2026年10月27日，美国司法部弗吉尼亚东区检察官办公室与联邦调查局（FBI）华盛顿外勤办公室宣布，经法院授权查封网站域名virtualine.net。该域名属于Virtualine——一家面向犯罪客户公开推广服务的俄语“防弹主机”（bulletproof hosting）提供商，亦以Secury、Massgod、Spamhouse、Lanedo、Omegatech等名称出现。美方称，该服务被用于实施并便利大量犯罪活动，包括未成年人性剥削图像的广告与传播、未经同意公开成年人及未成年人私密影像，以及旨在掩盖并推动犯罪的国际洗钱。
调查由FBI华盛顿外勤办公室主导，德国黑森州警察（Polizei Hessen）、荷兰中荷兰警察（Politie Midden-Nederland）、英国国家犯罪局（NCA）以及私营部门合作伙伴OverRIPE与Lumen提供重要协助。司法部国际事务办公室亦提供支持。弗吉尼亚东区第一助理检察官Theophani K. Stamos与FBI华盛顿外勤办公室助理主任Darren B. Cox对外公布了这一结果。
什么是“防弹主机” 防弹主机是一类有意无视滥用投诉、DMCA下架通知及执法请求的网络与服务器托管服务。通过提供难以被关停的离岸基础设施，这类服务商为勒索软件命令与控制服务器、钓鱼工具包、恶意软件分发、盗卡商店、信息窃取木马日志及非法市场等提供持久运行环境。
美国网络安全机构在2025年11月19日发布的联合指南《Bulletproof Defense: Mitigating Risks from Bulletproof Hosting Providers》中指出，此类服务可用于快速切换混淆、命令与控制、恶意软件投递、钓鱼及托管非法内容，进而支持勒索软件、数据勒索与拒绝服务攻击等。
Virtualine的公开营销与“额外保护计划” Virtualine于2024年8月28日加入暗网论坛Exploit.in，并自称自2019年起运营。它在Exploit.in、HackForums等暗网论坛向犯罪分子公开推广服务，宣称提供“离岸网络托管、防弹云服务器、防弹域名与专用机器”，价格起价约每月0.79美元。客户可通过两个Telegram账号联系。
2024年9月，Virtualine在Exploit.in上对用户表示：“你可以用Virtualine做所有非法/黑帽活动（包括钓鱼、盗卡、邮件垃圾、端口扫描等），儿童色情内容和恐怖主义活动除外。”2025年6月，它在HackForums上宣称：“Virtualine忽略的滥用投诉比你过去三个治疗师还多。”
2026年3月，Virtualine开始推销“额外保护计划”：一旦收到执法部门正式请求，会将客户的犯罪基础设施迁移到与Virtualine无关的空壳公司，再重新激活服务器。
尽管声称禁止儿童色情内容，仍被控托管相关论坛 美方称，尽管Virtualine对外宣称不允许服务器上出现“儿童内容”，却明知故犯地托管了一个犯罪在线论坛（法院文件中称为Vendor 1）。该论坛允许用户发布并出售未成年人及成年人的裸露、性暗示或性露骨图像与视频，并推广“有偿黑客”服务，供用户付费让黑客在未经同意情况下侵入受害者在线账户、获取露骨影像。
2026年1月，Virtualine为Vendor 1分配IP地址约一个月后，开始收到该服务器存在未成年人性露骨图像与视频的通知。尽管接到德国、加拿大、澳大利亚执法部门，美国失踪与受剥削儿童国家中心（NCMEC），乃至一名受害者律师的多起通知，Virtualine仍继续托管Vendor 1的服务。此外，Virtualine还与Vendor 1合作搭建新网站，供其客户上传非法内容并在购买后下载。美方称，Virtualine至今仍在托管该新网站，且已至少收到一次关于该网站发现儿童性露骨图像的滥用投诉。
加密货币支付与链上资金流向 Virtualine向客户提供多种支付方式，包括接受BTC（无AML）、通过特定未托管比特币地址直接收款，使客户无需担心资金因非法来源被标记。美方称，犯罪客户支付的资金部分可直接追溯至各类犯罪组织，Virtualine收款后进一步洗钱以掩盖资金来源。
区块链分析公司TRM Labs称，2026年迄今，在其标记的防弹主机提供商中，Virtualine收到的“非法归因”加密货币金额最多，尽管总流入金额低于部分同行。Virtualine客户构成显示了为该基础设施付费的犯罪活动范围之广：其直接客户包括勒索软件组织、信息窃取木马运营者以及一家俄罗斯毒品市场。2026年，勒索软件组织约占Virtualine直接流入的约5%，一家俄罗斯毒品市场约占约44%；一个大型性勒索团伙和一个资金混合器也是其主要资金来源。
Chainalysis称，Virtualine通过未托管钱包地址接受比特币直接支付，并洗钱以掩盖来源。链上足迹显示其与勒索软件运营者、信息窃取木马基础设施、俄语网络犯罪论坛、非法商店以及诈骗与钓鱼地址存在直接关联。StealC信息窃取木马在2026年全年持续向Virtualine付款；另一防弹主机提供商Volhav也是其直接交易对手，表明该领域服务商之间存在基础设施转售关系。
TRM指出，在其标记的防弹主机板块中，2026年第三季度流入金额较2025年第一季度约高4%，入账交易笔数则高出约60%。全行业直接付款方包括Coinbase Cartel、The Gentlemen、INC、DragonForce、Qilin等勒索软件组织，以及StealC、Matanbuchus加载器等恶意软件运营者，还有暗网市场、非法商品与服务运营者、僵尸网络与恶意软件分发服务，以及与儿童性剥削材料相关的网站；混币器也贡献了相当比例资金。
此次查封的意义与后续可能的发展 域名查封打断了客户查找与访问该服务的途径，但本身并不等于运营者已停止活动，或客户已失去全部底层基础设施。TRM与Chainalysis均表示，已标记的相关加密货币地址仍可在链上监测：后续交易可能显示向合规交易所提现、继续向Virtualine已知地址付款，或转向其他防弹主机；客户活动也可能显示向替代服务商迁移。
Chainalysis称，此次行动凸显防弹主机是支撑勒索软件、信息窃取木马与网络诈骗规模化的基础性基础设施。对加密货币合规团队而言，接触已知防弹主机支付地址可视为更广泛下游风险的早期信号。Chainalysis已在其产品套件中标记与Virtualine相关的加密货币地址。
