收集表渗透

收集表渗透，收集说白了就是表渗利用别人填表的习惯，反手把数据捞走。收集这事儿我亲眼见过一次，表渗在某个创业公司的收集开放日上。

那天一个技术小哥演示，表渗他往公司群里丢了个腾讯文档链接，收集标题写着“下午茶口味投票——奶茶还是表渗咖啡”。群里三十多个人，收集哗啦啦全点了。表渗等大家选完，收集他打开后台，表渗表格里除了投票选项，收集还悄悄多了一列：填表人的表渗手机型号、操作系统版本、收集甚至精确到几点几分填的。更狠的是，他把链接分享给外部合作方时，后台能看到对方公司的IP段和地理位置。

没人注意那个链接的二维码底下，藏着一行小字——“本问卷将收集设备信息用于优化体验”。谁看啊？大家只关心自己选的芋泥波波有没有人拼单。

这类渗透的核心不在技术多高深，而在“信任惯性”。你每天在微信里点开十几个链接：物业通知、幼儿园接龙、同事婚礼请帖、健身房预约。每个都长得差不多，每个都要求你填点东西。填表这个动作本身，已经被磨成了肌肉记忆。攻击者要做的只是模仿那个“正常的样子”——一个好看的模板、几个无关痛痒的问题、一个确认按钮。剩下的，全靠平台接口的默认权限来送。

有个朋友在房产中介干过，他说公司内部系统有个“客户意向登记表”，业务员填完客户电话、预算、看房区域，系统会偷偷记录业务员的登录设备指纹和GPS轨迹。经理后来用这数据抓了几个带客户去竞品楼盘“私单”的员工。你看，连公司自己都在玩这套。

更麻烦的是，收集表不只是网页表单。现在很多问卷工具自带“追踪埋点”，你填到第三题停了两秒、删掉重打了什么字、滚动速度是快是慢，这些行为数据全被记下来。填表人以为自己在回答问题，其实在给算法当行为样本。去年有个做用户调研的平台被爆出，把填表者的输入内容（包括没点提交的草稿）打包卖给数据贩子。那些以为“不点发送就没事”的人，草稿箱早被人扒干净了。

防御的办法倒是有，但说穿了挺讽刺：别用手机直接点链接，先复制到电脑浏览器，关掉JS再打开；或者干脆填假信息——反正大部分收集表要的“姓名电话”也不是真为了联系你。但现实是，你同事发你一个“周末聚餐统计”的表，你会专门开无痕模式去填吗？大概率不会。

所以这玩意儿根本防不住，只能靠平台自觉。可平台靠什么赚钱？靠数据。让平台自己绑住自己，跟让猫看守鱼缸差不多。我唯一能给的实在建议是：下次填表前，多花五秒看看那个链接域名是不是官方后缀，以及——如果这表是陌生人发的，就算内容再有趣，也别手贱。