一百万份护照在互联网上裸奔：一次因配置失误引发的身份数据灾难

背景

近期，安全研究人员 Sammy Azdoufal 向媒体 The Verge 披露了一起规模惊人的数据泄露事件。近一百万份来自多个欧洲国家的护照及照片身份证件，被暴露在无需密码、无加密、无访问控制的公共互联网 URL 上。

这些数据由一家名为 Nefos 的公司托管，该公司运营着 PuffPal 平台。PuffPal 是一个面向欧洲各地大麻零售商和俱乐部的会员管理及年龄验证平台。此外，部分数据还涉及使用该系统的大麻俱乐部。这些包含完整护照扫描件、带照片的驾照、姓名及识别号码的身份文档，在公共 Web 服务器上长期处于完全 unprotected（无保护）状态，直到被媒体曝光后才被下线。

核心内容

此次事件并非传统意义上的黑客攻击，而是一次典型的“配置错误”（misconfiguration）导致的数据泄露。其核心事实如下：

1. 泄露规模与性质

• 数据量级：涉及近一百万份身份文档，涵盖多个欧洲国家。
• 数据类型：包括完整的护照扫描件、带照片的驾照、姓名、身份证号等敏感身份信息。
• 暴露方式：文档存储在公共 Web 服务器上，通过直接的 URL 即可访问。没有任何身份验证（Authentication）、加密（Encryption）或访问控制（Access Control）。

2. 发现过程与时间线

• 无需黑客技术：任何人只需在浏览器中输入特定的字母和数字组合，即可直接调取特定个人的护照或驾照信息。记者测试中，轻松获取了德国女性、西班牙男性等多人的证件信息。
• 长期暴露：根据 The Verge 的报道，这些文档在公共互联网上可被发现并访问了数月之久。
• 未知风险窗口：由于缺乏访问日志和监控，无法确定具体有多少人或自动化系统在发现前已经下载了这些数据，这为潜在的网络犯罪留下了巨大的未知时间窗口。

3. 责任方与技术缺失

• 托管方：数据由 Nefos 及其 PuffPal 平台托管。
• 安全缺失：存储系统存在根本性的安全实践失败：
  • 零密码保护。
  • 敏感身份验证数据未加密。
  • 公共 URL 访问无需任何认证。
  • 无访问日志记录或监控系统。
• 类比历史丑闻：这种“以合法用途（如年龄验证）为名，收集海量个人数据，却将安全和知情同意视为次要因素”的模式，与 Cambridge Analytica（剑桥分析）丑闻高度相似。剑桥分析在未获明确同意的情况下收集数百万人的心理画像，而此次则是将用于年龄验证的身份文档以极度疏忽的方式存储，导致任何人都能批量下载。

4. 潜在危害

• 身份盗窃与欺诈：根据美国联邦贸易委员会（FTC）的指导，被盗的护照和驾照是身份盗窃、文件欺诈和账户接管攻击的主要燃料。
• 不可逆性：与密码不同，政府签发的身份证件无法像重置密码那样瞬间更改或撤销。一旦泄露，除非证件过期或重新签发，否则风险永久存在。
• 长期影响：犯罪分子可能利用这些证件开设账户、申请信贷或进行其他欺诈活动，且此类犯罪可能在数年后才被发现。

关键要点

• 零门槛泄露：此次泄露不需要任何黑客技术，仅凭公开 URL 即可批量获取近百万份敏感身份文档。
• 根本性安全失败：托管方 Nefos 在处理敏感数据时，完全忽视了基本的安全控制措施（如 NIST 计算机安全事件处理指南中规定的基础要求），包括无加密、无认证、无日志。
• 合法用途下的数据滥用风险：平台声称数据收集仅用于合法的“年龄验证”目的，但存储方式的极度疏忽表明，企业往往将数据收集视为合规任务，而将数据安全视为可有可无的附加项。
• 受害者救济困难：与密码泄露不同，护照和驾照泄露后，受害者面临漫长的官僚更换流程，且无法立即阻断犯罪分子对已泄露证件的使用。
• 监管与追责待定：截至 2026 年 4 月中旬，受影响欧洲国家的监管机构是否会对 Nefos 或相关大麻俱乐部实施处罚，以及受害者是否有途径获得身份恢复或监控支持，仍悬而未决。

意义与影响

此次事件不仅是一起孤立的数据泄露事故，更揭示了当前数字身份验证生态中的系统性漏洞。

1. 对“配置错误”认知的纠偏 安全研究人员常将此类事件归类为“配置错误”，但这一定义掩盖了实质：当一家公司处理数百万份身份文档时，其疏忽程度等同于将私人相册随意放置在公共场所。这要求行业重新审视“默认安全”（Security by Default）的重要性，任何涉及敏感身份数据的系统，必须在设计之初就强制实施加密、访问控制和日志监控。

2. 身份数据的永久性与不可撤销性 事件凸显了政府签发证件作为身份凭证的特殊脆弱性。在密码泄露时代，重置是标准解决方案；但在证件泄露时代，受害者缺乏类似的快速救济手段。这迫使企业和监管机构必须采取更严格的预防性措施，因为一旦泄露，损害往往是长期且不可逆的。

3. 对第三方服务商的信任危机 PuffPal 等平台作为第三方身份验证服务商，其安全性直接决定了用户数据的安全边界。此次事件表明，许多中小企业或特定行业（如欧洲的大麻俱乐部）在依赖第三方服务时，可能缺乏足够的安全审计能力，导致敏感数据在供应链末端裸奔。

4. 监管滞后与法律空白 尽管 GDPR 等法规对数据保护有严格要求，但此类大规模、低技术门槛的泄露事件频发，反映出监管执行层面的滞后。未来，监管机构可能需要更严厉地处罚那些未能证明其具备“技术控制措施”的企业，而不仅仅是罚款了事。

总之，这次泄露事件是数字时代身份管理失败的一个缩影。它提醒所有收集身份数据的企业：安全不是可选项，而是数据处理的基石。对于个人而言，在证件泄露后，需保持长期警惕，密切关注信用报告和异常账户活动。