暗网交易市场“帝国市场”（Empire Market）是一个允许用户匿名买卖非法商品和服务的暗网市场。本周，“帝国市场”的一名联合创始人因帮助他人贩卖毒品、黑客工具和被盗信息而被判处40年联邦监禁，被判刑男子名为拉海姆·汉密尔顿（Raheim Hamilton），今年30岁，是弗吉尼亚州本地人。
汉密尔顿在今年早些时候已承认毒品共谋罪名，并同意没收价值逾1亿美元的比特币以及弗吉尼亚州的多处房产。周一，美国伊利诺伊州北区联邦地区法院的地区法官史蒂文·西格（Steven C. Seeger）判处汉密尔顿40年联邦监禁，并处罚金500万美元。
该判决由伊利诺伊州北区联邦检察官安德鲁·S·布特罗斯、联邦调查局芝加哥分局负责人瑞安·惠伦、美国邮政监察局芝加哥分局负责人尼古拉斯·布恰雷利以及国土安全调查局纽约分局代理负责人皮特·吉扎斯共同宣布。政府方面由助理联邦检察官安·玛丽·E·乌尔西尼代表。
臭名昭著的“帝国市场”促成了超过400万笔交易 汉密尔顿现年30岁，来自弗吉尼亚州萨福克。2018年至2020年间，他与托马斯·佩维（Thomas Pavey）共同拥有并运营“帝国市场”。该暗网市场迅速在毒贩与网络犯罪分子中流行起来，用于销售毒品、被盗或泄露的账户凭证、被盗的个人身份信息、假币和计算机黑客工具等。
据检方消息，该暗网网站共完成超过400万笔交易，总成交额约4.3亿美元。其中绝大多数为毒品交易，金额约3.75亿美元。卖家出售的毒品包括芬太尼、可卡因、冰毒（甲基苯丙胺）与海洛因等。美国司法部的新闻稿给出的数量包括：至少13.3公斤芬太尼、447公斤可卡因、72公斤冰毒、103公斤海洛因。
该暗网市场按“欺诈”、“毒品与化学品”、“假冒物品”、“软件与恶意软件”等类别分类出售违法商品。起诉书称，至少有一次，“帝国市场”上的假美元现金直接卖给了当局执法人员。该平台之所以越来越受欢迎，是因为平台要求所有交易必须使用加密货币，并鼓励用户通过混币（mixer）等服务清洗销售所得；还允许买家对卖家如何隐藏邮寄毒品进行评分。加密通信与混币服务，是其吸引用户的重要因素。
帝国市场的结局并不是退出骗局 据起诉书，汉密尔顿与佩维最初曾合作在已关闭的暗网交易市场AlphaBay上合作出售假美元。AlphaBay于2017年被关停后，两人于2018年2月1日创建并开始运营“帝国市场”。区块链分析公司TRM Labs称，“帝国市场”在AlphaBay被摧毁后数月上线，很快成为西方暗网市场生态中的主要平台之一。
2020年夏天，“帝国市场”突然下线，无法访问。当时用户都认为该市场运营方实施了“退出骗局”（exit scam），卷走用户约3000万美元比特币。一直到4年后，美国当局突然指控两名男子经营暗网市场Empire Market，人们才意识到，“帝国市场”的倒闭是因为执法查封。
加密货币、汽车、房产、金条均被没收 汉密尔顿同意没收约1230枚比特币（BTC）以及约24.4枚以太坊（ETH），并交出弗吉尼亚州三处房产。按当时公开报道中的市价估算，仅比特币部分约合1亿美元左右。
同案被告佩维现年41岁，来自佛罗里达州奥蒙德比奇，去年已承认联邦毒品共谋罪名。他同意没收约1584枚比特币、两箱25盎司金条、三辆汽车以及佛罗里达州两处房产，定于本月晚些时候由同一法官量刑。两人合计同意没收的比特币约2814枚；按部分报道中约每枚8.3万美元的市价粗算，合计约2.34亿美元。
美国司法部此前表示，在针对该平台的调查过程中已查扣价值约7500万美元的加密货币，并取得现金与贵金属。
被没收的比特币可能进入美国“战略比特币储备” 部分报道关注被没收比特币的最终去向。2025年3月白宫行政令规定，在刑事或民事案件中最终没收的比特币可进入“战略比特币储备”（Strategic Bitcoin Reserve），原则上不得出售；但允许例外，例如向可识别的犯罪受害人返还资金。司法部相关通报未明确说明汉密尔顿被没收的比特币最终将如何处置。
美国国会亦在讨论类似安排。9月16日，众议院一委员会以28票对21票推进一项战略比特币储备法案，拟将被没收比特币至少持有20年。若相关没收最终生效且不适用例外，“帝国市场”相关比特币可能按行政令进入以持有而非出售为目的的储备。
美国正全力打击各种类型的暗网犯罪 美国司法部近年持续将暗网平台取缔列为重点，已针对BreachForums、BidenCash、Archetyp等暗网市场采取行动。
本周，美国司法部还宣布，一名42岁乌克兰—俄罗斯双重国籍男子承认运营“Your Mule Cashout”洗钱平台，该平台组织了约1.5万名“钱骡”（money mules）及相关网络基础设施组成的复杂网络，用于洗钱至少1000万美元，这些钱是黑客从750个银行账户中窃取的。 此人在格鲁吉亚共和国被捕后认罪，最高可能面临50年监禁。
“暗网下/AWX”年初曾报道，运营暗网毒品市场Incognito Market的台湾人Rui-Siang Lin因该市场处理逾1.05亿美元毒品交易而被判监禁30年。
汉密尔顿已获刑；佩维的量刑尚未作出。两人同意没收的资产与最终执行，仍以法院与主管机关后续程序为准。
美国联邦调查局（FBI）局长卡什·帕特尔（Kash Patel）于10月9日表示，FBI又逮捕了一名与网络犯罪团伙ShinyHunters有关的嫌疑人。帕特尔在社交媒体X上发文称，警方逮捕了“另一名涉嫌与ShinyHunters团伙同谋的人”，并指该团伙被认为对近期FBI求职网站（FBIjobs.gov）被入侵事件负责。
这个名为ShinyHunters的臭名昭著的暗网勒索软件团伙长期以来一直以世界各地的大型企业为攻击目标，专家认为该黑客团伙主要由年轻的、讲英语的黑客组成，他们专注于数据窃取和勒索。
路透社对ShinyHunters分享的部分从FBI求职网站窃取的数据进行分析后发现，这些数据包含大量FBI员工的个人身份信息、敏感的工作角色信息以及精神病和医疗信息。
🚨 Our agents in the field have arrested another suspected co-conspirator of the ShinyHunters group – the group believed to be responsible for the recent https://t.co/RG0D4I5KFS incident, which occurred on a platform managed by a third-party vendor.
