有人在QQ群里发了一条消息：“百度账号cookie，百度五毛一个，账号量大从优。购买”底下立刻有人接话：“能过实名吗？百度”“带不带历史搜索记录？”这种对话在灰产圈子里太常见了。cookie批发，账号说白了就是购买把别人登录状态的凭证打包卖出去。一个cookie字符串里藏着session ID、百度用户ID、账号甚至设备指纹，购买拿到它，百度等于拿到了账号的账号临时钥匙。

我去年蹲过一个叫“资源对接”的购买Telegram群，里面活跃着几十个卖家。百度有个ID叫“老猫”的账号人，每天固定发十几条百度系产品的购买cookie，从贴吧到网盘，分类标价。普通账号三毛，带会员的八毛，如果是“白号”（无实名、无绑卡），能卖到一块五。他私聊我说，货来自“打码平台”和“接码脚本”，具体怎么来的，他不肯细说。但我知道，那些cookie多半是从钓鱼页面、恶意插件或者撞库软件里薅出来的。

买这些cookie的人要干什么？我观察了几类。一类是刷量的，拿几百个账号去顶帖、刷播放量；一类是做引流的，批量发私信或者改签名挂广告；还有一类更隐蔽，用cookie登录后不急着操作，先养着，等账号“养肥了”再拿去诈骗。百度账号绑定了贴吧、知道、网盘，一个cookie泄露，网盘里的私人文件、贴吧的私信记录、甚至百度钱包的余额，都可能被翻个底朝天。

批发链条其实不复杂。上游是“料商”，手里握着从各种渠道流出的账号密码库；中游是“洗料”的，用脚本批量测试哪些账号还能登录，提取出有效cookie；下游就是零售卖家，在群、论坛、暗网市场里吆喝。价格压得很低，因为竞争激烈。一个cookie的寿命通常只有几天到几周，百度风控一检测到异常登录，立刻失效。所以卖家会强调“保质期”，比如“24小时内包补”。

我试过买一个。付了五毛钱，对方发来一段Base64编码的字符串。用浏览器插件导入后，果然直接进了那个人的百度首页。用户名是一串乱码，头像默认，关注列表里全是营销号。我翻了翻网盘，空的；贴吧记录，全是广告。这种号就是典型的“肉鸡”，被反复倒卖过好几手。真正有价值的cookie，卖家会自己留着或者高价卖给定向客户，不会在群里贱卖。

说句实在话，cookie批发能存在，根子在于百度账号的登录机制。很多老用户从没改过密码，同一个密码用了十年，撞库一撞一个准。百度虽然推了二次验证，但默认不开启，很多人嫌麻烦。再加上有些第三方网站和App用百度账号授权登录，授权链条一长，泄露点就多了。我认识一个做安全的朋友，他说百度账号的cookie在黑市上流通量一直排在前五，仅次于QQ和微信。

你要是问怎么防，其实就那几条：别在陌生网站用百度账号登录，定期改密码，开启登录保护。但说这些没用，该买的还在买，该卖的还在卖。灰产就像野草，烧一茬长一茬。我写这些不是教人买cookie，是想让普通人知道，你随手点的一个授权、图省事设的简单密码，在黑市上可能就值五毛钱。五毛钱，连个包子都买不到，却能把你整个百度生态的隐私扒干净。