上周，克雷布斯安全（Krebs on Security）曝光一个新推出的暗网服务尼克萨斯（Nexus），其售卖身份证件访问权限，含300万旅行证件与1.53亿美加公民驾照。尼克萨斯称非法接入大型身份验证公司并持续一年多外泄数据至私库。克雷布斯安全核实驾照真实，含本人九名亲友及战争部长皮特·赫格塞思（Pete Hegseth）等官员执照。单日库内驾照增近40万。

上周，Krebs on Security 曝光了一个名为 Nexus 的暗网新服务，它出售包括 300 万份旅行证件和 1.53 亿份美国与加拿大公民驾照在内的身份文件访问权限。这是一次特大泄露，不仅会被用于普通网络犯罪，还会喂饱美国对手的情报机器。

Nexus 声称未授权入侵了一家大型身份验证公司，并用一年多时间“持续”将新数据外泄到私有数据库。Krebs 注意到仅一天内库内执照就增加近 40 万份，说明在定期摄入新数据。

Krebs 验证了该服务持有的驾照为真，除他自己外，还有其九名亲友，以及战争部长 Pete Hegseth、一名 FBI 助理局长和其他高级官员的执照。

根据间接证据，Krebs 将事件关联到身份验证服务 IDScan。该公司网站称其通过确认证件真实且由合法主人出示来减少欺诈。

FBI 正在调查，IDScan 也确认在调查泄露。Nexus 在 Krebs 发文后不久从暗网消失，但黑客未声称删除了数据，估计是避风头。

驾照和身份证件可用于身份盗窃和钓鱼，但也能支撑情报行动，此类事件有国家安全影响。对情报界，执照尤其有价值，因为它是关键身份文件，执照号常用于其他数据库。这些库在能直接关联到具体人（含住址照片）时价值大增。

这不是理论威胁。2010 年代中期，中国网络间谍从多个源头窃取互补数据，可用于分析美国情报机构。不同中国 APT 组织窃取了 Anthem 健康险、Equifax 信用报告、Marriott 酒店、United Airlines 数据，以及最重要的 OPM 安全许可信息。美国情报界确信被盗数据被用于反制对中国的情报努力，如 Zach Dorfman 在 Foreign Policy 系列文章所述。

中国未发布详细报告，但调查组织 Bellingcat 展示了类似数据如何揭露隐蔽政府活动。2022 年，一个被黑数据库提供关键行程信息，帮助 Bellingcat 识别试图渗透那不勒斯北约司令部的 GRU 深潜特工。2018 年三篇报告通过类似数据识别出 Skripal 中毒案嫌疑人。Bellingcat 2020 年称过去几年获取数十个泄露库交叉验证。若小型调查机构都搜集俄数据，中国情报机构肯定也对任何美方数据如法炮制。

IDScan 泄露很大，库中美国执照约占全美总数 63%。但身份验证公司泄露频繁：过去两年 AU10TIX、Discord 年龄验证商 5CA、National Public Data 都出过事。身份验证服务防欺诈必要，但安全措施差时成漏洞。处理海量敏感数据应受严格监管。我们 Seriously Risky Business 现实主义者认为政府不会快速行动。短期只能希望巨额财务后果促其加强安全。律所已排队起诉 IDScan，FTC 关注也好。

美国军方的广告追踪遮羞布

6 月 Reuters 报道商业位置数据被用于针对中东美军人员。当时我们写道，国防部现有政策（包括禁用军方设备广告标识符）不足以让人放心。

本周 Reuters 报道，一些美军分支终于禁用部分军方设备上的广告标识符。空军称 7 月底禁用 Windows 和 Android 广告标识符（苹果设备早已禁用）。陆军称 2 月默认禁用安卓和苹果设备。特种作战司令部称 Windows 标识符“近期”禁用。

关闭广告标识符是基本缓解，本应数年前实施。美军 2016 年便获简报称商业位置数据可追踪人员至敏感地。2018 年有用户指出 Strava 热力图可识别美军基地甚至慢跑路线。

禁用标识符不完整，只是更难追踪而非不能。许多军人也用个人设备，需好政策。默认禁用是最简单短期措施，但不整体评估 OPSEC 不知是否有效，可能降不到可接受风险。军方终于默认禁用是好事，但我们担心他们不知效果如何。

“白帽子”在自欺欺人

周末，自称白帽黑客从 Liquid Network 加密平台偷走 3.2 亿美元比特币。到周三归还 85%，留约 4700 万。

近年常有先偷后索赏金的黑客。2021 年黑客偷 Poly Network 6.1 亿美元，最终全还（除公司给的 50 万赏金）。Multichain (2022)、Huobi (2023)、Tender.fi (2023) 类似：偷数百万还回，黑客留数万至数十万“赏金”。

突出的是 2022 年 Mango Markets 黑客 Avraham Eisenberg 提取 1.1 亿，称“高盈利交易策略”，还 6700 万，社区投票给他 4700 万。他 2024 年被判欺诈但去年被美法官推翻。