This is the latest arrest…
— FBI Director Kash Patel (@FBIDirectorKash) October 9, 2026 联邦调查局局长的最新表态 帕特尔表示：“本周早些时候，我们的一线特工逮捕了另一名涉嫌与ShinyHunters团伙同谋的人——该团伙被认为对近期FBIjobs.gov事件负责，该事件发生在由第三方供应商管理的平台上。”
他补充说，这是FBI在数日内针对该犯罪团伙采取的最新一次逮捕，“我们正不眠不休地摧毁该团伙、追查新线索与证据，并迅速行动。”帕特尔还称，将继续与合作伙伴密切协作，“无论他们在何处活动，都要瓦解ShinyHunters团伙残余力量及其关联人员。”
帕特尔的声明未公布嫌疑人姓名、具体指控，也未说明其在入侵中的具体角色。FBI未立即回应媒体关于更多细节的问询。
媒体透露：加拿大籍嫌疑人在宾夕法尼亚州被捕 《纽约时报》率先报道此次逮捕，援引两名知情人士称，嫌疑人为一名加拿大籍男子，在宾夕法尼亚州被拘留。CBS新闻等亦援引未具名消息来源称，该人被认为直接参与了黑客行动。
另有CNN等报道称，与FBI入侵案有关的嫌疑人中，有人被指为Edward Dubrovsky：近日在费城一带被捕，周四在联邦法院出庭，由联邦公设辩护人代理；面临与勒索、威胁相关的指控，并已被移交得克萨斯州东区，等待羁押听证会。路透社后续报道亦将一名加拿大勒索软件谈判人Dubrovsky的逮捕与FBI对相关黑客团伙的清剿联系起来，并指出FBI在被问及时转而指向帕特尔关于逮捕“涉嫌ShinyHunters同谋”的声明。官方尚未在公开声明中点名确认上述身份。
此前分别在荷兰与约旦逮捕两人，其中一人涉嫌窃取FBI数据 自9月下旬FBI求职网站入侵消息曝光以来，这是第三起公开宣布的相关逮捕。
此前，“暗网下/AWX”曾报道，荷兰当局宣布逮捕一名男子，其身份为荷兰人佩皮恩·范德斯塔普（Pepijn van der Stap）。此人曾因数据窃取服刑，获释后一度以网络安全从业者身份示人，并被指与ShinyHunters调查有关。FBI网络事务助理局长Brett Leatherman曾称其为该团伙“涉嫌领导人之一”，并指该团伙及同谋自去年以来涉嫌入侵140多家机构、取得至少7000万美元勒索款项。
荷兰警方与美国联邦调查局（FBI）合作，逮捕一名24岁的网络罪犯，他涉嫌协助臭名昭著的黑客组织ShinyHunters进行数据窃取和勒索。多方消息指认其为荷兰人佩皮恩·范德斯塔普（Pepijn van der Stap）。逮捕发生在约9月15日至16日，时间早于ShinyHunters公开宣称入侵FBI求职网站并窃取人员数据。FBI网络事务助理局长布雷特·莱瑟曼（Brett Leatherman）随后发布一段关于ShinyHunters调查的简短视频声明，将嫌疑人描述为该组织“涉嫌领导人之一”，并警告仍在逃的其余ShinyHunters成员尽早投案。
Today, our partners at the Dutch National Police announced the arrest of one of the alleged leaders of ShinyHunters, a group linked to cyberattacks in the United States, the Netherlands, and around the world.
