美國聯邦調查局（FBI）正在調查一起可能外洩北美逾1.53億張駕照掃描檔的事件。當地時間上周二（1日），獨立資安記者克雷布斯（Brian Krebs）披露，一個暗網網站宣稱販售駕照數位掃描檔。
FBI已向《時代》（TIME）雜誌證實「正在調查此事」，但因「案情仍在進行」拒絕對外說明。
If confirmed, the breach could be one of the most extensive leaks of government-issued ID documents in North America. How can you protect yourself? https://t.co/FDsm0qIiQi
— TIME (@TIME) September 4, 2026
《時代》雜誌報導，該服務現已下線，廣告中據稱包含美國國防部長赫格塞斯（Pete Hegseth）的證件。自2005年開始追蹤個資外洩的身分竊盜資源中心（Identity Theft Resource Center）總裁詹姆斯李（James E. Lee）表示，若網站宣稱屬實，這可能是規模最大的單次駕照資料外洩之一。克雷布斯告訴《時代》：「這批資料對網路犯罪集團將持續具有巨大價值，而且很多年都是如此；我們很可能再看到這個服務、或極為類似的服務出現在暗網」。資安專家也警告，此事凸顯企業為年齡與身分驗證而留存證件掃描檔與生物特徵資料的風險。
🚨 BREAKING: Defense Secretary Pete Hegseth’s driver’s license has leaked. A new dark-web service is selling scans of his and 153M+ U.S. and Canadian driver’s licenses.
— International Cyber Digest (@IntCyberDigest) September 2, 2026
Timestamps on the scans match victims’ visits to Hertz rental counters and cannabis dispensaries. Evidence… pic.twitter.com/YcxgLBXV0H
克雷布斯經營獨立資安網站《KrebsOnSecurity》。他說上周一（8月31日）接獲通報，該網站在俄羅斯網路犯罪論壇上廣告，宣稱出售北美逾1.7億人的身分證件數位掃描。他自己的駕照曾被當成免費樣品，「看到自己的資料在外面並不困擾我，因為我早就習慣了」，「但更令人惱火的是，朋友和家人的資料也被取得。」
名為「Nexus」的這項服務宣稱握有美國與加拿大逾1.53億張駕照、逾1000萬張身分證、逾300萬份旅行證件或國際身分證明，並號稱另有數十萬張醫療卡。克雷布斯表示已核實其中9份外洩文件；《時代》並未獨立查證該服務的宣稱。報導刊出後不久，他更新指出「Nexus」網站似乎已消失。外洩源頭目前仍不明。
據克雷布斯所述，Nexus在論壇發文自稱資料來自「一家大型身分驗證公司」的即時入侵，並已「持續逾一年把新資料抽到我們的私有資料庫」。總部在紐奧良的身分驗證業者IDScan.net發言人向克雷布斯表示，該公司正在調查。這家業者為全美大麻銷售點驗證證件，也服務零售、交通、金融等需核驗身分的行業。《時代》已向IDScan.net求證。
A dark web marketplace assembled more than 153 million U.S. and Canadian driver’s-license scans - including a license belonging to Defense Secretary Pete Hegseth.
— Ben Owen (@BlackRifle_Co) September 4, 2026
The records weren’t stolen from a DMV. They originated with private identity-verification vendors used by rental… pic.twitter.com/Rbqjlg5lt6
確認外洩中，受害者或紀錄數量更大的案例並非沒有。例如2013年《雅虎》（Yahoo）外洩當時全部30億個使用者帳號，2018年全球飯店集團萬豪（Marriott）公布喜達屋（Starwood）訂房資料庫遭侵，影響數億筆旅客紀錄。但Nexus若屬實，可能是涉及政府證件規模最大的事件之一，且據稱提供可搜尋的證件掃描庫，包含正反面影像以及紅外線、紫外線掃描圖。
較近、規模較小的駕照相關外洩也包括：德州公園與野生動物局（Texas Parks and Wildlife Department）6月表示，未經授權者可能透過第三方廠商取得逾300萬名狩獵與釣魚執照客戶資料，其中含駕照資訊、護照號碼與電話，但不含社會安全碼；路易斯安那州機動車輛管理局（Office of Motor Vehicles）2023年因檔案傳輸系統MOVEit漏洞遭駭，約600萬筆州內紀錄受影響，勒贖集團Clop自稱犯案。其後，背景調查公司National Public Data也證實駭客取得含社會安全碼在內的數百萬人個資。李說：「不幸的是，這種規模的外洩如今已太常見。」
倫敦政經學院（LSE）管理系資訊系統教授惠特利（Edgar Whitley）告訴《時代》，涉及證件影像的外洩，資安風險「明顯比普通個資或證件號碼外洩嚴重得多」。詹姆斯李指出，政府核發證件的高畫質影像，會讓身分竊賊更容易冒充持證人，可用來新開信用帳戶，或結合其他外洩資料發動定向釣魚、入侵帳號。惠特利指出，這類影像也能用來製作人工智慧深度偽造內容。生物特徵也不像密碼或號碼那樣容易更換。他說：「你可以重發一組新密碼，但不能重發一張新的臉。」
專家認為，個人很難單方面降低曝險。克雷布斯告訴《時代》：「如果蒐集掃描檔的公司被駭客把檔案拿走，除了選擇不要讓任何人或任何系統掃描你的證件，沒有辦法『保護』自己不被人拿數位掃描檔去用。」詹姆斯李則說：「我們能做的，是讓自己的資料變得比較沒有用、也比较難被拿去假冒。」
若認為個資可能已遭外洩，克雷布斯建議向三大消費信用機構Equifax、Experian與TransUnion凍結信用，讓身分竊賊更難用你的名義開新信用帳戶；身分竊盜資源中心網站FrozenPii.com可協助辦理凍結及其他身分相關程序。民眾也可在IdentityTheft.gov設定詐欺警示並通報身分盜用。
專家指出，愈來愈多企業與機關要求身分或年齡驗證才能提供服務，資料又常交給第三方，外洩風險可能再升。詹姆斯李說：「對各種規模的企業而言，嚴謹的身分驗證已不再是奢侈品，也不是可有可無。」惠特利強調，守護消費者資料的責任在蒐集、保存資料的機構。
負責訂定技術標準的美國國家標準與技術研究院（NIST）建議，身分驗證業者只蒐集交易所需資料，並限制個資保存期限。消費者也可主動詢問資料將如何使用與保存，以及出示實體證件是否就已足夠。
