布莱恩·克雷布斯至今记得那个瞬间。他和母亲站在赫兹租车柜台前，递上驾照，店员拿着证件消失在柜台后方几分钟，去处理手续文件。这是那种没人会多想的寻常时刻。
克雷布斯，这位资深安全研究员，当时也没多想——直到他在暗网市场上发现了自己和母亲的驾照，时间戳相隔仅几秒，几乎精确匹配他们递出证件的那一刻。
就这样，克雷布斯追溯到了可能是美国历史上最大规模政府签发身份信息泄露事件的源头：超过1.53亿份来自美国和加拿大的驾照，外加超过1000万张身份证、300万本护照和旅行文件，以及超过50万张医疗卡，全部在一个名为Nexus的暗网服务上挂牌出售。联邦调查局新奥尔良办事处已确认，他们正对路易斯安那州身份验证公司idscan.net的明显入侵事件展开调查。根据该公司自己的营销资料，其扫描技术在超过2万个地点每月处理超过2100万次身份检查。
跳过那些泛泛的网络安全头条——因为汽车行业的线索就明摆在克雷布斯的报道里，而且毫不隐晦。多位协助他追踪泄露源的人士，包括他的家人，都表示在泄露文件日期前后，他们唯一交出驾照的地方就是租车柜台。克雷布斯特别点名了赫兹，idscan.net官网将赫兹列为合作品牌，其他客户还包括塔吉特、联邦快递、摩托罗拉解决方案、凯撒娱乐以及金融服务公司杰克亨利。
但这份客户名单，实际上并不像看上去那么稳固。克雷布斯的报道发布后，凯撒娱乐发言人告诉他，该公司自2025年2月起就不是idscan.net的客户，也未使用其VeriScan产品，尽管它仍出现在idscan.net官网的客户列表中。idscan.net的回应是，该事件对凯撒娱乐不应产生影响。也许吧。但如果一家供应商在合作关系结束一年半后仍在宣传该客户，更令人不安的问题是：合作关系结束后，它还会保留该客户的客户数据多久？
租车柜台只是idscan.net汽车业务的一半。打开公司官网，点击专门为汽车经销商设计的页面，宣传重点与年龄验证或便利性毫无关系。整个页面围绕一个承诺：在车辆盗窃发生前就将其阻止。
这并非营销噱头。经销商采用身份扫描主要是为了打击试驾盗窃——一种确实常见的犯罪：有人出示真驾照或伪造驾照，要求把车开出去转一圈，然后一去不回。idscan.net自己的博客持续记录着相关本地新闻报道，时间跨度长达数年，从一名女子在经销商处留下假身份证并开走客户的车，到一个团伙利用盗用身份开走两辆玛莎拉蒂。顺便一提，联邦调查局估计车辆盗窃每天给美国造成约2000万美元损失。
经销商扫描驾照的另一个原因，与其说是防盗，不如说是文书合规。任何安排融资的经销商根据联邦法律都被视为金融机构，受联邦贸易委员会《保障规则》约束——与抵押贷款经纪人和发薪日贷款机构适用的法规相同。该规则要求书面信息安全计划、客户数据加密存储，以及自2024年起，正式的泄露通知流程。扫描驾照并对照数据库查询，不仅仅是为了在试驾途中抓住窃贼，更是经销商建立监管机构期望的纸质记录链的方式——当贷款欺诈出现时，这种记录就派上用场了，而贷款欺诈确实会出现：加州文图拉的一家吉普经销商最近因涉嫌出售欺诈性贷款被桑坦德银行起诉，这只是没有身份盗窃参与时这种纠纷有多丑陋的一个例子。
经销商其实也不需要外部帮助来制造欺诈麻烦。不少经销商老板自己就能把这件事处理得“很好”。
克雷布斯的报道中有一个细节，几乎精准得令人咋舌。idscan.net自己那篇记录试驾欺诈、警告经销商防范用假身份证偷车的博客文章，作者是该公司营销与运营主管吉莉安·科斯曼。当克雷布斯发邮件给idscan.net询问其系统中那1.53亿份真实身份证发生了什么时，回复他的人，又是吉莉安·科斯曼。她告诉他，调查进行中无法分享细节，但他的发现“受欢迎，且很有帮助”。
截至本文撰写时，idscan.net尚未发布自己的泄露通知。这一点值得注意，主要是因为该公司用自己的话来说，把自己营销为正是解决这类暴露问题的方案。
把视角拉远，一个令人不安的模式浮现出来：身份验证——这个完全围绕阻止欺诈而建立的行业——已经成为欺诈最大的单一目标之一。仔细想想就明白了。一家为租车柜台、大麻药房、赌场和经销商在一个共享系统中验证身份的公司，正坐拥那种集中的、跨行业的数据集——过去犯罪分子需要多年、一次一次入侵才能拼凑起来的东西。
有组织的盗窃团伙早在任何人到达租车柜台之前，就已经依靠伪造文件跨州转移被盗车辆。这样的数据集不再需要从十几个独立入侵中拼凑了。它已经拼好了。
我们之前报道过一个案例，克隆的VIN让一辆被盗的日产Rogue顺利通过了干净的Carfax检查——直到它不再通过。这样的泄露以同样的方式作用于身份而非文件。一切都没问题，直到突然出问题。
如果你在过去一两年里租过车、办过车贷，或去过任何因合规原因扫描身份证的商家，你的驾照有相当大概率就在这份数据里。联邦贸易委员会的identitytheft.gov建议检查信用报告、考虑信用冻结，并报告发现的任何欺诈行为。
如果你站在商业侧——经销商、租车加盟商，或任何将身份验证外包给第三方的人——这也是时候以书面形式问你的供应商：交易结束后，扫描图像会保留多久？因为显然，不再是客户并不保证你的客户数据会随你一起离开。
下次柜台后面有人要你的驾照并拿着它消失几分钟时，想想那段等待真正意味着什么。它从来不是关于验证你是谁。而是关于制造一份你是谁的数字副本，存放在某个服务器上，直到别人决定保留多久。