The Dutch High-Tech Crime Unit arrested the suspect under Dutch law.… pic.twitter.com/EdfWJpVx2n
— FBI Cyber Division (@FBICyberDiv) September 29, 2026 ShinyHunters是一个活跃的网络勒索组织，成员遍布全球。他们经常入侵公司系统窃取敏感数据，然后威胁称，除非支付赎金，否则就会将这些数据泄露到暗网上。上周，ShinyHunters在其网站上宣布，他们入侵了FBI的招聘门户网站，并窃取了大量特工的个人信息。该组织要求FBI撤回5月份发布的关于他们的公共服务公告，并设定了9月29日的最后期限。不过，“暗网下/AWX”看到，ShinyHunters已经明确表示不会公布窃取的FBI数据。
荷兰警方的逮捕行动与官方表态 荷兰国家警察高科技犯罪调查部门根据荷兰法律执行逮捕，荷兰警方在Twitter/X上发表的声明中证实，一名来自阿姆斯特丹的24岁男子因与ShinyHunters调查有关而被捕，并将于9月29日星期二在鹿特丹地方法院出庭。法院已裁定至少羁押90天。警方表示，在其笔记本电脑上发现大量信息，其中包括关于境外两起谋杀的相关内容，并指有迹象显示嫌疑人曾下达相关指令；该部分与ShinyHunters案件分开处理。
FBI网络事务助理局长布雷特·莱瑟曼在官方视频中说，荷兰高科技犯罪调查部门在FBI全力支持下迅速行动，以保护受害者并保全关键证据。他表示，自去年以来，该网络犯罪分子及其同谋涉嫌入侵140多家机构，并取得至少7000万美元勒索款项收益。他们常以云平台第三方供应商为目标，窃取敏感数据并以公开相要挟。
莱瑟曼同时向仍在逃的ShinyHunters成员喊话：“你们已经知道同事被捕。我们相信你们看到或听到了公众尚未知晓的情况。其他团伙曾以为匿名或朋友能保护他们，结果错了。逮捕行动会改变谁愿意开口，查获的基础设施也会让我们看清还剩下哪些人。你们待在这里的时间越长，我们对你的了解就越多。你们知道如何找到我们，我们也知道怎么找到你们。我建议你们先联系我们，趁选择权还在自己手里。”
荷兰警方未公开点名。KrebsonSecurity援引三名知情人士指认嫌疑人为范德斯塔普；路透社亦援引其所在公司Neo Security负责人Benjamin Korper的说法，确认被带走的是该公司进攻性安全负责人范德斯塔普。
据两名知情人士透露，范德斯塔普于9月16日左右被荷兰当局逮捕，并一直被拘留接受讯问。其中一位消息人士称，他们的同事亲眼目睹荷兰当局从范德斯塔普的住所搬走物品。还有报道透露，9月15日晚荷兰警方调查人员曾到该公司办公室，逮捕行动中使用了闪光震撼弹。
周二，在鹿特丹举行的听证会上，尽管有报道称一名男子是涉嫌黑客，但荷兰警方仍未公布其姓名。警方也否认了逮捕的嫌疑人与荷兰电信公司Odido遭黑客攻击有关的说法。当天，法院下令将嫌疑人继续拘留 90 天。
九月初，“暗网下/AWX”报道，暗网市场Nexus上出现了超过1.53亿份美国和加拿大驾照扫描记录的售卖信息。本周，身份验证服务商IDScan.net确认，未经授权的第三方可能访问并复制了其云环境中存储的客户信息，美国联邦调查局（FBI）已介入调查，公司则向可能受影响的个人提供免费信用监控与身份保护服务。
IDScan公司确认的安全事件 IDScan.net是一家基于云的身份验证平台，企业用它来确认年龄、身份和合规状态。其技术被银行、汽车、交通、赌场、零售以及需要核验顾客年龄的场所广泛使用。
IDScan公司表示，大约在2026年9月1日获悉可能存在未经授权访问的情况，此后已与联邦执法部门合作，调查仍在进行中。
IDScan.net在公开事件通知中称：“尽管调查仍在进行，IDScan.net已确定，未经授权的第三方可能访问和/或复制了存储在IDScan.net云上其账户内的某些客户信息。”
受影响数据可能包括全名，以及驾照或其他政府发放的身份识别号码。IDScan公司尚未确认暗网上超过1.5亿份驾照是否全部来自其系统，也未说明具体有多少人受到影响。
暗网市场Nexus上的大规模售卖 独立调查报道将事件时间与暗网市场Nexus上的大规模驾照扫描售卖联系起来，但IDScan.net尚未公开确认这一关联。
安全记者Brian Krebs于9月1日报道，Nexus正在出售驾照扫描件，据称包含超过1.53亿份美国和加拿大记录。Krebs本人的驾照也出现在其中，并被用作样本，从而验证了部分记录的真实性。随后证据指向IDScan为可能的数据来源。
除了驾照，该数据库还据称包含约1000万份国家身份证件、超过300万份国际身份证明，以及约57.9万份医疗文件。部分信息据称已在与网络犯罪相关的地下暗网市场Nexus上出售。
KrebsOnSecurity的报道认为，Nexus数据与IDScan.net之间存在较强的关联推断，但IDScan官方尚未证实暗网上的数据即是其被窃取的数据。尽管FBI的调查正在进行，但IDScan.net数据泄露事件通知的时间与暗网服务Nexus上架驾照数据的时间如此接近，使两者关系基本上可以划等号。
IDScan公司通知称：“尽管获取完整信息需要付费，出于谨慎考虑，我们正在通知可能受影响的个人，并提供免费信用监控和身份保护服务。”
关键问题仍有待查明，包括入侵系统的具体方式、实际被盗信息的规模，以及有多少人的证件最终落入网络犯罪分子之手。
公司确认数据泄露事件，意味着案件已从“暗网上来源不明的数据库”推进到“身份证件存储与处理方承认的未经授权访问”。FBI调查仍在继续，更多细节尚待公布。
驾照等身份证件数据的泄露将带来深远影响 单一供应商被入侵的档案，成为暗网市场上可能涉及1.53亿条记录的潜在来源，这已超出单一企业的问题范畴。任何大规模收集和存储身份证件的企业，都可能把风险扩散到自身客户之外。因此对身份验证供应商的监管和法律审查预计将加剧。
