2021年6月，个人一个叫"数据交易市场"的信息泄露Telegram频道突然涌进大量中国公民信息。姓名、事件身份证号、个人手机号、信息泄露家庭住址，事件甚至精确到门牌号。个人打包出售，信息泄露十万条起卖，事件价格按"新鲜度"浮动。个人有人在评论区问："能指定省份吗？信息泄露"卖家秒回："江浙沪加价30%。"

这不是事件暗网里的零星叫卖。那一年，个人从快递到银行，信息泄露从社交平台到政务系统，事件泄露像决堤一样四处冒水。最让我后背发凉的是某省"健康码"数据被挂出售卖那件事。疫情期间我们每天扫码，以为只是验证健康状态，结果后台存了比想象中多得多的东西——行程轨迹、核酸记录、疫苗接种信息，全在一个Excel表格里。卖家截图里甚至能看到某位老人的慢性病史备注。

我试着回忆自己2021年收到过多少诈骗电话。三月一个，对方准确报出我大学宿舍地址，说"你有个快递被海关扣了"。七月又一个，知道我上个月刚办了某银行的信用卡，连额度都说得一字不差。以前骗子靠猜，那年他们靠数据库。区别在于，猜错了我可以骂回去，数据对了，我连骂的底气都没有——他们知道的比我妈还多。

企业那边的反应挺有意思。某快递公司泄露事件曝光后，公关稿写得天花乱坠，什么"已报警""将追责""升级系统"。可我去翻他们官网的隐私政策，发现最后更新日期停在2019年。里面写着"采用行业标准加密技术"，但没提数据保留多久，也没说谁有权限访问。后来有安全圈的朋友告诉我，那家公司内部查询客户信息的权限给到了片区经理级别，一个离职员工就能导走几十万条。加密？加密的是传输过程，数据库本身像没锁门的仓库。

监管不是没动。2021年11月《个人信息保护法》正式施行，罚款上限提到五千万或上一年度营业额5%。可执行起来像用渔网捞沙。某招聘平台泄露了求职者简历，被约谈，罚了款，然后呢？简历还在黑产群里流转，价格从五毛一条跌到两毛。违法成本对企业是九牛一毛，对个人却是实打实的骚扰电话和精准诈骗。

我自己从那年开始养成了几个习惯。注册任何新服务都用专门的邮箱和手机号，不同平台不同密码——虽然记起来麻烦，但总比一个被撞库全完蛋强。快递地址不写具体门牌，放驿站。有次客服问我为什么不填详细地址，我说"你们数据库比我小区保安室还热闹"。对方愣了两秒，没接话。

最荒诞的是年底看到一条新闻：某地警方破获个人信息贩卖案，查获数据里包含该市几乎所有新生儿家庭的完整信息。办案民警接受采访时说"嫌疑人利用职务便利"。又是职务便利。这四个字在2021年的泄露事件里出现频率高得离谱。系统没问题，是人有问题。可系统连谁在什么时候查了哪条数据都记不全，又怎么防人？

现在回头看，2021年像一道分水岭。之前大家觉得泄露是"运气不好"，之后慢慢明白这是"迟早的事"。区别只在于你的数据在哪个库里，以及那个库什么时候被拖。我写这些不是要制造恐慌，只是觉得该有人把当时那些碎片记下来。毕竟我们的信息还在某个服务器里躺着，而那个服务器，可能正连着下一个买家的屏幕。