内容摘要：12306的验证码已经难到让人怀疑人生了，可还是有人能拿到别人的购票记录。不是靠黑客技术，靠的是你手机里那个默认勾选的“亲情号”。 上个月我同事老周出差，高铁票是他老婆帮忙买的。到了车站，老周刷身份证

12306的何查验证码已经难到让人怀疑人生了，可还是询人有人能拿到别人的购票记录。不是购票靠黑客技术，靠的记录是你手机里那个默认勾选的“亲情号”。

上个月我同事老周出差，何查高铁票是询人他老婆帮忙买的。到了车站，购票老周刷身份证进站，记录闸机“嘀”一声，何查屏幕上跳出来的询人却是他老婆的名字。老周没在意，购票以为系统抽风。记录结果回程票他老婆又用自己账号买的何查，老周在自助售票机上打印报销凭证，询人打出来的购票那张小票上，乘车人是他，但购票人信息栏清清楚楚印着他老婆的身份证号。

这事听着魔幻，实际操作起来简单得吓人。只要你的12306账号里添加过家人为“乘车人”，并且勾选了“亲情账户”功能，那么你每次帮他们买票，系统就会自动生成一份完整的购票档案。这份档案里有什么？车次、座位号、出发到达时间、票价、支付方式，甚至你当时用的哪张银行卡后四位。更关键的是——只要你登录那个账号，所有历史订单都摊在眼前，不用输密码，不用验证码，点一下“订单记录”就全出来了。

有人会问，那我不帮别人买票，只用自己的账号，总安全了吧？天真。你用过第三方平台吧？携程、飞猪、同程，哪个不是让你绑定12306账号？绑定的时候你读过用户协议吗？没读过就对了。这些平台的数据互通程度远超你想象。我有个做票务代理的朋友，他能在不接触你手机的情况下，报出你最近三次出行的具体车次。方法？他说只要拿到你的手机号，再通过某些公开的接口反查，就能看到你授权的订单信息。这不算违法，因为你在注册时“同意”了数据共享条款。

更野的路子是利用行程提醒短信。现在12306默认开通了短信通知，你买完票，手机会收到一条带订单号的短信。如果有人拿到你手机（哪怕只是借用一分钟），打开短信搜索“铁路”，所有购票记录直接暴露。别觉得没人会翻你手机，去年我在地铁上亲眼见过一个女生借旁边大哥的手机打电话，打完顺手点开短信界面划了两下。她可能只是想删通话记录，但那个大哥的购票短信就明晃晃挂在最上面。

最讽刺的是官方渠道。你去车站窗口，拿着别人身份证原件和你的身份证，说“我要查这个人最近买过什么票”。售票员大概率会拒绝。但如果你说“我帮他取票，他身份证在我这”，然后报出订单号——售票员会直接把票打给你。订单号从哪来？短信里就有。所以你看，整个链条根本不需要什么技术破解，全是利用日常使用习惯的漏洞。

写到这我有点后背发凉。查别人购票记录这事儿，本质上不是技术问题，是信任问题。你授权了亲情号，授权了第三方平台，授权了短信提醒，每一个授权单看都合理，但叠加在一起，就成了别人眼里透明的你。下次买票前，不妨花两分钟看看12306的“授权管理”页面，把那些不用的第三方解绑，把亲情号里不常来往的亲戚删掉。别嫌麻烦，这比你设什么复杂密码都管用。