内容摘要：12306又又又又出事了。这次是用户信息泄露，据说有超过千万条数据在黑市上流通，包含姓名、身份证号、手机号，甚至购票记录。我不是安全专家，但我用12306订了十年票，我的身份证号、家庭住址、常用联系人

12306又又又又出事了。信息泄露这次是信息泄露用户信息泄露，据说有超过千万条数据在黑市上流通，信息泄露包含姓名、信息泄露身份证号、信息泄露手机号，信息泄露甚至购票记录。信息泄露我不是信息泄露安全专家，但我用12306订了十年票，信息泄露我的信息泄露身份证号、家庭住址、信息泄露常用联系人早就绑在系统里了。信息泄露看到消息的信息泄露第一反应不是愤怒，是信息泄露麻木——这破系统要是哪天不出事，我反而觉得不正常。信息泄露

泄露的渠道查了半天，指向第三方抢票软件。官方声明一如既往地撇清关系：“系个别用户使用第三方软件所致”。这话听着耳熟，上次撞库攻击时也是这套说辞。我不质疑官方立场，我只想问一个简单的问题：为什么我的信息会被第三方软件拿到？还不是因为12306官方接口开放得跟筛子似的，验证码复杂到人类都认不出来，逼着用户去用各种抢票助手。

我有个朋友，程序员的倔脾气，去年非要自己写脚本抢春运票。折腾了三天，发现12306的接口文档在GitHub上随手就能搜到，加密逻辑形同虚设。他跟我说：“这系统的安全级别，大概相当于把家门钥匙藏在门口的脚垫下面。”我当时笑他夸张，现在想想，他可能还说保守了。

更讽刺的是，泄露的数据里居然包含乘客的座位偏好和餐饮选择。谁爱吃素、谁总买靠窗的票、谁经常往返京沪线——这些细节比身份证号更危险。一个陌生人拿到你的购票记录，基本就能推断出你的工作性质、收入水平、常驻城市，甚至连你出差见谁都能猜个八九不离十。信息时代，数据就是武器，而12306把武器分发给了所有人。

官方建议用户修改密码、冻结账号。可修改密码有用吗？泄露的又不是密码，是实名信息。身份证号改不了，手机号换号成本高得离谱。你让用户怎么办？天天盯着自己的征信报告，祈祷没人拿你的身份去贷款、注册公司、开电话卡？这已经不是个人能防御的事了。

我注意到一个细节：每次泄露事件后，网上都会出现一批“保护个人信息”的教程帖，教人怎么设置复杂密码、怎么关闭免密支付、怎么查名下有没有被注册企业。这些帖子写得很好，很实用，但每次看到都让我觉得荒诞——用户已经够小心了，该做的不该做的都做了，可数据还是像自来水一样往外漏。问题从来不在用户端，在系统端。

12306承载着每年数十亿人次的出行需求，它早就不只是一个购票软件，而是国家基础设施的一部分。基础设施的安全，不能靠用户自觉，更不能靠事后声明。我理解铁路系统复杂，历史包袱重，改造难度大。但理解归理解，该担的责任躲不掉。你让几亿人把身家性命托付给你，你就得拿出配得上这份信任的技术投入。

说句难听的，这次泄露的只是信息，下次呢？如果攻击者篡改车票数据、瘫痪售票系统，整个春运都得停摆。到那时候，再发声明就晚了。

我不会因为这次事件就卸载12306，毕竟没得选。但我会继续用，同时做好最坏的打算——定期查征信，重要账号全开二次验证，能不用手机号绑定的就不用。听起来很怂是吧？可这就是普通人在这个系统里的生存方式。你改变不了它，就只能适应它，顺便祈祷自己别成为下一批被卖出去的数据之一。