12306又泄露了。泄露这次是泄露14万条用户数据，在暗网上被公开叫卖。泄露我看了眼样本，泄露姓名、泄露身份证号、泄露手机号、泄露邮箱，泄露甚至乘车记录，泄露一应俱全。泄露真真切切的泄露，跟你在12306上订票时填的泄露一模一样。

说实话，泄露我已经麻木了。泄露这些年，泄露12306的“泄露史”能写成一本书。2014年那次，130万条用户信息被撞库获取；2018年，第三方售票平台泄露波及12306用户；2021年，又有黑客声称拿到超500万条记录。每次都是“已修复”“已报警”“请用户放心”，然后过一阵子，新一波泄露又来了。

问题出在哪？很多人怪12306技术不行。但我不这么看。12306的日访问量高峰能到千亿级别，春运期间扛住每秒百万次并发，这技术底子并不差。真正的软肋，是人。铁科院内部系统对接了无数第三方平台——抢票软件、旅行社、代售点。每一层对接，都是一个口子。你永远不知道哪家小公司的服务器里，明文存着你的身份证号。

更让人不舒服的是，泄露之后，你连个说理的地方都找不到。打客服电话，永远是“请关注官网公告”。去投诉，回复是“建议修改密码”——可这是密码的问题吗？我的身份信息能改吗？我的乘车轨迹能抹掉吗？不能。这种无力感，比泄露本身更让人绝望。

我有个朋友，去年发现自己的12306账号被人登录过，多了几张从北京到上海的高铁票。他没坐过那趟车。查了下，是有人用他的账号给别人买了票，积分全被刷走了。他去找客服，客服说“可能是您自己操作失误”。他气得不行，但最后也只能不了了之。这种事，你连个举证的门路都没有。数据在别人手里，人家想怎么用，你根本管不着。

说句难听的，12306的数据泄露，已经成了一个“慢性病”。每次爆出来，热搜挂两天，然后被新的八卦冲走。真正该追问的，是为什么这么多年了，核心数据还是能被人拖走？为什么内部权限管理还是这么松散？为什么泄露了，用户永远最后一个知道？

我不指望12306能一夜之间变成铜墙铁壁。但至少，能不能别每次都用“已修复”来糊弄人？能不能给用户一个明确的通知，告诉我们你的数据可能被谁拿走了，可能被拿去干什么了，你打算怎么处理？这些，比一句空洞的“请放心”有用得多。

说到底，火车票是刚需，12306是唯一入口。你可以不用淘宝，不用微信，但你没法不坐火车。这种垄断地位，让它在数据安全上有了“店大欺客”的底气。可底气再足，也不能拿用户的信息当儿戏。毕竟，那些数据背后，是一个个活生生的人，有名字，有身份证号，有常去的城市，有回家的轨迹。

这次泄露，又会像前几次一样，不了了之吧。但我还是想记下来——不是为了制造恐慌，只是觉得，有些事，不该被轻易忘记。