2020年7月，圆通亿快圆通速递一个内部员工账号被租给了外部诈骗团伙。递信五个“内鬼”以每天500元的息泄析价格，把系统权限交了出去。露案四十万条快递面单信息被打包导出，圆通亿快再以每条1元的递信价格流向东南亚的电信诈骗窝点。这桩案子后来被破获时，息泄析泄露总量已经滚到了10亿条——几乎覆盖了中国三分之二的露案快递用户。

这个数字不是圆通亿快凭空来的。圆通当时日均单量在3000万上下，递信系统里沉淀了十几年的息泄析历史数据。一个加盟网点客服的露案账号，权限大到能批量导出所在区域的圆通亿快所有收件人姓名、电话、递信地址。息泄析更麻烦的是，这种账号在代理商、承包区、代派点之间层层转手，总部根本管不过来。

信息泄露的链条其实很清晰。第一层是内部人。快递行业基层员工流动性大，月薪四五千，有人出价几千块租账号，很难不动心。第二层是技术漏洞。圆通当时的面单查询接口没有做频率限制，用脚本一晚上能拉走几万条。第三层是下游变现。这些数据被拿去做什么？冒充客服退款诈骗、刷单引流、甚至精准到“你昨天买的奶粉今天有质量问题”。

有个细节值得琢磨。案件曝光后，圆通发了一封道歉声明，说“坚决配合打击非法售卖和使用快递用户信息的行为”。但直到2021年，仍有用户在黑猫投诉上反映，刚下单就接到诈骗电话，对方能准确报出快递单号和商品名称。这说明泄露的源头不止一个，也不止一时。

快递行业的信息安全困境，本质上是成本问题。一套完整的数据库审计系统，加上实时风控和加密传输，投入至少千万级。而圆通2020年净利润不过十几亿，要它在所有加盟网点铺开安全改造，等于割肉。加盟制本身就是双刃剑——扩张快，但管控弱。总部对网点的约束力，有时候还不如一张罚款单。

对比一下顺丰。顺丰是直营，员工入职要签保密协议，系统权限按岗位细分，查一条完整面单需要三级审批。当然代价也明显，人力成本高出圆通一大截。这不是说直营就万无一失，但至少内鬼作案的门槛高得多。

10亿条信息泄露，最后被追责的只有那几个租账号的员工和中间商。圆通本身呢？被约谈、被要求整改，然后就没有然后了。用户拿不到赔偿，甚至不知道自己的信息在哪个环节被卖掉的。这种“企业犯错、用户买单”的格局，才是快递信息泄露屡禁不止的根子。

有个做风控的朋友跟我说过，快递数据在黑市上叫“料”，新鲜度决定价格。刚泄露的“一手料”能卖到5块一条，超过三个月的“旧料”只值几毛钱。圆通这10亿条里，大部分是旧料，但架不住量大。诈骗团伙用旧料筛选出仍在活跃的号码，再结合其他渠道的数据交叉验证，照样能精准下手。

说到底，快递信息泄露不是技术问题，是利益分配问题。企业省下了安全成本，员工赚到了外快，诈骗团伙拿到了数据，只有用户承担了全部风险。这个链条不打破，今天抓了圆通的内鬼，明天还有中通、申通的版本。