政府发放的身份证件扫描件不同于可以取消和更换的邮箱密码或信用卡号。驾照号码与全名结合，可能被用于账户欺诈、合成身份创建，以及在将此类凭证视为身份确凿证明的验证系统中进行身份冒充。
由于驾照属于长期有效的凭证，暴露带来的风险不会在事件被控制后立即消失，对数以亿计的公民造成的影响可能持续较长时间。民众应留意涉及个人详细信息的钓鱼尝试或可疑账户活动。
IDScan.net正在提供免费信用监控和身份保护服务，建议可能受影响的人接受这些服务，并向三大征信机构Equifax、Experian和TransUnion申请欺诈警报或信用冻结。
一个名为Nexus的暗网身份盗窃服务网站本周上线，声称正在出售超过1.53亿份美国和加拿大公民的驾照数字扫描件。安全记者Brian Krebs率先披露此事，并追踪到路易斯安那州一家广泛使用的身份验证公司idscan.net可能是数据来源。美国联邦调查局（FBI）新奥尔良外勤办公室已正式启动对这些图像来源的调查。
据称，Nexus暗网网站提供的记录中包括美国国防部长皮特·赫格塞斯（Pete Hegseth）的驾驶执照，他是驾驶执照可以出售的几位美国高级政府官员之一。
Nexus暗网网站泄露的数据规模与内容 8月31日，有消息来源向KrebsOnSecurity提示，俄罗斯网络犯罪论坛——暗网网站Exploit上出现一名新用户发布的广告，声称可提供超过1.7亿北美居民的身份证件数字扫描件。该来源之所以联系Krebs，是因为该身份盗窃服务的运营者在初始销售帖中将Krebs本人的弗吉尼亚州驾照作为免费样本展示。
这个名为Nexus的暗网服务声称拥有超过1.53亿份美国和加拿大居民的驾照，以及超过1000万份身份卡、超过300万份旅行证件和/或国际身份证明，以及至少57.9万份医疗卡。
简单检索显示，其宣称的1.53亿这一数字可能并不夸张：在Nexus中进行空白搜索（不输入任何搜索参数）会返回约1150万页结果，每页大约显示15条记录。数据涵盖加拿大和美国居民，但以美国人为主：仅搜索加拿大驾照约返回110万条结果，其中安大略省数量最多（473,673条）。
有趣的是，这些身份记录不仅包括驾照，还包括大麻药房会员卡。部分记录的“来源”标注为“CDL”，推测是商业驾照的缩写。另一些记录标注为“CAC”，可能指通用访问卡（Common Access Cards），即用于进入政府建筑和安全房间的政府发放身份卡。
Nexus背后的人声称，这些驾照图像来自“一家主要身份验证公司”的持续入侵，该公司客户包括多家《财富》500强企业。Nexus的运营者在Exploit网站的介绍帖中表示：“一年多来，我们一直在持续地将新数据导入我们的私有数据库，购买前可以预览记录，相关信息已被隐去。如有客户照片，也会显示出来。”
事实上，在过去24小时内，Nexus列出的可用驾照记录数量增加了近40万条，这表明新近被盗的驾照数据正在被收集并定期上传到该服务中。
泄露数据的真实性与时间戳线索 Krebs本人的驾照记录包含六个图像文件：三组驾照正反面照片，包括一张基本图像扫描件、同一图像的红外线和紫外线版本。每个图像文件都附有日期和时间戳，其时间戳对应2025年6月他飞往美国中西部参加家庭葬礼的日期。
为查明并验证数据来源，Krebs征得十余位亲友同意，在该服务中搜索他们的驾照。九名找到驾照的人确认，自己曾在图像时间戳当天或非常接近的日期出行。时区尚不清楚，但根据几位协助研究者提供的租车记录，时间戳似乎设置为格林威治标准时间（GMT）。
起初有人怀疑与机场有关，但数据集中没有护照信息，这一理论被排除。协助研究的人中，只有部分表示在出行当天在机场出示了驾照。有一人近期并未飞行，但在时间戳前后数月内从赫兹（Hertz）租了车。
提供帮助的两名联邦雇员表示，他们在通过机场安检时出示了其他形式的政府身份证明，然而，这两人均表示，当天晚些时候在各自目的地租车时，他们出示了州政府颁发的驾照，而且两人都是从赫兹租车公司租的车。
Krebs回忆，自己当天在里根国家机场安检时因尚未持有Real ID而出示了护照，并未出示驾照。他母亲的驾照也出现在该服务中，两人图像的时间戳仅相差几秒——当天他们同时将驾照交给了赫兹租车代表。
指向idscan.net的证据链 安全与隐私研究者扎克·爱德华兹（Zach Edwards）的驾照扫描件也在Nexus上可供购买。爱德华兹表示，其记录上的时间戳对应他上个月前往拉斯维加斯参加DEFCON安全会议的行程中期。他在拉斯维加斯没有租车，但在运输安全管理局（TSA）检查站、一家大麻药房以及酒店（Aria酒店）出示了驾照。他表示，三者中唯一确定用某种设备扫描了身份证的是那家药房。
爱德华兹当天去的药房是Planet13，这是一家在加利福尼亚、佛罗里达、伊利诺伊和内华达等地运营的连锁店。2022年，总部位于新奥尔良的身份提供商idscan.net发布新闻稿，宣布与Planet13各门店达成全国独家身份验证协议。IDScan称其为19个美国州的1000多家大麻药房处理身份验证。
idscan.net的“信任”页面显示，该公司为众多大品牌提供身份验证服务，包括赫兹（Hertz）、Target、联邦快递（FedEx）、摩托罗拉解决方案、金融服务巨头Jack Henry以及凯撒娱乐（Caesars Entertainment）。该公司自身文档也表明，其技术使用红外线和紫外线扫描身份证。idscan.net称其系统和技术每月在全球超过2万个地点完成超过2100万次验证。
Krebs联系idscan.net后，公司表示正在调查此事，但尚未就通过邮件发送的具体问题给出正式声明或实质性回复。公司营销与运营负责人Jillian Kossman写道：“目前我无法分享更多信息，但您提供的更新对我们团队的调查很有帮助。”
