用户数据泄露事件

凌晨两点，用户手机屏幕在床头柜上亮了。数据事件一条短信，泄露来自某电商平台：“检测到您的用户账户存在异常登录，请立即验证。数据事件”我翻了个身，泄露没理。用户第二天早上打开邮箱，数据事件发现一封凌晨三点发来的泄露通知邮件，说我的用户姓名、手机号、数据事件收货地址和近半年的泄露订单记录，被挂在一个境外论坛上叫卖。用户价格标的数据事件是0.5个比特币，打包出售，泄露还附了“样本截图”。截图里，我去年买过的一箱纸巾和两双拖鞋，清清楚楚。

这不是什么大厂出事。是一家做垂直电商的小公司，用户量不到两百万。但泄露的字段很全。技术圈的朋友帮我看了下，说是数据库没做字段级加密，连用户设置的密码提示问题都明文存着。我问他，这种低级错误怎么还会发生。他回了句：“很多小公司连专职安全都没有，开发兼运维，上线就跑，谁管这个。”

我后来混进那个论坛看了一眼。数据被分成了好几个压缩包，按地区、按消费能力打标签。有人留言问“有没有带身份证的”，卖家回“加钱，另有一套”。整个交易流程跟淘宝买东西差不多，甚至还有“售后”：如果数据不能用，可以换。我盯着屏幕看了半天，感觉像在逛菜市场，只不过卖的是一堆人的真实生活。

更让我不舒服的是，事情过去一周，那家平台只在官网挂了个不到三百字的公告。没提具体泄露了多少人，没提赔偿方案，连“深表歉意”四个字都显得敷衍。客服电话打过去，排队四十分钟，接通后对方说“建议您修改密码”。我问改密码有用吗？我的姓名和地址又改不了。对方沉默了几秒，说“那您注意防范诈骗”。

我查了下公开记录。这家公司去年就因为违规收集个人信息被罚过五万块。五万，对一个能花几十万投广告的公司来说，连肉疼都算不上。违法成本低到这种程度，难怪有人敢把用户数据当草稿纸一样乱扔。

有个做安全的朋友跟我讲过，大部分数据泄露不是被黑客攻破的，是内部人自己导出去的。权限管理混乱，离职员工账号没注销，数据库账号密码写在代码注释里。他见过最离谱的，是把生产库的账号密码贴在办公室白板上，旁边还写着“别删”。我问他，那你们做安全咨询的怎么赚钱。他笑了：“帮他们擦屁股，擦完再教他们别把屁股露出来。”

这事之后，我把所有小平台的账号都注销了。但我知道这没用。我的数据早就散出去了，在不知道多少个数据库里躺着。我能做的，只是下次收到诈骗电话时，准确说出对方掌握我的哪些信息，然后听他们愣一下，挂断。

有个细节我一直记得。泄露事件曝光后，那家平台的用户群里有人问：“我们的数据值多少钱？”卖家标价0.5个比特币，按当时汇率大概两万块。两百万人的信息，两万块。平均下来，一个人一分钱。群里没人说话。过了很久，有人发了句：“原来我这么便宜。”