本文来自微信公众号“安全学习那些事儿”。
2024年5月6日，一名威胁行为者在暗网上泄露了超过500万萨尔瓦多公民的个人身份信息(PII)，影响了该国80%以上的人口。威胁行为者化名“CiberinteligenciaSV”，将144GB的数据转储发布到Breach论坛，并写道，泄露的内容包括5129518张高清照片，每张照片都标有相应的萨尔瓦多证件识别(DUI)号码。
此外，泄露的数据库还包含萨尔瓦多公民的名字、姓氏、出生日期、电话号码、电子邮件地址和居住地址。这次泄露最重要的方面是生物识别元素，泄露的信息提供了超过500万张头像，并与受害者相应的PII进行了索引。因此，这种生物识别数据转储给大多数萨尔瓦多公民带来了重大的欺诈和身份盗窃风险。
这次数据泄露意义重大，因为它标志着网络犯罪历史上的第一例，一个国家的几乎所有人口都受到生物识别数据泄露的影响。
联邦贸易委员会去年发布的一份咨询报告指出，“生物识别信息是指描述或描述已识别或可识别个人身体的物理、生物或行为特征、特征或测量值或与之相关的数据。”
除了萨尔瓦多的大规模PII记录之外，威胁行为者还获得了每个受害者的头像，这代表了一个重要的生物识别数据标记——尤其是在生成人工智能的黄金时代。值得注意的是，大规模的生物识别和PII数据泄露使萨尔瓦多大部分人口面临身份盗窃和欺诈的巨大风险。借助现代深度造假技术，威胁行为者可以利用受害者头像和相关PII，在数字优先的金融、商业和政府门户网站等广泛领域实施更具说服力的欺诈行为。
