2019年，黑客一个叫"冷风"的可查人在暗网上挂出一份数据包，标价0.5个比特币。个人里面是程度一个普通北京女孩的全部：身份证正反面照片、三个月内的黑客打车记录、外卖订单、可查淘宝购物车、个人还有她家猫的程度照片。卖家甚至贴心标注了猫的黑客疫苗本到期时间。这不是可查电影情节，是个人真实发生的社工库交易。
黑客能查到的程度第一层，是黑客你主动交出去的东西。注册每个网站时填的可查手机号、邮箱、个人生日，被拖库后像拼图一样拼起来。你觉得自己在不同平台用不同昵称很安全？手机号是唯一的锚点。一个手机号能关联出微博、豆瓣、知乎账号，再通过发帖时间、定位、照片背景，锁定你住哪个小区。我见过有人只凭一张外卖截图里的筷子包装，就查到了具体楼栋——那家店只送三个小区。
第二层是行为轨迹。手机里的陀螺仪、GPS、WiFi探针，每秒钟都在记录你。黑客拿到云端备份后，能画出你每天几点出门、走哪条路、在哪家便利店停留多久。有个案例是，某人发现自己的健身APP数据被陌生人点赞，对方顺着跑步路线找到了他家门口。更别提共享单车、充电宝、快递柜这些"便利"服务，每一个都在泄露你的物理位置。
第三层最致命：社交关系网。你通讯录里存的名字、微信备注、转账记录，甚至你给谁点过赞。通过分析这些，黑客能判断你的亲密关系、经济状况、作息规律。有人被诈骗前，对方准确说出了他上周和谁吃饭、点了什么菜。这不是玄学，是数据碰撞。你随手发的朋友圈合影，背景里的车牌、门牌、工牌，都是线索。
技术手段之外，还有更原始的。翻你的垃圾桶，看快递单上的名字和电话；在咖啡厅偷看你输密码的手势；甚至直接打电话给运营商，冒充你补办SIM卡。去年有个案子，黑客只用了三通电话——打给银行、打给运营商、打给你——就转走了账户里的钱。他不需要懂代码，只需要懂人。
那普通人怎么办？别用同一个密码，别在社交平台晒登机牌和钥匙照片，快递地址写到小区驿站就行。还有，定期搜一下自己的手机号，看有没有出现在奇怪的数据库里。我试过，结果在三个泄露库里找到了自己的邮箱和旧密码。那一刻的感觉，像发现自己家钥匙被复制了十把，还挂在网上卖。
最可怕的不是黑客能查到你什么，而是你根本不知道谁在查、查了多少、用来干什么。数据一旦泄露，就像泼出去的水，永远收不回来。你唯一能做的，是让那桶水尽量小一点。