2023年“双十一”前夕，网购北京白领李婷接到一通电话，消费息泄对方准确报出她上个月在某电商平台购买的人信护肤品品牌、价格和收货地址，原因声称“产品质量问题要退款”。网购她信了，消费息泄银行卡里两万多元瞬间被转走。人信报警后警方告诉她，原因她的网购订单信息是从快递单号数据库里被“拖库”出来的——那家快递公司的服务器，早在半年前就被黑客攻破了。消费息泄

这不是人信孤例。每年“618”“双十一”之后，原因总有大量消费者接到精准诈骗电话，网购对方连你买了几包抽纸都一清二楚。消费息泄个人信息到底怎么溜出去的人信？我查了不少案例，发现漏洞比想象中粗得多。

电商平台自身是第一个漏点。很多中小商家用的第三方订单管理系统，安全防护形同虚设。有安全公司测试过，市面上超过六成这类系统存在“越权访问”漏洞——只要改一下订单编号，就能看到别人的姓名、电话、住址。更离谱的是，有些系统后台的登录密码就写在网页源代码里，等于把保险柜钥匙挂在门口。商家为了省事，常常把用户数据明文存在服务器上，连最基本的加密都没有。

快递环节是第二个重灾区。你收到的每个包裹，面单上印着姓名、电话、地址，这些信息在快递员、驿站、分拣中心之间转手五六次。有快递员私下把面单拍照卖给“数据贩子”，一张能卖三到五块钱。更隐蔽的是，一些快递公司内部系统接口被“爬虫”程序盯上，黑客利用漏洞批量抓取实时物流信息，一天能“偷”几十万条。2022年某快递公司被曝出超过三亿条用户数据泄露，源头就是其App的一个接口没做权限校验。

还有个容易被忽略的渠道——你主动“交出去”的。注册App时那些密密麻麻的用户协议，里面写着“可能向关联公司或合作伙伴共享您的信息”，大部分人看都不看就点同意。你参加“扫码领优惠券”活动时填的手机号，可能被商家转卖给营销公司。我有个做运营的朋友直言，他们公司每年花几万块买“精准用户名单”，来源就是这些“自愿”填写的表单。

技术漏洞背后是利益链条。一条完整的个人信息，从源头到诈骗团伙手中，中间经过“黑客—中间商—洗料人—诈骗分子”至少四层转手。黑客负责“拖库”或“撞库”，把数据打包卖给中间商；中间商按“新鲜度”定价，昨天刚泄露的“一手料”能卖到每条几十元，放久了就跌到几毛钱；洗料人把数据里的电话、地址、购买记录分类整理，“精准标注”后卖给诈骗团伙。整条链上，没人觉得自己是“主犯”——黑客说我只是技术活，中间商说我只是倒卖信息，诈骗分子说我只是用了别人给的数据。

最讽刺的是，消费者维权成本高得吓人。李婷那案子，警方查了三个月，抓到的“洗料人”手里有上千万条数据，但无法证明这些数据具体从哪里流出——快递公司说系统没问题，电商平台说订单信息已脱敏处理，最后只能以“侵犯公民个人信息罪”起诉那个洗料人，赔偿金额还不够李婷损失的一个零头。平台和商家呢？最多发个声明“已修复漏洞，对用户造成的不便深表歉意”，然后继续运营。

说白了，网购信息泄露不是某个环节的偶然失误，而是整个链条上每个角色都在“理性”地追求自身利益，却没人真正为数据安全买单。平台想着降本增效，商家想着省事方便，快递想着提高效率，监管呢？等出了大事才来罚一笔。至于消费者，除了每次收到诈骗电话后骂一句“又泄露了”，还能怎样？换个手机号？可下一个订单，信息照样在链条上裸奔。