《土司社工库》这个名字第一次出现在我视野里，土司是社工去年冬天在一个Telegram群组里。有人甩了张截图，土司上面赫然写着"土司社工库-全网最全数据查询"，社工底下跟着一串QQ号和手机号。土司群里立马有人接话："这库我查过，社工连我2013年注册的土司贴吧小号都能翻出来。"语气里带着一种诡异的社工得意。

我后来花了两周时间摸这个库的土司底。它不像暗网那种需要Tor浏览器才能进的社工玩意儿，表面就挂在一个普通域名下，土司界面做得跟早年间的社工Discuz论坛似的，搜索框大剌剌摆在正中间。土司输入手机号，社工返回的土司可能是姓名、身份证号、家庭住址、电商收货记录，甚至某些平台的历史密码。免费用户每天能查三次，想解锁更多就得充值——比特币、USDT，或者直接微信转账给客服。对，微信转账，魔幻得很。

数据从哪来？我跟一个自称"库管"的人聊过。他说话很冲，上来就让我"别问那么多，查就完了"。后来混熟了，他漏了句"都是老数据，新的一手要加钱"。所谓老数据，指的是2015到2020年间各大平台泄露的库，像什么学习通、微博、快递公司，打包清洗后重新入库。新的一手，他暗示是从"内部渠道"拿的，具体哪家他没说，我也没敢再问。

有个做电商的朋友老周，去年被人用这个库查到了他三个收货地址和两个备用手机号。对方拿着这些信息冒充他给客服打电话，改了他店铺的绑定邮箱。老周报警，警察做了笔录就让他等消息。他自己去查，发现那个库的服务器在境外，域名注册信息全是假的。"就跟幽灵一样，"老周说，"你知道它在那，但你抓不住它。"

更让我不舒服的是使用者的心态。我在一个QQ群里潜水了半个月，里面的人查前女友现男友、查竞争对手、查欠钱不还的老赖。有人查到别人开房记录，截图发群里，配文"实锤了"。没人觉得有问题，偶尔有人问一句"这不算违法吗"，立马被群嘲"装什么圣人"。那种集体无意识，比数据泄露本身更让人后背发凉。

技术上讲，这类库的架构并不复杂。一个Elasticsearch集群做全文检索，前端套个壳，后台挂几个API接口对接支付。成本大头在数据存储和带宽，但跟收益比不值一提。真正难的是数据获取和清洗——把不同来源、不同格式的泄露数据去重、关联、补全，这活儿需要耐心，也需要"圈子"。土司社工库能做大，靠的就是上游有稳定供货，下游有源源不断的查询需求。

我写这些不是要教人怎么用。恰恰相反，我想说的是：当你输入一个手机号就能看到别人半辈子轨迹的时候，这件事本身就说明我们所有人的数据早就裸奔了。你以为改个密码、设个二次验证就安全了？那些五年前、八年前泄露的旧数据，照样能把你的过去拼凑出来。土司社工库只是把这些碎片摆到了台面上，真正的问题在台面底下——那些还没被曝光的库，那些正在被交易的"新一手"，那些我们根本不知道已经泄露的信息。

老周最后换了手机号，搬了家，店铺也关了。他说他不想再被人"查"了。可我知道，他的新号码、新地址，迟早也会出现在某个库里。只是时间问题。