结论：骗子仅凭你的身份证号和素颜照，在正规金融机构通常无法成功刷脸贷款，但存在信息被进一步滥用或遭遇非正规平台欺诈的风险，需及时采取应对措施。以下从不同角度为你详细分析：

一、正规金融机构的刷脸贷款流程与风险防控

1. 多因素认证机制
   正规金融机构（如银行、持牌消费金融公司）在贷款审批时，会采用“身份证号+人脸识别+活体检测+短信验证码/银行卡验证”等多重认证方式。仅凭身份证号和静态素颜照，无法通过活体检测（如眨眼、转头等动态验证），也无法获取短信验证码或绑定银行卡，因此无法单独完成刷脸贷款。

2. 生物识别技术的安全性
   金融机构使用的人脸识别系统通常与公安部身份证照片库比对，且要求实时采集活体影像。骗子若使用你的素颜照，会因照片与实时影像不符（如角度、光线差异）或缺乏动态特征（如眨眼）被系统拒绝。此外，部分平台还会结合声纹识别、指纹识别等技术进一步验证身份。

二、信息泄露后的潜在风险与应对建议

1. 风险场景

   • 非正规平台欺诈：部分非法网贷平台可能放松审核标准，仅凭身份证号和照片即放款，导致你被动负债。
     
   • 信息被二次贩卖：骗子可能将你的信息出售给其他犯罪团伙，用于诈骗、洗钱等违法活动。
     
   • 冒名开户：不法分子可能用你的身份在银行开立账户，用于转移赃款或逃避监管。

2. 应对措施

   • 立即报警并留存证据：向公安机关报案，说明身份证号和照片泄露的情况，保留报警回执作为后续维权依据。
     
   • 挂失身份证并补办新证：到户籍地派出所挂失原身份证，并尽快补办新证，使原证失效。
     
   • 查询个人征信报告：通过中国人民银行征信中心或指定银行网点查询征信记录，确认是否有异常贷款或开户记录。若发现未经授权的贷款，立即联系金融机构否认交易并要求撤销记录。
     
   • 监控账户与信用活动：定期检查银行账户、信用卡交易记录，以及支付宝、微信等第三方支付平台的登录记录，发现异常及时冻结账户并联系客服。
     
   • 防范后续诈骗：警惕以“贷款逾期”“征信修复”等名义的电话或短信，不轻信、不点击陌生链接、不提供验证码或密码。

三、法律责任与维权途径

1. 金融机构的责任
   若金融机构未尽到审核义务（如未核实活体信息即放款），导致你遭受损失，可依据《民法典》第1165条（过错责任原则）要求其承担赔偿责任。同时，可向当地银保监会或金融监管局投诉，督促机构纠正违规行为。

2. 骗子的刑事责任
   骗子使用你的身份信息贷款，可能涉嫌贷款诈骗罪（《刑法》第193条）或侵犯公民个人信息罪（《刑法》第253条之一）。若能锁定骗子身份，可向公安机关提供线索，追究其刑事责任。

3. 维权流程

   • 协商解决：与金融机构沟通，说明情况并要求撤销虚假贷款记录。
     
   • 投诉举报：向银保监会（12378）、中国人民银行（12363）或当地金融监管部门投诉。
     
   • 法律诉讼：若协商和投诉无果，可向法院起诉金融机构或骗子，要求赔偿损失。

总结：身份证号和素颜照泄露虽存在风险，但在正规金融机构的严格审核下，骗子难以直接刷脸贷款。关键是要及时采取报警、挂失、查询征信等措施，防范信息被进一步滥用，并通过法律途径维护自身权益。如有其他疑问或需要进一步帮助，可直接向我咨询。