数年前，数据泄露导致数千或数百万人的个人信息在暗网中暴露，这一概念已成为一种已知的威胁。由于需求是发明之母，第一个暗网身份监测服务应运而生。业内人士密切关注的第一个暗网市场丝绸之路于2011年问世，次年有1.64亿个LinkedIn账户被泄露，2013年有30亿个雅虎账户被泄露。几年后，当他们的信用卡供应商或保险公司开始提供免费的身份监测作为一项增值服务时，不了解情况的人第一次知道他们的PII暴露在暗网上。
如今，暗网身份监控无处不在，身份监测服务提供商面临着将其服务与竞争对手区分开来以留住客户的挑战。以下是提供暗网身份监控服务时需要考虑的五个关键因素：
一、数据质量
身份监测服务提供商必须保证驱动其身份暴露检测和警报的数据方面的真实质量。身份监测服务需要确保他们发出的任何警报是基于实际的数据泄露，而不是由黑客插入的虚假泄露数据。此外，警报必须包含足够的上下文信息和指导，以便消费者知道如何应对数据泄露。
数据的广度和深度
许多外泄数据供应商专注于凭证暴露，将他们的注意力转向新闻中的“大”的泄露事件或者帐号密码列表，这些数据仅占被泄露数据总量的一小部分。每一起成为头条新闻的泄露事件背后，都有数百个泄露事件根本没有媒体报道。虽然供应商从各种泄露行为中回收了暴露的凭据，但它们可能忽略了其他暴露的数据，如地址、电话号码或社会安全号码。
数据验证
黑客通常被经济利益的前景所驱使，而泄露的身份数据对他们来说是非常有利可图的。泄露数据包中的数据越多，黑客在分发该数据集时就能赚得越多。黑客对不诚实并不陌生，他们有时会将捏造或复制的数据插入泄露数据包中，以增加文件大小，从而提高销售价格。在这些交易的下游，身份泄露数据提供商会捕获这些泄露数据包，但如果没有数据验证和重复数据处理，泄露数据包可能会被错误地归于某家公司，或者可能包含并未真正发生泄露事件的网站的用户凭证和个人数据，这将导致用户体验不佳，粉碎用户对其身份监测供应商的信心。
可操作性和归属性数据
可操作和可归属的数据是积极的用户体验的基石。想象一下，收到一个数据泄露警报，上面写着：“您的数据已在暗网上暴露”。这创造了更多的问题而不是答案。我的哪些数据被曝光了？这与哪个网站或服务有关？我可以对此做些什么？因此，必须提供易于理解和可操作的特定警报，例如：“您的电子邮件地址和密码在2022年1月1日的Acme,Inc攻击事件中泄露。立即更改您使用以下密码的所有帐户的密码：*789。”
可定制的数据策略
有时，无法将泄露的个人数据归因于高度可信的来源。例如，一个用户泄露的凭据可能会在密码组合泄露中发布，该组合泄露来自多个泄露的数据，但没有提供明确的归属。然而，这些数据的准确性仍然可以得到验证，这使得对这种暴露的了解对终端用户来说非常相关和需要有可操作性。不幸的是，许多身份泄露数据提供商没有区分归属、未归属和组合列表泄露，这使得无法对他们的警报采取行动。如果声称的泄露来源不准确或没有法律依据，在没有适当理由的情况下为泄露提供归属企业，也会造成法律风险。因此，ID监控服务应该寻求能够划分归属和非归属漏洞的数据供应商，给予ID监控供应商必要的精度和信心，以建立最佳的用户体验。
二、国际覆盖
对暗网身份监控服务的广泛需求首先在北美市场萌芽，几年后又在欧洲市场兴起。这些先驱地区率先制定了消费者保护框架，如欧盟的GDPR和加州的CCPA，表明市场已经成熟，身份保护领域进一步合法化。今天，我们看到拉丁美洲、亚太地区和澳大利亚、中东和印度对暗网身份监控的需求快速增长。随着供应商向这些新兴市场的扩张，他们越来越依赖数据供应商来管理来自全球的高质量、可操作的数据。
除了这些地区的数据覆盖范围之外，高质量和可操作的身份暴露警报来自提供商，该提供商可以调整来自每个国家/地区的身份数据的细微差别，并以终端用户的首选语言进行。考虑到许多国家使用其公民的税务识别号码作为主要的政府身份号码（很像美国使用的社会安全号码），而一些国家有全国性的身份证，还有一些国家同时实施这两个号码。暗网身份监控服务应该寻找一个了解特定国家身份证号码格式的泄露身份数据供应商，并能以最终用户的首选语言提供本地化的警报信息。
