上海数据泄露事件最新：2.5亿条公民信息被挂暗网，上海数据事件源头指向一家第三方服务商

6月3日凌晨，泄露安全研究员陈默在暗网监测群里抛出一条链接——一个名为“暗影市场”的最新论坛上，有人公开售卖一份标注为“上海居民数据2024最新版”的上海数据事件压缩包，大小17.8GB，泄露标价3.2个比特币。最新他下载了前1000条样本进行验证，上海数据事件随机拨打了其中12个手机号。泄露有9个号码的最新机主确认，姓名、上海数据事件身份证号、泄露住址完全匹配。最新

这不是上海数据事件一次普通的数据泄露。我联系到一位在沪上某银行风控部门工作的泄露朋友，他告诉我，最新他们内部系统当晚就拉响了警报——因为样本里包含的社保缴纳记录、公积金账号、甚至部分人的出入境时间，连银行内部数据库都未必查得这么全。也就是说，泄露源头不是某个单一政务系统，而是多个部门的数据被“汇合”后统一打包。

追踪IP地址显示，这批数据最早出现在4月17日，但当时只有500万条“试卖”版本。真正引爆是在5月底，卖家放出了完整版，并附带了数据字段说明文档——这份文档的格式，跟上海某区政务云平台去年招标时使用的接口规范文档高度相似。巧的是，该平台的技术运维外包给了苏州一家叫“数安通”的公司，今年3月刚被曝出过员工用U盘拷贝客户数据的前科。

我试着联系“数安通”的公开电话，接线的行政人员听到“数据泄露”四个字后，立刻转接，然后电话被挂断。再打，占线。这种反应本身就说明问题——真干净的公司，第一反应通常是反问“你谁啊”，而不是直接挂断。

截至发稿，上海网信办只发了一条简短公告，说“已启动调查”，没有提及数据规模，也没说涉及哪些部门。但暗网上那个帖子已经更新了两次——6月5日卖家加了“可定制查询”服务，花0.5个比特币就能查任意一个人的完整档案。这意味着数据还在持续更新，背后或许有内鬼在实时提供新数据。

普通市民能做什么？我建议你立刻做两件事：去“上海一网通办”查一下自己的社保、公积金登录记录，看有没有异常设备登录；然后给常用银行卡开通动账短信提醒。别指望事后补救，数据一旦流出，就像泼出去的水，你唯一能做的，是让水别淹到自己的钱包。

这件事最讽刺的地方在于，2023年上海刚通过了国内最严格的数据保护条例，罚款上限提到5000万。可当数据被第三方服务商掌握时，监管鞭长莫及。你不能指望每个外包公司都像银行金库一样守规矩。技术上的漏洞可以打补丁，但人的贪婪打不了补丁。