2019年，物联网一位名叫Sarah的人隐英国女士发现自己家中的智能音箱录下了一段私人对话，并将其发送给了丈夫手机上的私泄联系人列表。这不是露案例科幻电影情节，是物联网亚马逊Echo真实发生的事故。设备误判了唤醒词，人隐把一段关于木地板的私泄闲聊当成了指令，然后忠实地执行了"发送消息"操作。露案例

这种事听起来像是物联网个案，但翻翻新闻就知道，人隐类似事件密集得让人麻木。私泄智能家居设备、露案例可穿戴手环、物联网儿童智能手表、人隐共享单车App——每一个都在持续采集数据。私泄问题不在于采集本身，而在于这些数据去了哪里、被谁看到、存了多久。

那些被扒光的日常

2017年，美国一家名为CloudPets的智能玩具公司被曝出数据库裸奔。数百万条儿童与父母的语音消息、账户密码，全部暴露在公网上，无需任何认证就能访问。玩具熊的卖点是"让远方的父母给孩子留言"，结果变成了任何人都能偷听的留言板。

同一年，德国政府做了一件挺刚的事——他们把一款名为"我的朋友凯拉"的智能娃娃直接禁售了。原因是这个娃娃内置的麦克风可以记录周围所有声音，而数据传回公司的服务器后，安全措施几乎为零。德国联邦网络管理局的说法很直白：这玩意儿本质上是个隐藏的窃听器。

再看国内。2018年，江苏消保委测试了市面上多款智能门锁，发现部分产品在遭遇"小黑盒"（特斯拉线圈）攻击时秒开。门锁连着的App里存着用户的开门记录、家庭住址、甚至作息规律。锁被打开了，数据也跟着被打开了。

数据是怎么溜走的

很多人以为隐私泄露是黑客盯上了自己。实际上大部分泄露根本不需要"被盯上"。设备出厂时的默认密码是123456，App过度索取通讯录权限，云平台把用户数据存在没有加密的服务器上——这些都是批量发生的，跟你是谁没关系。

还有一个容易被忽略的渠道：数据共享。你在A平台授权登录B应用，B应用又把数据卖给了C数据公司。这条链条上任何一个环节出问题，你的信息就失控了。2018年Facebook的剑桥分析事件就是这个逻辑的放大版——8700万用户数据被第三方应用拿走，用来做政治定向推送。

物联网设备让这个问题变得更严重。手机至少还有权限管理，很多物联网设备连基本的加密传输都没做。一个智能灯泡能泄露什么？它知道你每天几点开灯、几点关灯、家里有没有人。把这些数据攒上几个月，你的作息规律比你自己记得还清楚。

厂商的态度比技术漏洞更麻烦

技术漏洞可以修，厂商的态度才是死结。很多物联网公司是硬件出身，软件安全不是他们的基因。产品迭代快，安全审计慢，出了事就发个补丁声明，然后等着舆论过去。

更别提那些白牌厂商。深圳华强北一条街上能找出几十家做智能摄像头的，价格压到几十块钱。你猜他们的固件里有没有后门？猜他们的云存储是不是共用一套默认密钥？这些设备大量流入家庭、办公室、甚至幼儿园。

监管在追，但速度跟不上产品铺货的速度。欧盟的GDPR罚了几个大厂，国内《个人信息保护法》也落地了，可执行层面依然吃力。一个智能手环卖99块，你指望厂商花多少钱做安全？

作为普通用户，能做的事情有限但也不是没有：改默认密码、关掉不必要的远程访问、定期检查App权限、别把智能音箱放在卧室。这些措施挡不住所有风险，但至少不会让你成为最容易得手的那一批。

说到底，物联网的隐私问题不是某个设备的问题，是整个行业把"联网"当卖点、把"安全"当成本的结果。只要这个逻辑不变，下一个Sarah迟早会出现。