凌晨三点，网站手机屏幕突然亮了。信息泄露一条短信弹出来：“您正在注册某婚恋网站，网站验证码是信息泄露……”我没操作过。翻了个身继续睡，网站第二天早上又收到三条，信息泄露来自不同平台。网站这事不对劲了。信息泄露

后来我才知道，网站自己的信息泄露手机号、邮箱、网站甚至一个早已废弃的信息泄露旧密码，被挂在一个论坛上打包出售。网站卖家标价不高，信息泄露二十块钱，网站买一送一。那个帖子下面还有人留言：“数据新鲜吗？”“有没有带身份证号的？”

网站信息泄露这件事，早就不算新闻了。但真正让人后背发凉的是——你根本不知道自己的信息是从哪个环节漏出去的。注册过的小众论坛、买过东西的网店、甚至只是随手填过一次问卷的页面，都可能成为泄露源头。去年有个做安全的朋友给我演示，他输入我的常用邮箱，几秒钟就查到了三个泄露事件记录。其中一个来自某电商平台2016年的数据库，另一个是某社交网站2019年的漏洞，还有一个连来源都查不到，只知道密码是我大学时用的那个。

最麻烦的不是泄露本身，而是后续的连锁反应。我有个同事，某天收到一封邮件，里面直接写着他家孩子的名字和学校。对方说：“你孩子挺可爱的，我们拍了几张照片，想看的话付点钱。”他当时就懵了。后来查出来，是孩子学校用的一个家校沟通App出了问题，家长信息全被拖走了。那App界面粗糙，登录连验证码都没有，但学校要求必须用。

很多网站对用户数据的态度，就像房东把钥匙藏在门口地毯下面——方便自己，也方便了别人。数据库不加密、后台弱密码、接口不做鉴权，这些低级问题一抓一大把。有个做渗透测试的哥们跟我说，他扫过一批中小型网站，三成以上存在明显的注入漏洞。“不是技术多高明，是根本没人管。”他说这话时语气很平，像在说今天天气不错。

普通用户能做什么？说实话，很有限。你不可能每注册一个网站就用一个独立密码，也记不住。但有几件事值得做：重要账号单独设密码，别用手机号当用户名，收到验证码短信先看清楚是什么平台发来的。还有，定期去“Have I Been Pwned”这类网站查一下自己的邮箱有没有出现在已知泄露库里。我查过，结果不太好看——七个泄露事件，横跨十年。

平台的责任更大。收集用户信息时理直气壮，保护起来却敷衍了事。有些网站连HTTPS都没上全，登录页面还是http开头。你输入密码的时候，数据在网络上裸奔。更别提那些把用户数据当资产随意共享、倒卖的，内部人员泄露的比例远比外界想象的高。2021年某快递公司内部员工贩卖运单信息，四十万条，一条一块钱。判了，但信息已经流出去了，追不回来。

法律在收紧。《个人信息保护法》实施后，罚款力度上来了。可执行层面还是难。小网站跑路快，服务器在境外，取证成本高。大平台相对规范，但架不住体量大，一出事就是千万级。去年某招聘网站泄露三亿条简历，最后也就是约谈、整改、罚款。用户呢？简历上的薪资、住址、工作经历，全成了公开的秘密。

我现在养成一个习惯：注册任何新服务前，先看它有没有隐私政策，虽然大概率写得含糊。但至少能看出这家网站有没有基本的安全意识。如果连隐私政策都懒得写，或者直接抄一份，那还是别用了。信息给出去容易，收回来不可能。

凌晨那条短信之后，我把那个手机号从大部分平台解绑了。但我知道，已经泄露的那些，永远在某个数据库里躺着。哪天被人翻出来，又是一轮骚扰。这事没有一劳永逸的解法，只能少留一点痕迹，多留个心眼。