實體身份證隱藏風險：美1.53億張駕駛執照掃描檔遭暗網交易

1.53億張駕駛執照掃描檔遭洩露 暗網交易揭露實體身份證隱藏風險

近日，網絡安全界揭發一宗規模龐大嘅個人資料外洩事件。一個名為 Nexus 嘅暗網平台聲稱，正出售超過 1.53 億張駕駛執照掃描檔。除咗駕駛執照之外，該平台亦同時兜售超過 1,000 萬張身份證、300 萬份旅遊及國際身份證明文件，以及超過 57.9 萬張醫療卡。呢個數字相當於美國人口嘅接近一半，規模令人震驚。

網絡安全研究機構 KrebsOnSecurity 於 2026年8月31日獲悉該暗網網站嘅存在。研究人員親自訪問該網站後發現，1.53 億呢個數字具有相當嘅可信度。僅僅進行一次空白搜尋，Nexus 已經顯示出高達 1,150 萬頁嘅搜尋結果，而每頁包含 15 筆資料記錄。

從地域分佈來看，絕大部分外洩嘅掃描檔屬於美國駕駛執照，但當中亦包含超過 100 萬張加拿大駕駛執照。值得注意嘅係，外洩資料並唔局限於普通市民嘅身份證，仲包括商業駕駛執照（CDL）以及通用存取卡（CAC）。後者主要用於授權人員進入政府建築物及高度保安區域，一旦遭濫用，後果不堪設想。甚至美國戰爭部長（United States Secretary of War）Pete Hegseth 嘅駕駛執照記錄，亦遭發現喺 Nexus 平台上可供查閱。

租車記錄與第三方驗證公司成懷疑對象

根據 Nexus 平台嘅說法，佢哋已經從「一間主要嘅身份驗證公司」持續提取數據超過一年。研究人員喺調查過程中，成功喺數據庫中搵到自己、親屬以及自願參與調查人士嘅資料。

KrebsOnSecurity 指出，數據庫中嘅許多受害者曾經透過 Hertz 租車公司租賃車輛。更關鍵嘅係，Nexus 列表上嘅時間戳記，往往同呢啲租車行為發生嘅日期完全吻合。呢個線索將調查方向指向咗第三方身份驗證服務供應商。

目前嘅主要理論認為，外洩數據可能源自 IDScan.net。呢間公司係一間知名嘅第三方身份驗證企業，而 Hertz 正係其已知嘅合作夥伴之一。IDScan.net 嘅業務範圍唔單止提供實體、面對面嘅身份證掃描硬件，更令人擔憂嘅係，佢哋同時提供開發者軟體開發工具包（SDK）以及流動應用程式整合服務。

換言之，如果用戶曾經為咗驗證年齡或使用某項服務，而需要透過手機應用程式拍攝身份證照片，呢個過程好有可能已經透過 IDScan.net 嘅數據庫進行處理。例如知名博彩應用程式 DraftKings 同電子簽名平台 eSign，均遭指使用 IDScan.net 嘅應用程式整合服務。

截至 2026年9月2日早上，IDScan.net 尚未就事件會否涉及數據洩露作出任何公開聲明。不過，美國聯邦調查局（FBI）已經正式介入，對該服務展開深入調查。

數碼身份證（Digital ID）能否成為解藥？

面對實體證件嘅安全隱患，部分讀者可能會聯想到數碼身份證（Digital ID）。如果你身處允許將身份證連結至 iPhone 錢包（Apple Wallet）嘅地區，或許會認為自己已經免受呢類風險影響。然而，實際情況可能只係「或許可以」。

數碼身份證確實具備減少企業收集及保留過多身份數據嘅潛力。以蘋果公司（Apple）嘅設計為例，數碼身份證嘅優勢係可以「選擇性分享」資訊。舉例說，當用戶喺超級市場購買酒精飲品需要驗證年齡時，iPhone 可以只向讀卡器提供出生日期，而唔需要透露家庭住址或駕駛執照號碼。呢種機制理論上能夠大幅降低數據洩漏時嘅損害範圍。

不過，呢個美好願景建立喺一個前提之上：商戶必須配備支援數碼身份證嘅專用讀卡器。現實情況係，絕大多數日常消費場所並未升級相關設備。此外，目前美國有 33 個州仍然唔支援將身份證加入 Wallet 應用程式，地域限制相當明顯。

即使喺支援嘅地區，數碼身份證嘅接受度亦僅限於特定場景，例如部分機場運輸安全管理局（TSA）嘅檢查站。喺許多其他情況下，實體身份證依然係唯一獲認可嘅證明文件。蘋果公司亦曾明確指出呢個事實。

從歷史經驗嚟睇，新技術嘅普及速度往往比預期緩慢。蘋果公司早於 2014年10月推出 Apple Pay，但直到 2019年初，當其獲美國 65% 嘅零售地點接受時，普及率先真正起飛。因此，期望身份驗證系統能夠喺短期內達到近乎全面普及嘅狀態，無異於不切實際嘅幻想。

更重要嘅係，目前並無任何證據顯示，數碼身份證驗證能夠解決今次嘅外洩事件。因為問題嘅根源可能唔在於用戶出示證件嘅方式，而係第三方驗證公司喺處理數據時嘅安全防護出現漏洞。即使蘋果公司設有「Verify with Wallet API」，佢亦嚴格限制可使用該服務嘅應用程式類型，例如博彩類應用程式就明確遭禁止使用。

對香港讀者嘅實用啟示與防範建議

雖然今次事件主要涉及北美地區嘅身份證明文件，但對於經常外遊或喜歡使用海外應用程式嘅香港讀者而言，依然具有高度嘅警示作用。

首先，海外租車時需提高警覺。香港居民前往美國、加拿大或其他國家旅遊並租賃車輛時，租車公司通常會掃描護照或國際駕駛許可證。建議讀者喺光顧租車服務前，先了解該公司嘅個人資料處理政策，確認佢哋會否將掃描檔儲存於第三方雲端服務，以及會保留幾耐。如有需要，可主動要求租車公司喺完成交易後刪除相關掃描記錄。

其次，謹慎對待流動應用程式嘅身份驗證要求。當下載新應用程式（特別係涉及金融、博彩或跨境服務）並遭要求拍攝身份證或護照照片時，應先查閱該應用程式嘅私隱政策，了解佢哋使用邊間第三方驗證服務。如果可能，盡量選擇信譽良好、透明度較高嘅大型企業服務，避免使用來歷不明嘅小型應用程式，以減少個人資料遭轉售或洩露嘅風險。

最後，定期監察個人信用報告及銀行賬戶活動。一旦發現任何未經授權嘅查詢或交易，應立即聯絡相關金融機構並報警處理。雖然香港嘅身份證系統同北美有所不同，但個人資料一旦遭竊取，依然可能遭用於精準嘅網絡釣魚詐騙（Phishing）或身份盜用。保持對陌生連結及可疑查詢嘅警覺，係保護自身權益嘅重要防線。

總結

1.53 億張駕駛執照掃描檔喺暗網遭兜售嘅事件，再次凸顯咗實體身份證明文件喺數位化過程中嘅安全脆弱性。雖然數碼身份證提供咗選擇性分享資訊嘅可能性，但受限於硬件普及率及生態系統嘅限制，短期內難以完全取代實體證件。對於一般大眾而言，了解個人資料喺邊啲環節可能遭第三方收集，並喺提供敏感文件時保持合理嘅懷疑態度，係目前最有效嘅自我保護方式。隨著執法部門嘅介入，事件嘅最終調查結果將進一步揭示第三方身份驗證行業嘅安全標準，值得持續關注。