您的姓名、住家地址、出生日期，甚至社會安全號碼，可能都曾暴露在公開的網際網路上。研究人員表示，一個與 IDMerit 公司相關、未受保護的資料庫，暴露了約 10 億筆橫跨 26 個國家的敏感記錄。IDMerit 聲稱能協助企業驗證身份。

僅在美國，就有超過 2.03 億筆記錄處於不安全狀態。這包含了公司用來確認您真實身份的確切文件和詳細資訊。如果罪犯獲得這類資訊，他們將擁有一切所需。

研究人員在 Cybernews（一個網路安全新聞與研究出版物）發現了一個於 2025 年 11 月 11 日暴露的 MongoDB 資料庫，他們認為該資料庫屬於 IDMerit，一家為銀行、金融科技公司及其他金融服務公司提供服務的全球身份驗證提供商。IDMerit 使用人工智慧工具協助企業執行 KYC（客戶盡職調查），這是開設金融帳戶時所需的身份驗證流程。

該資料庫未設密碼保護，任何知道如何尋找的人都可以存取。內部包含全名、住家地址、郵遞區號、出生日期、國民身份證號碼、電話號碼、電子郵件地址和性別資訊。部分記錄還包含電信相關的元數據和內部標記，可能提及過去的資料外洩事件。

此次暴露影響了 26 個國家的民眾。美國暴露的記錄數量最多，超過 2.03 億筆。墨西哥、菲律賓、德國、義大利和法國也受到嚴重影響。

研究人員通知了該公司，資料庫於次日被保護起來。目前沒有公開證據顯示罪犯已下載這些數據。不過，值得注意的是，自動化機器人會不斷掃描網路尋找暴露的資料庫，並能在幾分鐘內將其複製。

對罪犯來說，這無疑是黃金。憑藉您的全名、出生日期、國民身份證號碼和電話號碼，詐騙者可以嘗試 SIM 卡交換攻擊。這是一種詐騙者說服您的行動電信業者將您的電話號碼轉移到他們設備上的手法。一旦他們控制了您的號碼，他們就可以攔截簡訊發送的安全碼，並侵入您的銀行或電子郵件帳戶。他們還可以發動高度針對性的釣魚詐騙。想像一下收到一通包含您真實住家地址和身份證號碼的電話或電子郵件。這聽起來會很真實，而這正是他們的目標。

由於數據組織良好，罪犯可以按國家或其他詳細資訊進行排序，並使用自動化工具大規模鎖定民眾進行詐騙。

我們聯繫了 IDMerit 尋求評論，該公司發言人向 CyberGuy 提供了以下聲明：

「IDMERIT 是一家提供身份驗證技術的軟體即服務公司。我們擁有並營運我們的專有平台，但我們不擁有、控制或儲存客戶數據或獨立數據來源維護的底層數據。我們的平台連接全球授權數據來源，代表我們的客戶驗證個人身份。」

「11 月 11 日，一位道德駭客告知 IDMERIT，與獨立數據來源相關的某些數據端口可能已開啟，這有可能暴露某些數據庫。收到此通知後，我們立即對我們的軟體、安全控制、配置和系統日誌進行了全面審查。該審查未在 IDMERIT 環境中發現任何暴露、漏洞或未經授權的存取。IDMERIT 的系統和安全基礎設施從未被侵害。」

「同時，我們通知了所有相關數據來源合作夥伴，並與他們合作評估此事。我們的合作夥伴進行了內部調查，並確認在此事件期間、之前或之後，他們的系統從未發生過數據洩漏或資料外洩。我們要求道德駭客提供安全事件報告作為證明，而對方的回應是要求支付報告費用，這證實了我們的懷疑，這是一起勒索相關事件。」

「根據我們的內部審查和合作夥伴的確認，我們沒有跡象表明任何客戶數據已被洩漏。我們將繼續維護我們系統上的強健安全措施，並嚴肅對待這些指控，同時與我們的合作夥伴協調調查此事。」

在罪犯有機會利用這些資訊對您不利之前，以下是您可以立即採取的實用步驟，以鎖定您的資訊並降低風險。

聯繫您所在國家/地區的主要信用機構並設置信用凍結。這可以防止罪犯以您的名義開設貸款或信用卡。即使有人擁有您的國民身份證號碼和出生日期，貸方也無法在未經您許可的情況下存取您的信用檔案。

如果您的銀行或電子郵件帳戶仍使用簡訊進行雙重驗證，請改用身份驗證器應用程式。簡訊可能在 SIM 卡交換攻擊中被攔截。身份驗證器應用程式直接在您的設備上生成代碼，使罪犯更難入侵。

如果攻擊者將洩漏的身份數據與舊數據洩漏中的密碼配對，他們可能會嘗試存取您的帳戶。密碼管理器為每個帳戶創建強大且獨特的密碼，因此一次洩漏不會解鎖所有內容。

如果您發現個人資訊被用於開設帳戶或出現在暗網市場上，身份盜竊監控服務可以提醒您。及早發現可能意味著快速阻止詐騙與數月後才發現之間的區別。

良好的防毒軟體可以阻止惡意連結、偽造登入頁面和間諜軟體，這些都可能用於後續攻擊。在發生大規模數據洩漏後，釣魚活動通常會激增，而防護措施可以阻止您點擊進入麻煩。

您的個人資訊經常散佈在數據經紀網站和個人搜尋數據庫中，這些網站出售對您詳細資訊的存取權。個人數據刪除服務可以監控您的資訊出現在何處，並努力將其移除。這減少了罪犯可以一次找到關於您的數據量，使他們更難拼湊您的身份並以詐騙或欺詐為目標。如果您想了解您的個人資訊是否已在網路上，可以訪問 Cyberguy.com 獲取免費掃描。

如果有人聯繫您並提及您的地址、出生日期或身份證號碼，請勿假設他們是合法的。掛斷電話，並撥打公司網站上列出的官方號碼。罪犯會利用真實數據來讓虛假故事聽起來令人信服。

此事件暴露了一個更大的問題。處理身份驗證的公司已成為數位經濟的關鍵基礎設施。當其中一家公司將資料庫敞開時，其後果會蔓延到國家和數百萬從未聽說過該公司的普通民眾。您信任銀行或應用程式處理您的身份。該銀行又信任第三方。在這個鏈條的某個環節，基本的安全控制失敗了。

處理身份驗證的公司在暴露數百萬人最敏感數據時，是否應該面臨自動處罰？請透過 Cyberguy.com 寫信告訴我們。