结论：坏人仅知道你的手机号和身份证号，并不足以直接偷偷进行网上贷款，但确实存在一定风险，需采取措施防范。以下从不同角度为你详细分析：
一、网上贷款的基本流程与所需信息
网上贷款，尤其是正规金融机构的贷款，通常需要借款人提供一系列详细且真实的信息，包括但不限于：
- 身份信息：身份证号、姓名、性别、年龄等，用于验证借款人的身份。
- 联系方式：手机号、电子邮箱等，用于金融机构与借款人取得联系。
- 收入证明：银行流水、工资单、税单等，用于评估借款人的还款能力。
- 信用记录：通过征信系统查询借款人的信用历史，判断其信用状况。
- 其他信息：如工作单位、职位、家庭住址等，用于进一步核实借款人的情况。
关键点：仅凭手机号和身份证号，无法完成网上贷款的全部流程，尤其是无法提供收入证明和信用记录等关键信息。
二、坏人可能利用的信息与风险
尽管坏人仅知道你的手机号和身份证号不足以直接贷款，但他们仍可能利用这些信息尝试进行以下活动：
- 诈骗：通过伪造身份或冒充你本人，尝试向你的亲友或金融机构进行诈骗。
- 信息贩卖：将你的个人信息出售给不法分子，用于其他非法活动。
- 尝试贷款：在部分非正规或管理松散的贷款平台上，尝试使用你的信息进行贷款申请（但成功率极低，且易被发现）。
风险防范：
- 及时挂失与报警：一旦发现个人信息泄露，应立即向相关部门挂失身份证，并向公安机关报案。
- 监控信用记录：定期查询个人征信报告，及时发现并处理异常贷款记录。
- 加强信息安全：不轻易将个人信息透露给陌生人，不随意点击不明链接或下载未知软件。
三、金融机构的责任与义务
金融机构在发放贷款时，有义务对借款人的身份和信用状况进行严格审核。如果金融机构因审核不严导致贷款被冒领，应承担相应的法律责任。
法律依据：
- 根据《中华人民共和国居民身份证法》等相关法律法规，金融机构在办理贷款业务时，必须验证借款人的真实身份。
- 根据《中华人民共和国合同法》等相关法律法规，金融机构与借款人之间的贷款合同必须基于双方真实意思表示，且内容合法合规。
四、你的权益与应对措施
如果你发现有人试图或已经使用你的个人信息进行网上贷款，你可以采取以下措施：
- 立即报警：向公安机关报案，提供相关证据，协助警方调查。
- 联系金融机构：告知金融机构你的情况，要求其停止发放贷款或撤销已发放的贷款。
- 寻求法律帮助：如有必要，可以咨询专业律师（即我，李代华律师），了解你的权益和应对策略。
总结：坏人仅知道你的手机号和身份证号并不足以直接进行网上贷款，但确实存在一定风险。为了保护自己的个人信息和财产安全，建议你加强信息安全意识，及时监控信用记录，并在发现异常情况时立即采取措施。如有任何法律疑问或需要进一步的帮助，请随时向我咨询。