2023年秋天，非法江苏南通警方抓了一个做“数据修复”生意的公民人。他电脑里存着1200万条公民信息，信息从姓名、非法身份证号到手机号、公民家庭住址，信息甚至还有网购记录和打车轨迹。非法这些数据的公民来源，大部分是信息他在暗网上按“G”买的——1G数据几百到几千块不等。转手卖给催收公司、非法诈骗团伙，公民价格翻十倍不止。信息

这事听起来离普通人很远。非法但你可能不知道，公民你的信息信息早就在某个Excel表格里躺着，被标好了价。

谁在偷你的信息

最常见的是“内鬼”。物业、快递、酒店、医院、学校，凡是能接触到个人信息的岗位，都有人偷偷导出数据卖钱。2022年，某快递公司一个网点负责人，把面单信息拍照卖给电商刷单团伙，三个月赚了8万。面单上有收件人姓名、电话、地址，甚至买了什么东西。

技术手段更隐蔽。App过度索权是老问题，但现在进化了。有些App你关了定位权限，它靠WiFi列表和基站信息照样能算出你在哪。还有“撞库”——黑客拿到某个小网站泄露的账号密码，去试你的微信、支付宝、网银。很多人所有平台用同一个密码，一撞一个准。

最防不住的是“诱导授权”。街边扫码送礼品、小程序测运势、H5小游戏，点“允许”的那一刻，你的通讯录、相册、位置就全交出去了。这些数据被打包卖给数据商，经过清洗、匹配、标签化，最后变成“25-35岁女性，有车，近期搜索过母婴用品”这样的精准画像。

数据是怎么流转的

暗网交易只是冰山一角。更多交易在 Telegram 群、QQ 群、甚至闲鱼上完成。卖家发个截图，打码几个字段，买家验货后走虚拟货币或支付宝口令红包。一条新鲜的个人信息，刚泄露时能卖到几块钱一条，倒手几次后降到几分钱。但量大，百万条起批。

中间还有“数据清洗”环节。原始数据往往脏乱差，有重复、有错漏。清洗者用算法匹配，把同一个人的碎片信息拼成完整档案。比如你外卖地址、快递地址、银行预留地址，三个不一样，算法能判断哪个是常用地址。

最终买家分几类：营销公司拿去打电话推销，催收公司用来定位欠债人，诈骗团伙用来精准下套。最危险的是诈骗——他们知道你的名字、最近买了什么、住在哪个小区，冒充客服或快递员，成功率极高。

法律管得住吗

《刑法》第253条之一规定了“侵犯公民个人信息罪”，情节特别严重的，最高判七年。2021年《个人信息保护法》实施，罚款上限提到5000万或上一年度营业额5%。听起来很严。

但实际执行有难点。一是取证难，暗网交易用加密通信和虚拟货币，服务器在境外。二是定性难，多少条算“情节严重”？司法解释说“非法获取、出售或提供行踪轨迹信息、通信内容、征信信息、财产信息五十条以上”即可入罪。但很多案件里，数据是混合的，有敏感的有不敏感的，怎么折算？

更麻烦的是，很多泄露源是企业，但企业会说“我们也是受害者，被黑客攻击了”。只要证明尽了安全义务，就能免责。可实际上，不少企业连最基本的加密存储都没做，数据库直接暴露在公网。

普通人能做什么

别用同一个密码。重要账户开两步验证。快递地址别写太细，写到小区就行。App权限能关就关，尤其通讯录和相册。街边扫码送礼，直接走开。

还有一点：定期查自己的信息有没有被泄露。Have I Been Pwned 这类网站可以查邮箱是否出现在已知泄露库中。虽然查到了也做不了什么，但至少知道该换哪些密码。

最后说个观察。我跟踪过几个数据交易群，发现一个规律：越便宜的数据越旧，越贵的数据越新。新鲜数据意味着“内鬼”还在活跃，或者某个系统刚被攻破。所以，当你接到一个能准确说出你昨天买了什么的推销电话，别只觉得烦——那说明你的信息刚被卖出去不久，而且卖你的人，可能就在你身边。