与310万身份记录相关的DZI报价

一则在一个秘密论坛上的帖子声称，3,134,269条与DZI保险相关的记录，包括国家身份证号码、护照和地址，正在保加利亚出售。这些信息尚未得到独立验证，但数据的数量和性质对数字身份和金融机构的安全控制构成了重大风险。

• 该帖子将此次泄露归因于DZI保险客户门户的一个保护不足的API。
• 公告的数据集将包括国家身份证号码、护照、出生日期、姓名、地址、电子邮件和电话号码。
• 该报价于2026年9月1日被观察到，出售限制为两个买家，尚未公开价格。

与310万身份记录相关的DZI报价

一则在秘密论坛上的帖子提供了3,134,269条记录，卖方声称这些记录属于保加利亚公司DZI保险的客户，该公司与KBC集团有关。公告指出，这些数据可能是在2026年5月21日通过客户门户的一个保护不足的API提取的，尽管没有识别出具体的端点或漏洞。该信息于2026年9月1日被观察到，仍未得到独立验证。

公告的数据集将包括国家身份证号码、出生日期、护照号码、签发日期和签发机构，以及用西里尔字母和拉丁字母书写的姓名。它还将包含完整的邮寄地址、电子邮件、每条记录最多两个电话号码，以及与短信、国籍、居住地和个人类型相关的指标。卖方声称存在原始JSON文件，并承诺向买家提供更多信息。

该报价以“情报”演员的名义出现，限制为两个买家，价格仅在询问时提供。黑暗网络信息员将该帖子描述为尚未确认的指控，因为它没有检索数据或链接所提供的文件。在报道时，DZI及其母公司尚未公开回应这一指控。

公告对泄露的声明

该帖子将初始访问归因于客户门户的一个暴露接口，这一描述可能适合公共应用程序的利用，但单独并不能证明事件是如何发生的。该账户没有提供端点名称、错误消息、技术捕获或可重复的证据。因此，关于一个安全性差的API的引用应被视为演员的商业声明，而不是法医结论。

卖方声称已大量提取记录，并可以提供表格数据集和原始JSON文件。这种组合与通过查询接口获得的信息兼容，尽管它也可以以增强秘密报价的可信度的方式呈现。合理格式的存在并不确认数据来自DZI或所有记录都是最新的。

该帖子列出了可以将公民身份与官方文件和联系方式关联的字段。其中包括国家身份证号码、护照详细信息和签发机构。该组合将声称的数据集转变为比孤立的电子邮件或电话号码数据库更为敏感的内容。

公告还声称可能会有额外的交付，这是地下市场中常见的承诺，因为它试图对潜在买家施加压力。限制为两个买家的策略暗示了一种限制流通的策略，既可以提高价格，也可以减少材料的公开曝光。然而，演员的新账户、其唯一的帖子以及缺乏可验证的价格阻碍了对报价真实性或实际范围的准确评估。

集中永久标识符的风险

根据报告的描述，国家身份证号码在保加利亚公民与银行、健康和政府机构的关系中占据中心地位。与密码或电话号码不同，它不是一个人可以在曝光后轻易更改的数据。当与姓名、出生日期和地址结合时，它可以促进针对仍依赖基本验证的服务的冒充尝试。

声称访问护照号码增加了另一层敏感性，特别是因为公告将包括每个文件的签发日期和负责机构。包含这些字段的记录，以及电话号码和电子邮件地址，可以用于构建看似合法的社会工程信息。这种后果是潜在的，并不等同于声称已经发生了欺诈、银行访问或信息的非法使用。

公告的数量达到3,134,269条记录，如果真实且不包含重大重复，将代表保加利亚成年人口的相当一部分。这一规模将问题从识别少数受害者转变为审查还有多少机构仍然接受姓名和国家标识符作为足够的身份证明。这也增加了保险公司、银行、医疗提供者和共享验证流程的公共机构对该案件的兴趣。

限制为两个买家的销售可能减少即时传播，但并不消除小团体故意利用的危险。集中在少数人手中的数据库可以用于选择目标、与其他数据集交叉引用信息或测试高度个性化的联系脚本。由于没有确认访问、销售或后续使用，这些可能性应作为风险场景呈现，而不是既定事实。

已知和未确认的信息

报告指出，观察到的样本保持与西里尔字母和拉丁字母的音译相对应、合理的标识符格式和真实的保加利亚地方。这些元素在大规模上可能难以伪造，但一致的样本本身并不能证明来源是DZI保险。技术评估也缺乏与公司的直接验证、文件的保管链以及与合法记录的公开比较。

还有一些信号提醒在将该报价转变为确认泄露之前要谨慎。卖方的账户完全是新的，仅记录了一条帖子，没有交易历史，也没有公布价格；此外，新的数据承诺是吸引买家的常用策略。这些情况并不否定公告，但确实降低了对其商业声明的信心。

归因于提取的日期值得特别审查，因为2026年5月21日早于公告的公开观察时间超过三个月，该公告发生在同年9月1日。延迟可能有多种解释，包括私人销售或在数据获得后发布，但报告没有提供答案。在欧盟的管辖区内，任何可能的通知给主管机关也是需要澄清的一个方面。

目前，该案件应被描述为与DZI保险相关的未经验证的数据报价，而不是针对该公司的确认泄露。确认需要DZI或KBC集团的回应、对合法获得样本的分析、关于API的技术证据，以及对记录是否真实、最新和独占的评估。在这些元素出现之前，最确凿的事实是发布的存在，而不是卖方承诺的真实性。

这一事件说明了处理身份的组织必须施加比仅仅依靠密码和静态标识符更强的控制。它还提醒用户，秘密报价可能混合真实数据、过时信息和虚构材料，以显得令人信服。警惕、及时通知和额外认证仍然至关重要，尽管单独的任何措施都无法确认该数据集是否是从DZI提取的。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。