美国的驾驶执照违规行为是一场国家安全灾难

美国驾照违规行为是一场国家安全灾难 上周，Krebs on Security 爆料了一项新推出的名为 Nexus 的暗网服务，该服务正在出售身份文件的访问权限，其中包括美国和加拿大公民的 300 万份旅行证件和 1.53 亿份驾照。这是一个巨大的漏洞，不仅将被用于普通的网络犯罪，而且还将为美国对手的情报机器提供信息。 Nexus 声称，它未经授权访问了一家大型身份验证公司，并花了一年多的时间“不断”将新数据泄露到私人数据库中。 Krebs on Security 指出，数据库中的许可证数量在一天内增加了近 400,000 个，这表明新数据的定期摄入。 Krebs on Security 能够验证该服务持有的驾驶执照是否真实。除了克雷布斯自己的许可证外，它还包含他九位朋友和家人的许可证。战争部长皮特·赫格斯（Pete Hegseth）、联邦调查局助理局长和其他美国政府高级官员也持有此类许可证。根据各种间接证据，克雷布斯将这一事件与身份验证服务 IDScan 联系起来。该服务的网站称，它通过确认身份证件的真实性并由其合法所有者提供以及检测欺诈性文件来帮助减少欺诈。 FBI 正在调查这一事件，IDScan 已确认正在调查数据泄露事件。在克雷布斯发表他的故事后不久，Nexus 服务也从暗网上消失了，尽管负责这次黑客攻击的人并没有声称已经删除了这些数据。想必他们一直保持低调，直到舆论平息为止。许可证和身份证件可用于促进身份盗窃和网络钓鱼攻击，但由于这些数据可用于为情报行动提供信息，因此此类事件也会对国家安全产生影响。对于情报界来说，许可证特别有价值，因为它们是关键的身份证明文件，并且许可证号经常在其他数据库中使用。当记录可以直接链接到包含家庭住址和照片的特定人员时，这些数据库，无论是被黑客入侵还是被购买，都会变得更有价值。这不是理论上的威胁。 2010 年代中期，中国网络间谍活动者从各种来源窃取了补充数据，这些数据综合起来可用于分析美国情报机构。各种中国 APT 组织窃取了健康保险公司 Anthem、信用报告公司 Equifax、万豪酒店、联合航空公司的信息，也许最重要的是，还窃取了人事管理办公室的安全许可信息。正如扎克·多尔夫曼 (Zach Dorfman) 的外交政策系列文章所述，美国情报界确信被盗数据被用来对抗美国针对中国的情报工作。当然，中国本身并不因发布详细报告描述其如何利用被盗数据而闻名，但调查研究机构 Bellingcat 已经准确展示了如何使用类似数据来揭露秘密政府活动。 2022 年，一个被黑客入侵的数据库提供了一条关键的旅行信息，帮助 Bellingcat 识别出一名试图渗透意大利那不勒斯北约指挥所的深层 GRU 特工（俄罗斯军事情报机构）。另一个引人注目的例子是，2018 年的三份 Bellingcat 报告确定了使用诺维乔克神经毒剂企图暗杀谢尔盖·斯克里帕尔的嫌疑人。显然，泄露和被黑的数据库对于 Bellingcat 的俄罗斯相关调查非常有用。 2020年，它表示“在过去几年中获得了数十个泄露的数据库，为我们提供了大量数据点来交叉引用和验证我们获得的任何新数据”。如果一个小型调查机构在俄罗斯数据泄露时收集这些数据，那么你可以打赌，中国情报部门正在对任何突然出现的美国数据做同样的事情。 IDScan 漏洞规模很大。数据库中的美国许可证数量大约占该国许可证总数的 63%。但身份验证公司的违规行为频繁发生，令人沮丧。过去两年，AU10TIX、Discord 的年龄验证服务提供商 5CA 和 National Public Data 都发生了违规事件。身份验证服务对于帮助防止欺诈是必要的，但如果安全做得不好，身份验证服务也会成为一个漏洞。这些服务处理的敏感数据量巨大，意味着它们应该受到严格的监管和监督。不过，我们是“严重风险行业”的现实主义者，我们认识到政府不可能迅速采取行动。在短期内，我们只能希望重大的财务后果将有助于鼓励这些公司加强其安全性。律师事务所a