大数据信息泄露案例

2018年3月，Facebook被曝出8700万用户数据被剑桥分析公司违规获取。据信这不是息泄一次简单的黑客攻击，而是露案例通过一个心理测试小程序，合法地撬开了用户社交关系链的大数缺口。用户点了“同意”，据信但根本不知道自己的息泄好友数据也被一并抓走。我当时在科技媒体做编译，露案例看到那份数据流向图时后背发凉——原来我们每天点的大数“允许”，就是据信数据泄露的钥匙。

国内的情况也不乐观。2021年，某快递公司内部员工与外部勾结，租用服务器，用爬虫批量导出面单信息。不是高深的技术，就是账号权限没管住。40万条包含姓名、电话、地址的数据被打包卖到暗网。我有个朋友在那之后收到过三次诈骗电话，对方连他买过什么牌子的猫粮都说得出来。他说：“感觉像被人扒光了站在街上。”

更早一点，2019年，一家做酒店连锁的企业被曝出5亿条开房记录泄露。黑客在暗网叫卖，支持“验证”。有人试了几个熟悉的手机号，居然真能查到入住时间。这事当时被压了一阵，后来不了了之。我写稿时查过，那批数据里甚至包含身份证号和家庭住址。你说这是技术漏洞？不，是数据库根本没加密，运维人员把备份文件放在了公网可访问的服务器上。

这些案例有个共同点：泄露不是因为系统被攻破得多精妙，而是权限管理形同虚设。剑桥分析利用了平台API的过度开放；快递公司输在内部账号复用；酒店则是运维疏忽。你发现没有？大数据越集中，单点失误的破坏力就越大。以前丢一个数据库最多影响几万人，现在动辄上亿。

我观察到一个细节：每次泄露事件曝光后，企业第一反应往往是“已报警”“配合调查”，但很少主动告诉用户“你的哪些数据被泄露了”“你该做什么”。2017年美国征信巨头Equifax泄露1.47亿人信息，拖了六周才公布。这六周里，高管忙着卖股票。用户呢？只能自己查信用报告。这种不对称，比泄露本身更让人无力。

还有一个容易被忽略的案例：2022年，某高校的“健康打卡”系统被曝出数据库未设密码，学生身份证号、家庭住址、甚至行程轨迹全部可被公开查询。系统是外包公司做的，学校只负责用。出事后，外包公司说“已经修复”，学校说“高度重视”。学生呢？没人通知他们。我联系过其中一位学生，他说：“我只想知道我的信息现在在谁手里。”

写这些案例不是要制造恐慌。我想说的是，大数据泄露的根源往往不在“大数据”本身，而在人对数据的轻慢。把数据当石油，却忘了石油需要管道、阀门和应急预案。我们每个人都在贡献数据，但保护数据的责任被层层转包，最后落到用户自己头上——改密码、开二次验证、定期查征信。这合理吗？显然不。

下次你点“同意”之前，不妨多想两秒：这个权限，真的必须给吗？你的数据，可能正在某个未加密的服务器上，等着被下一个“内部人员”打包带走。