专家警告：Nexus身份信息泄露事件暴露了欺诈的蓝图

该暗网市场于8月下旬浮出水面，声称掌握约1.7亿条记录，其中包括超过1.53亿份美国和加拿大的驾驶执照、1000万份其他身份证件、300万份旅行证件以及至少57.9万张医疗卡。 其运营者声称，这些信息是在一年多时间里从一家大型身份验证公司窃取的。

Nexus数据泄露远不止于密码泄露

密码泄露固然糟糕，但通常还有一条出路：更改密码。而政府身份证明则截然不同。玛丽琳·奥尔德基安博士指出，驾驶执照包含的信息会伴随个人多年，甚至终身，包括照片、家庭住址和出生日期。

“在密码泄露事件中，人们可以重置凭证并继续前行，”奥尔德基安说道。她解释道，一旦政府身份证件被盗，这些信息实际上已与个人身份紧密绑定，犯罪分子一旦得手，便无法轻易重置。 Nexus事件之所以特别令人担忧，是因为据报道其中涉及红外线和紫外线扫描。 奥尔德基安解释说，这些扫描是“用于验证真实性的安全措施”，也就是说，它们被用来“验证实体文件是否真实”。她警告说，犯罪分子可能不仅拥有“你的身份证件，还掌握了用于证明该身份证件真实性的蓝图和技术层”。

这将引发诸多麻烦。“所有需要身份证明的系统——无论是开设银行账户、加密货币交易所账户、租车，还是验证电汇等（任何依赖此类身份证明进行身份验证的操作）——现在都已成为可能被利用的潜在攻击面，”奥尔德基安表示。

被盗的安全特征使欺诈风险加剧

一旦这些记录流入犯罪市场，身份盗用仅仅是开始。被盗的凭证可能会被反复利用，用于冒充他人、开设欺诈性银行账户、洗钱及其他犯罪活动。奥尔德基安警告称，由于底层文件本身是真实的，红外线和紫外线材料可能会使验证系统更难检测到欺诈行为。

此外还涉及物理安全层面。“例如，我们在加密货币领域看到，一些用户和数据泄露的受害者被识别为投资者，并成为物理攻击的目标，被迫交出资产，”奥尔德基安强调道。 “在此类情况下，家庭暴力幸存者以及参与证人保护计划的人员也可能因此面临危险。”

追踪线索指向了总部位于新奥尔良的身份验证服务商IDScan.net，该公司表示每月在超过20,000个地点处理超过2100万次身份验证。 IDScan 尚未正式确认其系统遭到入侵，但该公司已告知客户，正在调查有关数据可能已泄露的信息，并表示该公司“可能与此有关”。

Nexus 将 KYC 数据“蜜罐”置于显微镜下

这一事件还为“了解你的客户”（KYC）系统提出了一个令人不安的问题：收集海量的身份证明文件是否会形成一个对犯罪分子极具诱惑力的“蜜罐”？ Sumsub欺诈预防产品负责人阿特姆·波波夫（Artem Popov）表示，这一危险不仅限于KYC服务提供商。 “在任何地方存储个人数据都存在风险，这适用于所有处理此类数据的企业，而不仅仅是KYC服务提供商，”波波夫告诉Bitcoin.com News。他表示，人们应默认一旦将证件照片分享到网上，该照片便已泄露，因为它可能会流经许多超出个人控制范围的服务。

波波夫还警告称，被盗文件只是欺诈体系中的一环。“许多此类泄露归根结底是社会工程学所致，即有人被说服主动交出自己的数据，这正是为什么仅凭一份证件照片绝不应作为用户注册的依据，”波波夫说道。

专家呼吁将身份核查扩展到证件之外

波波夫表示，下一步是增加另一层验证。 “就像密码已经不足以登录任何敏感系统一样，身份证明文件也需要第二重验证因素，例如活体检测，以确认它确实属于出示者本人。”活体检测通常要求用户证明本人确实在场，而非仅仅提交被盗的照片或文件。

单纯用生物识别数据取代身份证件也并非万灵丹。波波夫警告称，生物识别技术本身会带来永久性风险，因为一旦面部或其他生物特征被泄露，就无法重新发放。与此同时，奥尔德基安表示，这一事件应促使业界对身份验证的安全规则及其执行方式进行更深入的审查。

据“克雷布斯安全网”报道，FBI的调查仍在进行中，拟议的集体诉讼已提交，而IDScan尚未发布完整的取证报告，随着调查人员努力查明事件的具体经过及数据泄露的范围，该行业仍未完全脱离险境。