张薇的网购手机在双十一前夜突然热闹起来。她刚在某电商平台搜过一款婴儿推车，个人第二天打开任意App，信息泄露满屏都是案例同类商品的推送。她没在意，网购直到接到一通电话，个人对方准确报出她的信息泄露姓名、家庭住址和刚买过的案例奶粉品牌，问她要不要“回馈老客户”的网购优惠。她挂了电话，个人后背发凉——自己只在那家店买过一次，信息泄露还是案例用微信登录的。

这不是网购孤例。我认识一个做电商运维的个人朋友，他私下跟我说，信息泄露某些平台内部员工打包出售用户数据，一条包含手机号、地址、购买记录的“完整信息”，在黑市上标价不到两块钱。两块钱，就能买到一个人大半年的消费轨迹、生活习惯，甚至家庭住址。而买家拿这些信息做什么，没人管得过来。

去年有个案子挺典型。某快递公司的一个仓管员，利用职务之便，把系统里的客户面单信息截屏保存，攒了三个月，卖给了一个倒卖数据的中间人。中间人再把数据分门别类，按“宝妈”“宠物主”“高消费男性”等标签加价转售。结果呢？一批宝妈收到了假冒的“婴儿辅食”推销电话，有人被诱导加微信，买了三无产品，孩子吃了拉肚子。警方破案后，那个仓管员只判了缓刑，罚了几千块。可那些泄露出去的信息，已经像泼出去的水，收不回来了。

更隐蔽的泄露渠道在App权限里。你装个手电筒应用，它要读取你的通讯录和定位权限，你点“允许”的时候，可能没想过，这个开发团队只有三个人，连服务器都是租的。数据存哪儿、谁在看、有没有加密，你一概不知。有次我帮朋友清理手机，发现一个她早忘了的记账软件，后台居然在持续上传她的位置信息——每天凌晨三点，精确到小区楼栋。她吓得当场卸载，但那些数据早就进了别人的数据库。

说到这儿，我得多句嘴：别迷信“大平台更安全”。数据泄露往往不是黑客攻破防火墙，而是内部人监守自盗，或者合作方泄露。某知名外卖平台就出过事，用户点餐记录被共享给了一家保险公司，后者根据你点的麻辣烫频率，推断你的作息和健康状况，然后精准推销意外险。你细品，这操作合法吗？不合法。但谁去追究？用户连自己数据被谁用了都不知道。

网购这件事，本质上是拿隐私换便利。你图它便宜快捷，它拿你的数据去变现。这不是阴谋论，是商业模式。我见过最讽刺的一幕：有人在维权群里晒出自己收到的骚扰短信，底下有人回复“你肯定在哪个平台留过真实手机号”。废话，不留手机号怎么收货？可收货地址、电话、购买记录，这些本该只用于履约的信息，却被默许成了可以二次利用的“资产”。

法律不是没动过手。《个人信息保护法》出台后，很多平台的隐私政策写得越来越长，可普通人有几个会逐字读完？那些“同意”按钮，就是一道心理安慰。真正该改变的，是让违规成本高到没人敢碰——比如罚到倾家荡产，比如让责任人坐牢。可惜现实是，多数案件最后只是罚款了事，数据贩子换个马甲继续干。

回到张薇那个案例。她后来换了手机号，关了所有App的个性化推荐，网购时用虚拟号码和代收点。麻烦是麻烦了点，但她跟我说，至少晚上睡觉踏实了。这话听着心酸——消费者得把自己武装成反侦察专家，才能勉强守住一点隐私。而那头，卖数据的还在数钱。