我们认为这些黑客自欺，还大部分就以为负责。法律或许不追，但 FBI 说受害者不能保证不起诉。Liquid Network 案中公司似乎未同意黑客留 15%。这“好人”可能得花 4700 万请律师。

本周三个值得高兴的理由

1. 可信防御者更多选项： 上周 Google 启动 Fairwind 计划，类似 Anthropic 的 Project Glasswing 和 OpenAI 的 Trusted Access，将高级 AI 网络能力限制给审查过的防御者。同日推出 Gemini 3.8 Flash Cyber 模型，专用于网络，便宜且前沿漏洞检测修补。
2. Sality 僵尸网络捣毁： 美司法部与 Europol 宣布国际行动破坏该僵尸网。它 2003 年出现，P2P 架构无单点故障。CrowdStrike 称过去八年其主要载荷 EggJagger 监控剪贴板替换加密钱包地址。
3. 美英合作打击诈骗网络： 英美签署谅解备忘录协作拆解全球诈骗中心。

Risky Biz 谈

在最新“两个书呆子之间”讨论中，Tom Uren 与 The Grugq 谈 AI 是否帮助关键基础设施及网络贫困线下的组织防御。

来自 Risky Bulletin

乌克兰总检察长因诈骗呼叫中心丑闻辞职： 乌克兰总检察长 Ruslan Kravchenko 周一辞职，因手下被指收贿保护全国诈骗呼叫中心。此前 NABU 逮捕其国际合作的副手 Serhiy Kropyva。NABU 报告称其办公室高层收贿对诱导虚假投资平台网络视而不见。

BEC 行动从法国公证员窃 3500 万欧： 过去四年黑客借商业邮件入侵从法国公证员窃超 3500 万欧。攻击者钓鱼控制网络，静默修改交易细节劫持汇款。Le Monde 称超 500 受害者，约 7% 法国公证处。

俄罗斯要求数据中心部署无人机防御： 俄政府指令数据中心运营者部署防无人机等物理威胁保护，作为关键基础设施防御部分。违者或被国家接管。普京上月签法令允许临时接管未防护或修复慢的设施。

讨论整体情绪悲观且愤怒，多数人认为数据泄露反复发生却无人担责，分歧在于问题主要出在企业激励与责任缺失，还是身份系统本身不可救药、个人信息早已无法保密。

认为历史泄露从未带来实质改变

• 2015年OPM泄露几乎波及所有申请安全许可者，数百万指纹被窃，但未见有用具体变化；这次很可能同样如此。（较多人） > 这次会有什么不同吗？OPM泄露是国家灾难，却没看到具体改变。（@er4hn）
• 有老前辈曾说计算机安全是矛盾修辞，当时觉得悲观，现在意识到是对的。（较多人）

认为罚款太低导致企业没有动力做安全

• 违规罚款远低于实施安全成本，公司宁愿交罚款；泄露后还卖新产品让用户再次提交个人信息。（较多人） > 安全要求被寄望于营利企业，但泄露罚款远低于实施安全的成本。（@sandeepkd）

认为需要高管和投资者的个人责任

• 解决方案是让管理层和投资者承担个人责任，追回终身薪酬并罚款，VC按净资产比例受罚。（少数人） > 每个曾任职的管理层都应被追回终身薪酬并再罚两倍，VC承担至净资产10%的个人责任。（@jsrozner）

认为身份系统本身没有密码学安全基础

• 现有身份系统只是旧世界补丁，IDScan不能加密证明身份；美国没有零信任的公民身份证明手段，导致欺诈和拼凑方案；新ID可能是补救，也可能是借机推国家ID。（少数人） > 除非有零信任的做法，否则我不知道修复方案是什么。（@shireboy）

认为个人信息早已被出售，隐私是错误信念

• 各州向信息经纪人出售驾照和注册信息，保险公司也卖；Lexis Nexis等早已可得。DPPA保护薄弱，允许用途可撒谎。ALPR照片也在同一数据库。根本问题是要求ID却不禁止他人持有。泄露或许能打破隐私幻觉，推动限制收集。（较多人） > 泄露可能最终改善隐私安全，因为它会打破“这些信息是私密的”这一错误信念。（@nullc）
• 数亿美国人信息已在NPD泄露中公开，认为这些信息只应由本人知道是错的。（较多人）

认为美国国家安全机构不关心本国公民

• 安全机构更担心外国纠葛，保护特定外国国家胜过本国人；也有人讽刺，放心让这些人处理自己的医疗和生活细节。（少数人） > 美国国家安全机构并不关心实际的美国人。（@robinsoncrusue）

有价值的补充

• 2015年OPM泄露不仅泄露大量人员信息，还导致数百万指纹被攻击者获取，说明生物特征一旦泄露无法更换。
• DPPA的允许用途包括“持牌私家侦探使用”和“批量分发调查、营销材料或招揽”，实际上只需勾选“用于许可目的”并付少量费用即可获取数据。
• ALPR数据库包含车辆在公共视野中的位置照片，与身份数据结合后风险更大。
• 有人询问是否有非暗网渠道检查自己的ID是否被泄露，并建议IDScan至少提供查询工具。