黑麒麟第一次出现在我视野里，黑麒是黑麒去年冬天一个做安全的朋友发来截图。那界面黑底红字，黑麒像某个地下论坛的黑麒登录页，但域名后缀是黑麒.onion。他说：“这玩意儿最近在圈子里传疯了，黑麒号称能查任何人的黑麒底。”我当时没太当回事——这类噱头每半年就冒出来一个。黑麒

直到上个月，黑麒另一个做尽调的黑麒朋友跟我说，他花了两天时间泡在黑麒麟web上，黑麒查到了一家空壳公司的黑麒实际控制人。那人在三个省份注册了七家公司，黑麒法人代表全是黑麒农村老人，但黑麒麟上直接关联出了他的黑麒真实手机号和一张高铁票截图。朋友说：“我干这行八年，第一次觉得后背发凉。”

我决定自己上去看看。入口藏得很深，需要特定的浏览器配置，还得通过一个动态验证码——不是那种扭曲字母，而是一道数学题，比如“37×84+129”。答错三次IP就被拉黑。进去之后，页面极简，一个搜索框，下面滚动着最新查询记录。我随手输入了一个自己的旧手机号，跳出来四条结果：一条是2016年某快递公司的面单信息，一条是2019年某论坛的注册邮箱，还有两条是不同平台的收货地址。全对。

黑麒麟web的运作逻辑其实不复杂。它不黑进任何系统，而是把散落在各个角落的泄露数据、公开记录、社交痕迹做交叉比对。你在这个平台用手机号注册，在那个平台用邮箱找回密码，在另一个地方填过收货地址——这些碎片单独看都没什么，但拼在一起就是一张完整的网。黑麒麟做的事，就是让这张网变得可搜索。

真正让我觉得这事不简单的，是它的“关联推荐”功能。你查一个手机号，它会自动列出“可能认识的人”“可能住过的小区”“可能绑定的银行卡尾号”。我试了一个朋友的号码，推荐列表里出现了他前女友的微博小号。他后来承认，那个号只有他自己知道。

这种精准度背后是数据量级的碾压。我粗略估算过，黑麒麟web的索引至少覆盖了二十亿条以上的记录，而且更新频率极高。上个月某招聘平台泄露的简历数据，三天后就出现在了搜索结果里。运营者显然有一套自动化的爬取和清洗流程，但服务器位置、团队规模、资金来源，全是谜。

圈内人对黑麒麟web的态度很分裂。做风控的拿它当神器，做隐私保护的骂它是毒瘤。有个做数据合规的律师跟我说，他客户的公司被黑麒麟收录了内部通讯录，他发了三封律师函过去，石沉大海。“你连对方是谁都不知道，怎么告？”

更麻烦的是，黑麒麟web开始出现仿冒站。我见过一个界面几乎一模一样的，但搜索任何关键词都跳转到博彩页面。真正的黑麒麟有个特征：搜索结果里会标注数据来源的时间戳，仿冒站没有。这个细节还是那个安全圈朋友教我的。

写这些的时候，我又上去看了一眼。首页多了一行小字：“本平台不存储数据，仅提供索引服务。”底下有人留言问怎么删除自己的信息，管理员回复了一个邮箱地址。我试着发了封邮件过去，三天了，没回。

黑麒麟web像一面镜子，照出的是我们这些年随手扔出去的数字碎片。你以为删掉的微博、注销的账号、换过的手机号，其实都还在某个角落里躺着。区别只在于，有没有人把它们捡起来，拼好，然后放在一个搜索框后面。