privacy数据泄露在线网站

去年秋天，一个做安全研究的露线朋友丢给我一个链接。域名长得像随机字符拼出来的网站，页面极简，据泄只有一个搜索框，露线下面一行小字：“输入邮箱、网站用户名或手机号，据泄查查你在不在泄露库里。露线”我随手敲了自己的网站一个旧邮箱。三秒后，据泄页面弹出一串结果：2019年某电商泄露、露线2021年某论坛数据库、网站2023年某快递信息。据泄密码字段里赫然躺着我八年前用过的露线“qwerty123”。

这类网站，网站圈内人叫“泄露查询站”。它们不生产数据，只是数据的搬运工。背后是几十亿条从暗网、黑客论坛、 Telegram 群组里扒来的结构化记录，被整理成可搜索的格式。有些站点甚至贴心地标出每条记录的来源、泄露时间、包含哪些字段。你搜一次，就等于把自己的查询行为也交了出去——讽刺吧？查隐私的网站，本身就在收集你的查询记录。

我盯着那个密码愣了几秒。那是我大学时注册论坛用的，后来所有重要账号都换了密码管理器生成的长串随机字符。但很多人没换。就在上个月，一个做自媒体的朋友收到勒索邮件，对方准确报出了他十年前注册的某个小网站的用户名和密码，威胁要把他的“浏览记录”发给通讯录好友。他吓得差点转账。其实那网站早关了，数据库里只有他的注册邮箱和哈希过的密码——但勒索者赌的就是他记不清。

这些在线查询站怎么活下来的？一部分靠广告，页面两侧挂满 VPN 和“隐私保护工具”的横幅，点击率不低。另一部分，你猜也猜得到——把查询者的 IP、搜索关键词打包卖给数据 broker。我试过用临时邮箱查一个不存在的地址，第二天那个临时邮箱就收到了三封“您的账户存在异常”的钓鱼邮件。巧合？我不信。

更魔幻的是，有些站点开始搞“订阅制”。每月付 9.9 美元，就能查看完整密码、身份证号、家庭住址。付了钱的人以为自己在“保护隐私”，实际上是在为二次泄露买单。支付信息本身又成了新的泄露源。一个做支付风控的读者告诉我，他们监测到某查询站的收款账户关联了至少五个已知的泄露数据库，等于你花钱买自己的数据，顺便把信用卡信息也送了进去。

“我查到自己 2014 年的贴吧密码还是明文，那会儿贴吧还没强制加密。”——某位不愿透露姓名的运维工程师

那普通人能做什么？别用这些站。真的。你想知道自己有没有被泄露，去 haveibeenpwned.com，至少它由安全研究员 Troy Hunt 维护，查询走的是 k-anonymity 模型，你的完整密码不会离开浏览器。或者直接换密码管理器，给每个账号生成独立密码。至于那些花里胡哨的“privacy数据泄露在线网站”，它们的存在本身就是隐私经济里最黑色幽默的一环——你以为是来查泄露的，结果自己成了泄露的一部分。

我后来把那个旧邮箱彻底注销了。但我知道，它的记录还在某个查询站的数据库里躺着，等着下一个人搜出来。互联网没有删除键，只有不断被复制粘贴的碎片。