2022年1月，数据一个叫“AgainstTheWest”的泄露黑客组织在暗网上挂出了一份帖子，声称他们攻破了中国某省级政务云平台，案例拿到了超过800万条公民个人信息。最新姓名、数据身份证号、泄露手机号、案例家庭住址，最新甚至部分人的数据社保缴纳记录，全在泄露文件包里。泄露这不是案例电影桥段，是最新真实发生在去年年初的事。当时我翻看了部分被公开的数据样本截图，数据字段排列得整整齐齐，泄露像刚从数据库里导出来一样——这种“干净”的案例泄露，比乱糟糟的抓取更让人后背发凉。

政务系统被盯上，2022年不是头一遭，但频率明显高了。6月，某市医保局对外确认，其移动端App存在接口未授权访问漏洞，攻击者可以绕过登录直接查询参保人就医记录。漏洞存在了将近四个月才被修补。我试着在漏洞披露平台上搜了搜相关关键词，发现同类问题在多个地方医保小程序里反复出现。开发团队赶工期、外包转包、测试环境直接上线，这些老毛病一个没改。数据裸奔，不是技术不行，是流程在偷懒。

企业这边也没好到哪去。7月，一家做跨境电商的上市公司发公告说，内部员工账号被盗，导致约12万条订单信息外泄，包括收件人姓名、电话和详细地址。公告写得很克制，说“未涉及支付信息”。可你想想，姓名加电话加地址，足够骗子精准报出你最近买了什么、花了多少钱。我认识一个做反欺诈的朋友，他说那段时间黑市上这批数据被反复倒卖，打包价低到离谱——因为量太大，骗子都挑着用。

更离谱的是11月，某头部快递公司被曝出“内鬼”批量导出面单信息。一个区域分拣中心的员工，用自己工号登录系统，每天凌晨两点到四点之间导出数据，持续了将近半年。手法不复杂，就是钻了权限管理的空子。公司后来发声明说已报警，但泄露出去的数据早就散到各种“料商”手里了。我查了查裁判文书网，类似“内鬼”泄露快递数据的案子，2022年判了好几个，刑期大多在一年到三年之间。犯罪成本低，收益高，难怪有人铤而走险。

医疗行业也栽了跟头。9月，某知名三甲医院的互联网医院系统被曝存在SQL注入漏洞，攻击者可以拖走医生排班、患者问诊记录，甚至部分检查报告。医院信息科的人后来在内部会议上承认，系统上线时没做代码审计，直接用了开源框架的默认配置。这事没上热搜，但在医疗信息化圈子里传得很开。一个做等保测评的工程师跟我说，他2022年经手的医院系统里，超过六成存在中高危漏洞。“修修补补又一年”，他原话。

这些案例摆在一起，能看出点门道。泄露的源头，要么是接口没鉴权，要么是权限没管住，要么是开发图省事。攻击者不需要多高明的手段，扫一遍常见漏洞，总能找到没关的门。2022年数据泄露的规模在涨，但手法没怎么翻新。真正该问的是：为什么同样的错误，换了个单位名字，就能再犯一遍？

我翻过去年一些泄露事件的后续通报，发现大部分处理结果就是“责令整改”“罚款几万”。对一家年营收几十亿的公司来说，这点钱连个水花都算不上。数据泄露的成本，最后全摊到了每个接到骚扰电话的普通人头上。你没法选择不用快递、不看病、不办事，但你的信息就在这些系统里来回倒手。2022年过去了，2023年呢？