凯撒娱乐发言人随后表示，凯撒并非IDScan.net的客户，自2025年2月起未再使用VeriScan，尽管IDScan.net在其网站上将其列为客户。该发言人称，事件发生时凯撒没有活跃的VeriScan账户，也未授权IDScan.net保留其账户数据，并表示IDScan.net称此次事件不应影响凯撒娱乐。
FBI介入与高调人物记录 在研究过程中，美国联邦调查局（FBI）获悉Krebs正在追查该身份盗窃服务的数据来源。可能的原因是，Krebs向可信消息来源透露，Nexus网站也在出售FBI助理局长的驾照信息，但Krebs未在Nexus服务中找到FBI局长卡什·帕特尔（Kash Patel）的驾照。
当天下午，Krebs加入了与六名FBI特工的电话会议，其中包括该局网络部门的高级领导。通话中，FBI表示，新奥尔良外勤办公室当天已就涉及idscan.net的疑似入侵正式立案调查。
美国国防部发言人表示，该部“已获悉这些报告并正在评估”。FBI发言人确认该局“正在调查此事件”，但拒绝进一步置评。
数据集中据报道包含美国国防部长皮特·赫格塞斯以及FBI助理局长的驾照，但未包含FBI局长的驾照。
本次安全事件的影响与专家看法 安全公司Cybera首席情报研究员拉里·鲍德温（Larry Baldwin）表示，其在Nexus上可获得的驾照正反面扫描件时间戳，对应他近期度假时从赫兹租车的日期。Baldwin指出，Nexus身份盗窃服务带来多重严重安全和隐私威胁，州发驾照常被用作开设新信贷额度时的身份证明。该服务还可能危险地暴露许多不希望被找到、却无法有效改变外貌（至少不足以欺骗当今基于AI的图像匹配工具）的人，包括逃离家庭暴力者，甚至被纳入联邦政府证人保护计划的人。
鲍德温说：“正当我们似乎通过驾照验证系统在改进身份认证控制方面取得一些进展时，这种事情发生了，而这些改进所依赖的东西本身却遭到了破坏。”
爱德华兹表示，随着越来越多线下和线上场景要求出示驾照，收集这些敏感数据的供应商需要被要求达到更高标准。“这一事件应进一步坚定那些反对在线身份验证方案的人的决心。这些方案正要求无数提供商以保护儿童为名索要驾照才能访问服务。这些系统正在把敏感数据放入越来越多的第三方供应商手中，而我们远没有足够的监管来确保它们是安全的。”
暗网网站Nexus的服务已经下线与后续 故事发布后不久，Nexus身份盗窃服务网站从暗网消失，登录页面被替换为一行纯文本信息：“本服务已不再可用。”
身份验证系统要求出示驾照，正在把敏感数据扩散到不断扩大的第三方供应商网络中，而监管机制未能跟上步伐。每一家酒吧、酒店、租车柜台、药房和年龄验证系统在扫描身份证时，都在创建该图像的副本，而持卡人无法评估这些系统的安全状况。
如果idscan.net事件在所报道的规模上得到确认，它将成为近年来已知规模最大的政府发放身份证件图像泄露事件之一。
美国德克萨斯州一名阿马里洛男子因被控通过暗网购买并访问儿童性剥削材料（CSAM），面临联邦指控。
现年39岁的何塞·阿德里安·博斯克兹（Jose Adrian Bosquez）上周被关押进兰德尔县监狱，罪名是“以查看为目的获取儿童色情制品”。
联邦刑事起诉内容 根据联邦刑事起诉文件，一名联邦调查局（FBI）雇员在调查一个可通过Tor访问的暗网网站。该暗网网站将自己宣传为“最大的免费儿童色情视频和图片开放图书馆”。
该暗网网站提供多种订阅服务以获取相关内容，支付方式为加密货币，支付加密货币后可以获取该网站的访问权限。调查人员提取了用于向该暗网网站付款的加密货币钱包地址，并据称追踪到一笔2024年4月的付款，该笔款项来自一个登记在博斯克兹名下的Coinbase账户。
文件显示，2024年4月5日，从博斯克兹的钱包向该网站支付了访问费用。起诉书称，博斯克兹的出生日期、社会安全号码和地址与该加密货币钱包在Coinbase上的记录相符。支付金额约为价值16.61美元的比特币，用于购买该暗网网站的日订阅服务，该金额与该暗网网站广告价格相符。
警方对博斯克兹的住所进行了搜查 基于上述信息，联邦搜查令于今年8月19日在博斯克兹家中执行。
文件显示，联邦特工对博斯克兹进行了一次双方同意、非羁押性质的问话。他承认曾向该暗网网站发送加密货币以获取访问权限，并承认大约查看过该网站五次，最近一次访问发生在2月或3月。
另据法庭记录，他表示最近一次是通过PayPal向某人付款，以获取一个Telegram群组的访问权限，该群组中有相关材料发布。
博斯克兹目前仍被关押在兰德尔县监狱，处于联邦羁押状态，等待下一次出庭。他面临最高10年的联邦监禁。初步审查和羁押听证会定于周三上午9时30分举行。
过去半个月，一起规模巨大的针对Microsoft Azure数据窃取活动正在进行中，一名化名为“TheHatman”的网络攻击者在暗网论坛上发布了大量财富500强企业的内部员工通讯录数据。据报道，这些庞大的数据是利用被盗用的凭据直接从企业的Azure/Entra门户下载的。
麦当劳员工数据出现在暗网论坛 该黑客本周在暗网数据泄露论坛上发布了一篇标题为“麦当劳 170 万+ Azure 内部员工数据泄露”的帖子，同时附上了8000行数据的样本，声称这只是从麦当劳Azure租户中窃取的170万条员工通讯录的一部分。该样本经离线技术分析，在所有可应用的测试中均显示数据真实有效，但记录的年份以及170万这个数字的准确性尚无法确认。
帖子未标明售价，而是征求报价。研究人员已离线查看了免费样本，并未尝试访问、探测或验证任何麦当劳系统。由于卖家帖子中包含的下载链接仍然指向真实用户的联系方式，因此未在公开资料中披露。
卖家提供的8000行免费数据样本，显示了结构化的公司通讯录信息，包括DisplayName、UserPrincipalName和EmployeeId。样本中不包含日期字段，因此无法确定数据提取时间。最明确的线索是该公司的运营范围：样本中没有俄罗斯记录（这与麦当劳于2022年退出俄罗斯市场相符），也没有哈萨克斯坦记录（表明数据日期为2023年或之后）。声称的170万条记录总数无法与样本进行核实，该样本仅占总记录数的不到0.5%。
