美国身份核验服务商IDScan.net约1.53亿份美加驾照扫描件被兜售：FBI新奥尔良分局立案，17起集体诉讼已在路易斯安那州东区法院提交

数据来源被追溯到IDScan.net。该公司为租车柜台、零售商与大麻零售点提供证件扫描服务，客户名单包括Hertz、Target、FedEx、Caesars Entertainment等，并声称每月在超过2万个地点完成逾2100万次核验。Krebs通过比对扫描时间戳与图像类型（含红外与紫外图像版本）建立关联，并有九名出现在Nexus中的数据主体确认了本人行程时间与时间戳吻合。IDScan.net于9月4日发布正式数据安全事件通知，称2026年9月1日前后获知某些数据可能被未授权访问，已立即加固系统并聘请第三方专家确定事件性质与范围，并承认未授权第三方可能访问或复制其云账户中存储的客户信息，可能包括全名与驾照或其他政府签发证件号码。

受影响人数的口径存在显著差异。Nexus运营方声称掌握逾1.53亿份驾照记录；而IDScan.net在俄勒冈州司法部数据泄露数据库中登记的受影响人数为1300万，并将泄露时间列为2026年4月1日至9月2日（公司自身通知更新版列为4月4日至9月2日），且限于VeriScan平台。两个数字至今未在公开层面得到调和。Caesars Entertainment否认在2025年2月之后仍是IDScan.net客户，并称未授权该公司保留其账户数据，这一表态把争议引向“供应商超授权留存数据”的责任边界。

执法与司法程序同步推进：联邦调查局新奥尔良分局已就Nexus出售驾照影像的来源正式立案，加拿大隐私专员办公室亦介入调查；截至9月底，美国路易斯安那州东区联邦地区法院已收到17起推定集体诉讼，起诉时间集中在9月2日至9月28日。学界与政策评论普遍指出，此案的影响已超出欺诈层面——驾照号码是把多套数据库串联到同一人照片与住址的关键标识，影像资料不像号码一样可以重新签发，因此泄露后果具有长期性。

本案对本库“供应商与委托处理”专题具有样本价值：一是泄露并非源于软件漏洞，而是云账户访问控制与数据留存边界的问题；二是合同终止后供应商是否仍保留数据，成为责任分配的争议焦点；三是受影响人数在企业口径与攻击方口径之间相差一个数量级，凸显《个人信息保护法》第五十二条与GDPR第28条所要求的数据处理者协助与记录义务在举证中的作用。对企业而言，供应商尽调中应把“合同终止后的删除与证明”列为必查项。