2023年11月，互联上海一家做跨境电商的网信小公司发现后台订单数据对不上。技术排查了两天，息泄最后在服务器日志里翻出一条异常请求——有人用离职员工的露案例账号登录了数据库，导走了近三万条客户信息，互联包括姓名、网信电话、息泄收货地址和部分支付记录。露案例这个离职员工三个月前就走了，互联账号却一直没注销。网信

这种事不稀奇。息泄我认识一个做运维的露案例朋友，他说大部分中小公司对“内部账号”的互联管理基本靠自觉。离职不销号、网信权限不回收、息泄密码共用一套，简直是行业默认的潜规则。黑客有时候根本不需要什么高深技术，找个前员工买账号就行，几百块钱的事。

2022年，某知名快递公司被曝出内部员工以每条两块钱的价格倒卖面单信息。四十万条数据，打包卖给了电信诈骗团伙。后来警方披露的细节里有个数字很扎眼：从数据导出到流入诈骗环节，中间只隔了不到六个小时。六小时，足够骗子挨个打电话了。

信息泄露的链条比大多数人想的要短。你以为数据被偷了会先出现在暗网上慢慢拍卖？现实是，很多泄露当天就进了诈骗工厂的数据库。2021年某招聘平台的信息泄露事件，有安全研究员追踪到，泄露的简历数据在 Telegram 群里被直接打包成“精准客户名单”，按行业分类，教育、金融、医疗，明码标价。

我翻过一些暗网论坛的截图，卖数据的人甚至会附上“测试样本”，让你先验证真伪。一条完整的个人信息——身份证号、手机号、家庭住址、工作单位——报价从几毛到几十块不等。便宜的是那种已经转手好几轮的旧数据，贵的是“新鲜出炉”的，带最近消费记录的那种。

大公司也没好到哪去。2020年某社交平台被曝出5.38亿条用户数据在暗网出售，包括用户ID、昵称、手机号、密码。官方回应说这是2019年之前的数据，已经修复了漏洞。但问题是，那些数据一旦泄露就收不回来了。你改密码也没用，因为你的手机号、社交关系、常用昵称这些信息不会变。

有个做安全的朋友跟我说过一句话：“国内大部分App收集用户信息的原则是——能多要就多要，反正不要白不要。”你装个手电筒App，它要读取通讯录；你下个修图软件，它要定位权限。这些数据存在哪、存多久、谁能访问，用户根本不知道。等出了事，一句“系统漏洞”就带过去了。

更麻烦的是数据聚合。A平台泄露了你的手机号，B平台泄露了你的收货地址，C平台泄露了你的身份证号。单独看每个泄露都不致命，但骗子把这三条拼在一起，就能精准报出你的名字、住址和最近买过什么东西。这种“拼图式诈骗”的成功率极高，因为对方掌握的信息太具体了，你很难不信。

有人觉得信息泄露离自己很远，觉得“我又没什么值得骗的”。但诈骗分子要的不是你的钱，是你的身份。用你的信息去注册空壳公司、去申请网贷、去洗钱，最后警察找上门，你得花几个月甚至几年去证明“那不是我”。

写这些不是要制造恐慌。只是觉得，在这个数据即资产的时代，普通人能做的其实很有限——定期改密码、不同平台用不同密码、少授权不必要的权限、快递地址别写太详细。但这些都只是补救。真正该负责的，是那些收集了数据却守不住的公司。它们赚了数据的钱，却没承担数据的责任。