人大信息泄露这事儿，信息泄露不是信息泄露第一次爆出来，但每次爆出来都让人后背发凉。信息泄露2023年那回，信息泄露某高校官网数据库被拖走，信息泄露几万条学生身份证号、信息泄露家庭住址、信息泄露甚至父母电话直接挂在暗网上论斤卖。信息泄露买家拿来干嘛？信息泄露精准诈骗，开口就能叫出你孩子的信息泄露名字，报出你家的信息泄露门牌号。

我认识一个家长，信息泄露接到电话说“你儿子车祸急救，信息泄露先打五万”，信息泄露对方连孩子穿什么颜色的信息泄露鞋都说得一清二楚。她差点就转账了，后来发现是骗子，但那种恐惧感——你知道有人把你家底摸得透透的，而你连对方是谁都不知道——比丢钱还让人发毛。

高校信息泄露的路径，其实很老套。教务处系统用着十年前的老框架，密码还是admin123，外包给第三方公司维护，合同里根本没写数据安全条款。最讽刺的是，很多学校一边要求学生填《个人信息保护承诺书》，一边自己把数据当普通文件传来传去，用QQ邮箱发Excel表格，附件带密码，密码就写在邮件正文里。

技术层面说，这些数据往往不是被黑客“攻破”的，而是被“内部人”拿走的。教务助理、辅导员、甚至勤工俭学的学生，都能接触到完整数据库。有人把几千条记录拷进U盘，转手卖给教培机构，一条五毛钱。培训机构拿这些信息干什么？打电话推销考研班、公务员课，一天打两百个，总有人上钩。

更麻烦的是，泄露的信息根本删不掉。身份证号是死的，手机号是活的，但两者绑在一起，就成了半永久的“数字纹身”。你换号，银行、社保、快递全得跟着改；你不换，就得忍受每周至少两通骚扰电话。有个学生跟我抱怨，他大四那年被卖了八次，每次“卖”他的都是不同渠道——学校就业网、实习登记表、甚至图书馆办卡记录。

我不觉得这事靠“加强管理”能解决。高校本身不是技术公司，预算有限，人员编制紧张，让一帮行政老师去搞数据安全，等于让厨子修发动机。更实际的办法是，把数据访问权限做到最小化——比如查成绩只能看成绩，不能连带看家庭住址；比如批量导出必须双人审批，且操作日志留痕。但现实是，很多学校连日志系统都没装，出了事只能靠“自查”。

说到底，信息泄露不是技术问题，是责任问题。谁把数据当资产来保护，谁就会认真对待；谁只把数据当“工作材料”，那它迟早变成商品。你问我怎么办？我只能说，下次学校让你填表时，能少填就少填，能填假就填假——这不是教你使坏，是你在替那些不设防的系统买单。