量修改。一个驾照号码会伴随一个人几十年。这正是正反面同时以可见光、红外和紫外拍摄的扫描件如此值钱的原因：它们既能通过人工核验，也能通过机器核验。 一份高质量的扫描件能开启多条攻击线路：- 身份合成。驾照数据与其他泄露记录组合后，可用于开设银行或信用账户——Cybera研究员Larry Baldwin在Nexus上发现自己的扫描件后正是这样指出的。
- 绕过证件核验。红外与紫外副本恰是自动化KYC系统检查的内容，因此完整扫描件能够支撑账号接管与欺诈性注册，而这些是裁剪照片做不到的。
- 人身暴露。记录中包含照片，因此会喂养图像匹配工具。Baldwin警告，这批数据可能危及那些经不起被找到的人——从逃离家暴的受害者到被转移安置的证人。
- 社会工程。攻击者手中一份真实的政府证件，会让冒充尝试的说服力大大增强。
组织在设计身份系统时，应当以身份证据终将被攻破为前提。一个看起来真实的文件，不能无限期地充当充分的身份证明。自己的驾照也出现在Nexus上的安全研究员Zach Edwards得出了更宽泛的结论：任何要求人们把驾照交给第三方服务的机制，都在给这些中心化的数据池输送原料，而对这些数据持有公司的监管，并未跟上它们的存储规模。
如果你的扫描件已在数据堆里：减损建议
IDScan.net表示正在通知受影响人员并提供信用保护。但任何在北美曾把驾照交给租车柜台、大麻药房或酒店前台的人，都有理由假定某处存在自己的扫描件。下面这些都不能撤销一次泄露；它们只是缩小买家能做的事情的范围。- 在主要征信机构冻结信用。如果无法以你的名义开设新的信贷额度，被盗驾照的获利空间会小得多。
- 预期会出现定向钓鱼。能报出你真实姓名、住址和驾照号码的骗子不是在猜；把这类信息当作已被攻破的证据。
- 交出证件之前先发问。证件能否在不被扫描、拍照或留存的情况下完成核验，是个合理的问题——也是SecurityWeek建议提出的问题。
- 拒绝补全拼图。掌握你驾照的攻击者会索要缺失的部分：验证码、自拍、补充文件。这些你完全可以拒绝。