2016年9月，雅虎雅虎对外承认了一起数据泄露事件，数据事件涉及约5亿个账户。泄露当时很多人没太当回事——数据泄露嘛，雅虎隔三差五就有一回。数据事件但接下来的泄露剧情，远比一份声明复杂得多。雅虎

雅虎说，数据事件泄露发生在2014年，泄露攻击者拿走了姓名、雅虎邮箱地址、数据事件电话号码、泄露出生日期、雅虎哈希密码，数据事件甚至还有安全问题及答案。泄露听起来已经够糟了。可到了12月，雅虎又改口，说另外还有一起泄露，发生在2013年，涉及超过10亿个账户。这个数字直接刷新了当时单一数据泄露事件的规模纪录。一家曾经市值超过千亿美元的互联网巨头，在用户数据安全上连续摔了两跤，而且第二跤比第一跤还重。

事情的真相是一点点被挤出来的。雅虎最初把锅甩给“国家支持的黑客”，后来美国司法部在2017年起诉了四名嫌疑人，其中两人是俄罗斯联邦安全局（FSB）的特工，另外两人是受雇的黑客。起诉书里写得很具体：2014年那次入侵，黑客先攻入雅虎的内部系统，拿到用户数据库的访问权限，然后利用伪造的cookies，不需要密码就能登录任意账户。他们用这种方式搜刮了至少6500个账户——包括俄罗斯记者、美国政府官员、以及一些跟克里姆林宫不对付的人。换句话说，这不是随机撒网，而是有明确政治目标的定向窃取。

雅虎的反应速度也值得一说。2014年泄露发生，2016年才公开。中间这两年，公司高层知道多少？时任CEO玛丽莎·梅耶尔后来在参议院听证会上说，她是在2016年7月才被告知此事。但安全团队早在2014年就发现了异常，只是没往上报。这种信息断层在大公司里不算罕见，可放在雅虎身上，后果格外严重——因为Verizon正在收购雅虎。2016年7月，Verizon同意以48亿美元收购雅虎的核心业务。泄露消息一出，Verizon立刻要求重新谈判。最终价格砍掉了3.5亿美元，成交价44.8亿。一次数据泄露，直接让雅虎少卖了3.5个亿。

更荒诞的是后续的集体诉讼。雅虎用户把公司告上法庭，要求赔偿。2018年，和解方案出炉：2.5亿美元。其中大部分用于支付律师费，真正到用户手里的，是每人最多25美元的信用监控服务补偿。你没看错，25美元。你的姓名、生日、密码、安全问题，甚至可能包括你用来找回密码的备用邮箱，全被人拿走了，最后值25美元。当然，从法律角度讲，用户很难证明自己因为这次泄露遭受了具体的经济损失。但那种被明码标价的感觉，比泄露本身更让人不舒服。

雅虎不是第一家被黑的大公司，也不会是最后一家。但它是个转折点。2016年之后，数据泄露的规模从“百万级”跳到了“十亿级”，公众对这类新闻的敏感度反而下降了。十亿账户泄露，现在听起来也就那样。可如果你仔细想想，十亿条记录里，有你的邮箱、你的生日、你用来验证身份的那些答案——你母亲的名字、你第一只宠物的名字、你小学班主任的名字。这些东西一旦泄露，就永远收不回来了。雅虎事件最让人后背发凉的地方不在技术层面，而在于它暴露了一个事实：那些我们以为在保护我们的公司，可能连自己内部发生了什么都不知道。而等他们知道的时候，你的数据已经在某个俄罗斯特工的硬盘里躺了两年。