2022年6月，信息泄露一个叫“学习通”的案例App登上了微博热搜第一。不是信息泄露因为它好用，而是案例因为一整个数据库被拖走了。1.7亿条学生信息，信息泄露包括姓名、案例学号、信息泄露手机号、案例密码，信息泄露甚至答题记录，案例被人打包挂在了暗网上叫卖。信息泄露我有个朋友在那几天疯狂改密码，案例改完骂了一句：“我连自己选课都忘了，信息泄露黑客倒是案例比我记得清楚。”

这事不是信息泄露孤例。同年4月，某大型物流公司的内鬼被揪了出来——一个干了五年的仓库管理员，把客户面单数据以每条3毛钱的价格往外卖。警察查账的时候发现，他前后卖了将近40万条。40万条，意味着40万个家庭的住址、电话、买了什么东西，全被摊开在某个诈骗团伙的Excel表格里。讽刺的是，他本人月薪4800，卖数据的钱也没让他暴富，全充进了网络赌博的窟窿。

更魔幻的还在后面。8月，某地警方破获一起案子，犯罪团伙专门盯着“宝妈”群体下手。他们从母婴论坛爬数据，再结合快递信息，精准推算出哪些家庭刚生了孩子。然后打电话推销“婴儿保险”，话术之精准，连孩子出生几斤几两都说得出来。受害的宝妈们吓坏了，以为医院泄露了病历，查来查去，源头居然是一份被转手五次的“母婴用户画像”。

这些案例看着分散，但背后有个共同的逻辑——数据泄露早就不是黑客炫技，而是变成了一条流水线产业。上游有人专门攻破网站，中游有人负责清洗数据（把没用的删掉、按年龄性别分类），下游直接对接搞诈骗、搞推销、搞洗钱的人。2022年，国家网信办通报了200多起App违法违规收集个人信息，但实际发生的泄露事件，可能十倍不止。因为很多公司被黑了不敢报，怕股价跌，怕用户跑，怕上面追责。

我认识一个做安全运维的哥们儿，他说过一句话让我印象很深：“你们以为数据泄露是黑客技术高，其实大部分时候，是企业的门没锁。”他经手过一家小电商公司，数据库密码直接写在代码注释里，连个加密都没有。黑客进去就像逛超市，拿完东西还顺手把货架推倒了。2022年，国内某知名酒店集团被罚了5亿韩元——别误会，那是它在韩国分部因为泄露客户护照信息被罚的。国内呢？很多时候罚个几十万就完事了，跟卖数据的收益比起来，连九牛一毛都算不上。

说到底，技术手段再升级，也防不住人心和懒散。你装了防火墙，架了入侵检测，可员工照样把U盘插在工位电脑上拷资料。2022年还有个案例，某银行外包保洁员捡到一张没粉碎的纸质报表，拍下来卖给了“征信修复”中介。你看，最原始的方式，照样能撬动最值钱的数据。

写到这里，我看了眼自己手机里那些App的权限设置——通讯录、定位、相册，全都明晃晃地开着。去年我下载一个手电筒App，它居然要读我的短信。我点了拒绝，它直接闪退。后来我才知道，这种App就是靠收集用户短信里的验证码，去注册各种平台账号薅羊毛。2022年全年，光这种“超范围采集”的App，工信部就下架了200多款。

数据这东西，看不见摸不着，但它比钱包里的现金更值钱。现金丢了还能挂失，信息泄露了，你连“挂失”的办法都没有——只能眼睁睁看着自己的名字、号码、住址，在某个暗网角落里被标价、被转手、被利用。2022年过去了，但那些被卖掉的1.7亿条数据，还活在黑市的某个硬盘里，等着被唤醒。