三、覆盖面的广度
消费者身份监测服务通常集中在凭证暴露上，因为这通常是最容易告诉用户的故事：平均每个人有30个在线账户，并在所有这些账户中重复使用3-4个密码；因此，凭证暴露使你的25%的在线账户或更多的账户面临被接管的风险。虽然这种方法是有效的，并且每个用户都可以从强大的唯一密码中受益，但除了暴露的密码之外，还有一系列广泛的暴露数据，恶意行为者每天都在利用这些数据。各种各样的暴露数据类型使威胁者能够发送可信的、有针对性的网络钓鱼邮件，将电话号码与你的身份联系起来并发送钓鱼信息，利用用户的独特信息回答密码重置表格上的安全挑战问题，或者干脆实施身份盗窃，使受害者陷入财务绝望。
消费者身份监测服务应该寻找身份泄露数据供应商，他们关注的不仅仅是暴露的凭证，而且可以对广泛的属性发出警报，如：社会安全号码、国民身份证号码、护照号码、电话号码、地址、银行账户号码、信用卡和借记卡号码，并支持每个用户的多个电子邮件地址等等。
四、业务运营影响
当你在通知你的客户他们信任的组织不幸暴露了他们的个人数据时，你一定会从用户那里得到一些问题。这是意料之中的事，所以ID监控服务提供商在呼叫中心配备了受过培训的员工来解决客户的问题。这些呼叫中心是很昂贵的，所以，供应商在设计他们的服务时，应该考虑到运营的影响。例如，前面我们讨论了可操作和可归属的警报的重要性——向用户解释发生了什么，什么时候发生的，谁被入侵了，什么被暴露了，他们应该怎么做。没有提供这种详细程度的警报会导致客户的困惑，并导致服务台呼叫数量的增加，从而推高所有成本，降低客户满意度。但即使如此，客户的问题也是可以预期的。你可以可靠地估计你的警报接收者中会打电话来的比例，但你无法预测何时会发生泄露事件，或有多少客户会受到影响。
消费者身份监测服务提供商应该寻找身份泄露数据供应商，这些供应商可以提前通知大型泄露事件，提供关于有多少用户受到泄露事件影响的洞察力，并将警报传递限制在每天指定的警报数量上，从而避免任何服务台呼叫的高峰。这些强大的功能可以极大地提高运营的完整性，使供应商能够为呼叫中心配备足够的人员，并保持高质量的客户服务，而不会产生超出预算的成本。
最后，ID监控服务可能犯的最具破坏性的错误之一是将警报传递给一个非预期的收件人，并有可能泄露其他人的个人信息。撇开泄露其他用户信息的诉讼风险不谈，一个错误的警报传递可能与未采取行动或正确归属的警报会产生同样的负面影响。
这种情况如何发生？
考虑一下你的家庭住址——你很可能不是第一个住在那里的人，而以前的租户或业可能曾经对那个地址有过要求。ID监控服务提供商是否应该提供与其用户地址相匹配的警报，他们如何确定曝光与他们的客户相关？因此，选择一个能提供身份识别的身份泄露数据供应商是很重要的，简单地说，就是考虑多个数据点来验证预期的警报接收者。在这种情况下，如果曝光记录包含最终用户的地址和姓名，就会产生警报，例如。虽然用户地址的前住户有可能与现在的租户共用一个名字，但这是非常不可能的，因此，这样一个简单的识别步骤可以极大地提高警报传递给预期收件人的置信度。
五、警报评分
我们已经讨论了正确归因、准确性和数据质量的重要性。但是，我们也认识到，即使在无法归因的情况下，违规数据仍然可以用来保护最终用户免受身份盗窃的损害。除了消费者身份盗窃保护的用例外，无法归属或验证的违规数据集可能仍有价值（例如，用于欺诈检测）。但是，ID监控服务提供商如何区分不同级别的验证，从一个警报到另一个？分数。一个高质量的身份泄露数据供应商可以为每个警报提供分数，例如“归因评分”、“真实性评分”和“置信度评分”，分别表示归因的置信度、数据真实性的置信度和数据质量的整体置信度。从那里，ID监控服务提供商可以对用户体验进行微调。