卖家称，这些资料是使用泄露的凭证直接从麦当劳公司Azure租户下载的，包含员工账户、服务账户和其他租户记录。多项技术指标表明这是一次真实的管理导出。诸如“传真号码”和“物理送货办公室名称”之类的列标题与管理员使用Microsoft PowerShell目录工具从Entra ID（Azure Active Directory 的当前名称）导出用户列表时生成的属性名称完全一致。样本中识别出的所有50个电子邮件域均属于麦当劳，涵盖了30多个国家/地区的公司员工、餐厅员工帐户、加盟商登录和供应商访客访问权限。其中三个条目包含租户的内部Microsoft地址mcdonaldscorp.onmicrosoft.com，该地址在企业外部不可见或无法访问。
该样本还包含233行乱码字符编码数据，这与导出时省略UTF-8格式的情况一致；此外，还有85个职位名称被截断至30个字符，这种模式与人力资源软件中的固定宽度字段相关；其中一条记录甚至超出了文件本身：位于威勒尔 Upton By-Pass 的“556 Upton”餐厅信息（包括电话号码）与一家公开列出的真实麦当劳餐厅相符。一般而言，这些编码错误不会出现在伪造的数据中，伪造的数据集不会出现真正的编码错误。
受影响的大型企业及泄露数据分析 在16天内，该名为“TheHatman”的账户发布了九篇帖子，涵盖麦当劳、沃达丰、盖璞、两家连锁酒店以及四家信息技术外包公司，包括Kyndryl和塔塔咨询服务公司，涵盖IT服务、酒店、电信、零售和物流等行业。
“暗网下/AWX”分析了发布在暗网论坛上的帖子，根据发现的企业电子邮件地址以及与标准Azure目录导出完全匹配的字段名称，每条信息都使用了相同的19列结构，应是由同一操作者针对持有有效凭证的租户运行相同的导出脚本所致，因此该活动看起来高度可信。
以下是受影响的企业以及攻击者提供的惊人数量的泄露记录：
麦当劳公司：约170万条记录 TCS（塔塔咨询服务公司）：超过80万条记录 沃达丰：约42.5万条记录 HCL Technologies：超过25万条记录 洲际酒店集团 (IHG)：约18.5万条记录 Kyndryl：约17万多条记录 Gap公司：约8万多条记录 Hexaware Technologies：超过2万条记录 温德姆酒店：约9000多条记录 在所有受影响的租户数据转储文件中，泄露的字段始终包含基础的企业通讯录数据。通过分析提供的样本，可以清晰地看到泄露数据的结构：
核心身份和联系方式：全名、公司电子邮件地址（包括活跃域和租户特定.onmicrosoft.com结构）、电话号码和实际地址。 企业结构：员工编号、职位名称、部门、备注、经理详细信息和直接下属。 访问权限和组映射：用户组成员身份、服务帐户和高级权限帐户记录（例如全局管理员列表）。 服务帐户和全局管理员名称的泄露尤其令人担忧，因为这为后续针对这些企业的社会工程、鱼叉式网络钓鱼或有针对性的权限提升攻击提供了直接路线图。
虽然数据极有可能真实，但尚无法确定此次攻击活动的具体实施方式。攻击者明确声称，这些数据是“使用被盗用的凭证”下载的。然而，具体的入侵途径仍然未知。
样本中不包含密码或密码哈希值，这意味着直接风险主要来自社交工程攻击，而非账户盗用。因此对于数据中提及的个人而言，没有任何措施可以消除风险，务实的应对措施是对未经请求的联系保持警惕。
大型企业的通讯录数据如何被窃取 虽然目前无法确切确认黑客究竟使用了哪些凭证来入侵这些企业，但研究人员已经找到了与大多数受影响公司相关的、源自Infostealer感染的被盗Azure凭证，因此此次攻击活动极有可能通过对Infostealer感染获取的用户凭证的定向利用，而非微软Azure的系统性零日漏洞。
“暗网下/AWX”推断，大概有几个方面的原因造成了500强大型企业内部通讯录的泄露：
活跃的Infostealer病毒感染导致员工会话令牌泄露 高成功率的网络钓鱼活动获取了管理权限 特定租户门户缺乏严格的多因素身份验证（MFA） 滥用了在多个环境中拥有过高读取权限的第三方API/集成 如此庞大的数据泄露规模和速度表明，一旦获得初始访问权限，攻击者便会采取系统化的自动化手段窃取企业内部的通讯录。
大型企业内部通讯录的泄露对受影响的企业构成严重且直接的威胁。黑客经常利用这些结构化数据发起极具迷惑性的商业电子邮件诈骗 (BEC) 和鱼叉式网络钓鱼攻击。通过了解企业的详细汇报结构、部门和职位，攻击者可以轻松冒充经理或IT人员，诱骗员工批准欺诈性电汇或交出多因素身份验证 (MFA) 令牌。
此外，服务帐户和全局管理员的识别为初始访问代理和勒索软件运营者提供了高价值目标的精确路线图。为了主动防御这些入侵，企业必须监控初始感染途径，安全团队可以在威胁行为者利用Infostealer窃取的信息访问Azure等关键基础设施之前，检测到被Infostealer窃取凭证的受感染员工、用户和第三方凭据。
流行歌手爱莉安娜·格兰德（Ariana Grande）已向洛杉矶高等法院提起诉讼，控告两名涉嫌入侵其合作者私人文件的黑客。她指控这些人从与她合作的摄影师和制作人处窃取未发行歌曲、影像和照片，并在暗网上出售这些材料。
诉讼于7月27日（周一）提交。投诉中并未点名任何被告，而是以“约翰·多伊”（John Doe）指代这些身份不明的人。格兰德表示，她提起诉讼是为了“查明这些目前身份不明且不道德的个人，以便让他们对这种侵入性和应受谴责的行为负责”。
格兰德声称，这些身份不明的男子通过向暗网出售“个人数据和内容，赚取了巨额资金”。格兰德的律师在诉状中指出，这位歌手正在提起法律诉讼，以查明涉嫌黑客的身份。
