據報導，一個暗網服務正出售超過 153 億份美國和加拿大駕駛執照記錄，而聯邦調查局正在調查與身份驗證提供商 IDScan.net 相關的明顯數據洩露事件。這又是另一個案例，某些本應保護美國公眾的機制反而被用來傷害他們。問題很明確：目前要求客戶識別和驗證的反欺詐流程，將您的敏感資訊毫無保留地交到罪犯手中，從而助長了欺詐行為。
針對個人可識別資訊（PII）的網路攻擊已持續一段時間，且情況愈演愈烈。2017 年，美國最大的信用報告機構之一愛奎法（Equifax）遭受網路攻擊，導致近 1.48 億美國人的敏感個人資訊外洩。近 45% 的美國人資料遭竊。美國司法部在 2020 年的起訴書中指稱中國人民解放軍為此駭客攻擊的幕後黑手，但這僅是對根本問題及日益普遍的現象所採取的臨時措施。
Laz Pieper 是 Coin Center 的研究總監，該組織致力於捍衛個人建立、使用和組建自由開放的點對點網絡的權利，以及私密進行此類活動的權利。
大多數人可能未曾聽過 IDScan，但都曾向使用其技術與服務的企業出示駕駛執照。正如其名所示，IDScan 專注於身份驗證，為汽車租賃公司、銀行、酒店、賭場、大麻零售商、零售店及其他企業提供掃描、解析和驗證身份證件的硬體與軟體。其系統可捕捉正反面影像、提取個人資訊、將身份證上的照片與自拍照進行比對，並將驗證後的資料傳輸或儲存至雲端平台，供企業在驗證後持續存取。
儘管採取了任何網路安全措施，其商業模式一直容易受到攻擊。資料是21世紀最有價值的商品之一。各國政府和企業都設計了方案，盡可能從公民和消費者那裡獲取資料，而在這個過程中，也為網路犯罪分子和外國對手打開了參與現代淘金熱的大門。
當然，最重要的資料是個人身份資訊（PII），它包含高度敏感的細節，例如個人的姓名和地址，以及政府發放的身分證件，如駕照或護照。在美國，要使用眾多服務，美國人必須進行身份認證，而服務提供者則必須核實他們的身份。此要求可能出於監管或商業目的：政府希望防止欺詐和非法活動，企業也是如此。但不幸的是，目前的執行方式對防止欺詐和非法活動收效甚微，反而大大助長了這些行為。
金融機構，例如銀行，是最好的例子。根據 銀行保密法案（BSA）及其相關規定，金融機構在為新客戶開戶時，必須收集並保留個人身份資訊（PII）的記錄，以打擊非法金融活動和詐騙。這類敏感且珍貴的資訊通常儲存在一個稱為「蜜罐」的中央資料庫中，使其成為駭客的目標。一旦 PII 被盜，便可用於開設或入侵帳戶、進行詐騙交易，並以無辜人士的名義洗錢。
這些「預防性」措施對美國及全球金融體系的成效如何？美國聯邦貿易委員會的 消費者投訴與報告資料庫 在 2024 年收到了 647 萬份關於詐騙、身份盜用及其他消費者問題的報告，而 2004 年僅約 86 萬份。非法金融活動猖獗：有 估計 指，去年全球非法金融活動金額高達 4.4 兆美元。
金融機構為防止犯罪分子繞過其反欺詐檢查點，即使獲取了守法公民的個人資訊，也日益採用各種客戶驗證方法——但這些方法最多只構成微小障礙。透過簡訊或電子郵件發送的臨時代碼 容易受到釣魚攻擊和其他多種方法的侵害，而生物特徵驗證則因人工智慧的快速進步而 逐漸失效。
IDScan 並非金融機構，亦無法律要求其保留任何人的個人識別資訊——它僅是一家允許其他企業進行身份核驗的供應商。然而，使用 IDScan 雲端服務的企業將其蜜罐集中於更中心化的地點，使資料外洩變得更加容易。
綜合以上所有因素，為何我們要交出敏感的個人資訊，而換來的卻只是虛假的安全承諾？美國人並未因為在每一個清醒時刻向每一個服務提供者認證身份而變得更安全。事實恰恰相反。然而，國內外政府卻仍以保護兒童為由，企圖進一步擴大識別制度，引入年齡驗證。但我們再次看到，這些所謂的「保護」措施帶來的傷害遠大於益處。我們的資訊早已外洩，被犯罪分子交易，只因政府和企業希望知道我們是誰、在做什麼。而如今，我們正為此付出代價。
如果 ever 有一個時刻需要更強的隱私，那就是現在。然而，我們不能忽視細微差別。有人呼籲完全廢除身份識別和驗證流程。這是一個吸引人的替代方案，但現實是，反欺詐流程的根本目的是保護美國人及其財產，並保障企業的收入和運營完整性——目前的做法只是未能成功。這裡確實有實際價值，但這並不意味著我們必須維持現狀。
發展中的技術為提供更佳的解決方案帶來了可能。與反覆要求美國人提交其身份證明的完整副本不同，保護隱私的系統可讓個人僅證明服務所需知曉的資訊——例如年齡、資格或對帳戶的控制權——同時將底層資訊保留在其自身控制之下。
這些技術仍在開發中，但聯邦監管機構應給予機構空間來測試這些技術，並在它們成熟時更新現有要求。此外，隨著更多保護隱私的方法出現，國會應減少不必要的資訊收集與保留要求。反詐騙流程仍然有價值，但可以在不為罪犯留下永久檔案的情況下存在。
更迫切的是，華盛頓和各州政府應停止任何將身份識別和驗證要求擴展至現有且不必要領域的立法或監管。對開源軟體和互聯網進行年齡驗證的推進必須停止；這會危及普通美國人的權益，助長犯罪分子和外國對手的勢力，而卻未能保護兒童。
此類入侵事件是可以預防的；我們只需要有預防的意願。用於此目的的工具正開始出現，而在無需驗證他人身份的情況下，我們應避免進行驗證。因為保護敏感個人資訊的最佳方式，就是根本不去收集它。