被黑客窃取的内容包括未发布的歌曲、照片以及她在创作过程中拍摄的视频和音频录音，这些内容“并非旨在公开传播”。爱莉安娜认为艺术家“有权掌控自己的作品”，并希望这场诉讼能对未来的黑客起到震慑作用。
爱莉安娜·格兰德此次起诉的指控内容 诉状称，黑客非法入侵了与格兰德密切合作的摄影师和制作人的电脑与个人数字账户，窃取了未发布的歌曲、照片和视频，导致属于格兰德的未发行内容被非法且严重地盗窃、传播和利用。
格兰德的诉状指出，黑客随后“以高额价格在暗网上出售这些个人数据和内容”。仅在2023年一年，就有45首未发行歌曲被黑客窃取并泄露。诉状还称，自她2011年出道以来，类似的泄露事件已发生数百起。
据报道，被泄露的格兰德曲目包括《Fantasize》《That Bitch Is Mine》和《White Tee》等。
诉状将相关入侵追溯至2019年。那一年，一位曾与格兰德合作的摄影师的Dropbox账户登录凭证被盗，同时丢失了该歌手的未发行照片。
2020年，她的一位制作人的手机被黑客入侵，导致“仍在制作中的未发行母带、样带以及录音室影像”被泄露。
诉状中指控的最近一起事件发生在2024年。当时，一次钓鱼诈骗瞄准了另一位为格兰德工作的摄影师的技术人员。黑客伪装成该摄影师，使用伪造的Gmail地址和相似域名，诱骗技术人员交出了格兰德的文件。
盗窃行为给格兰德造成了经济和声誉损害 格兰德的诉状称，被盗内容“至今仍在批量出售”，交易通过包括PayPal和CashApp在内的支付服务完成。
诉讼指出，这些盗窃行为给格兰德造成了“经济和声誉损害”，并迫使她投入“大量资源”调查相关活动并移除泄露材料。诉状还称，格兰德“被迫重新录制材料，并修改即将发布项目的发行日期，以保护她的艺术作品以及个人和职业诚信”。
由于没有指名被告，格兰德预计将请求法院授权向互联网服务提供商和在线平台发出传票，以揭开相关责任人的身份。她还要求进行陪审团审判。
一位与爱莉安娜关系密切的消息人士透露：“提起诉讼旨在对未来此类行为起到震慑作用——不仅针对爱莉安娜本人，也针对众多曾遭遇类似隐私侵犯和创作成果被盗的艺术家。艺术家理应有权控制自己的作品何时以及如何与世界分享。非法盗窃和传播创作成果损害了这一权利，绝不应被容忍。”
格兰德此前也曾公开表达过希望追究泄露未发行音乐的黑客责任的意愿。在2024年接受Zach Sang节目采访时，她谈到了一首与马克斯·马丁（Max Martin）共同创作的歌曲《Fantasize》。该曲在网上传播后走红。
她当时说：“在我去拍《魔法坏女巫》之前，我做了几场录音室录音，结果全上了TikTok，非常感谢，咱们狱中见。真的。那些本来都是为一部电视剧写的，不是给我自己的，所以《Fantasize》出来了，疯了，被偷了……这些海盗、骗子、非法的！”
她说，黑客在暗网上出售“个人数据和内容，牟取暴利”。这些内容“并非旨在公开传播”。这一行为被描述为对隐私的“恶意侵犯”，对她的职业生涯造成了“无法挽回的损害”。
格兰德并非首位因未发行音乐被黑客盯上的艺人 格兰德并非第一个因黑客企图窃取未发行音乐而成为攻击目标的知名艺人。2022年，一名英国黑客因入侵包括艾德·希兰（Ed Sheeran）和Lil Uzi Vert在内的89位艺人的云账户，并在暗网上以加密货币出售其未发行音乐，被判入狱18个月。
爱莉安娜·格兰德是环球音乐集团旗下艺人。她的第八张录音室专辑《petal》定于7月31日（周五）通过她自己的厂牌BabyDoll Music与Republic Records合作发行，时间就在这起诉讼提交后不久。2024年，她的专辑《eternal sunshine》为她带来了第六张Billboard 200冠军专辑。
联邦调查人员称，一名网名为“DaddyBiden”的暗网毒品供应商在Abacus Market上完成了约4600笔交易，并且也活跃于TorZon Market。该卖家涉嫌出售阿德拉（Adderall）和摇头丸，但通过控制购买获得的药丸经实验室检测发现，所谓的阿德拉是假药，其中含有甲基苯丙胺（冰毒）。
据美国缉毒局（DEA）和美国邮政监察局联合调查，嫌疑人Peter Lam（彼得·林）被指控与该暗网贩售行动有关。他被控阴谋分销和持有50克以上甲基苯丙胺，违反联邦法律。最近提交的一份刑事诉状称，调查人员利用邮政监控、手机定位数据以及从另一名据称是“DaddyBiden”团伙成员的苹果和谷歌账户中获取的信息，将名为Peter Lam的被告与该团伙联系起来。
案件调查始末 调查始于2024年7月，当时美国缉毒局和美国邮政监察局开始调查DaddyBiden在暗网交易市场Abacus Market上的活动。根据在内布拉斯加州联邦法院提交的刑事诉状，该卖家销售“压制阿德拉”、“E341 10MG IR Real Pharma Adderall”以及进口MDMA（摇头丸）。诉状称，DaddyBiden在Abacus Market上的个人资料显示约有4600笔已完成的交易。网络犯罪追踪账号Dark Web Informer于4月份在X平台发布的一篇推文显示，暗网论坛Dread上一个名为BidensWarAid的账户正在推广DaddyBiden，声称其已完成超过1万笔交易，并拥有5000条好评。
I wish X was less limited to what we can post, so I'm just leaving the the Dread thread until I can come up with an easy template to use to post this type of stuff with images on the website.
Who comes up with the name DaddyBiden anyways?
Dread Thread:… pic.twitter.com/wJAj1nUBPh