招聘APP遭黑客攻击300万条数据泄露

300万条求职者数据，招聘P遭正在暗网论坛被打包叫卖。黑客这不是攻击电影情节，是数据上周五发生在国内某头部招聘APP身上的真事。安全圈的泄露朋友凌晨两点给我发消息：“出大事了，你自己看。招聘P遭”附带的黑客截图里，一个ID叫“数据猎人”的攻击用户发帖，声称握有该平台300万条用户简历数据，数据标价12个比特币，泄露约合人民币80万。招聘P遭

我翻了下帖子详情。黑客泄露的攻击字段包括姓名、手机号、数据身份证号、泄露学历、工作经历，甚至还有部分用户的“期望薪资”和“离职原因”。这些信息拼在一起，几乎能完整复刻一个人的职业画像。发帖者还贴了样本数据，我随机抽了三条去验证，两个手机号能搜到对应的微信，一个身份证号前六位和简历里的籍贯对得上。

攻击是怎么发生的？该APP在三天后发了份简短声明，说是“第三方SDK存在漏洞”。这话听着耳熟。去年某快递公司泄露40万条数据，也是这套说辞。我找做渗透测试的老张聊了聊，他嗤笑一声：“SDK漏洞？大概率是API接口没做权限校验。招聘APP的简历接口经常为了性能省掉鉴权步骤，爬虫稍微改改参数就能批量拉数据。”他顿了顿，“300万这个量级，要么是内部人导出，要么是接口被薅了几个月没人发现。”

真正让我后背发凉的是时间线。老张说，这类攻击通常不是一锤子买卖。黑客会先小批量测试接口，确认能拿到数据后，再挂代理慢慢拖库。这个过程可能持续几周甚至几个月。也就是说，从第一个手机号被拖走，到暗网挂出300万条数据，平台的安全团队很可能全程无感知。

用户这边已经炸了。微博上有个姑娘发帖，说上周刚在这APP上更新了简历，今天就接到三个境外诈骗电话，对方准确报出了她的身份证号和最近一份工作的离职时间。评论区有人支招：“赶紧去设置里关掉‘简历公开’。”但问题在于，数据已经泄露了，关开关有什么用？更讽刺的是，该APP的隐私政策里写着“采用银行级加密技术保护您的信息”。银行级加密，挡不住一个没做鉴权的API接口。

这事最让人不舒服的地方在于，招聘APP掌握的数据太敏感了。你什么时候想跳槽、期望薪资多少、为什么离开上一家公司——这些信息落到骗子手里，能精准定制诈骗话术。比如冒充猎头打电话，说你投的岗位有内部推荐名额，但要先交“背景调查费”。或者冒充前公司HR，说离职证明有问题需要补交材料。我认识的一个产品经理就中过招，对方连他上家公司的组织架构都说得一清二楚。

平台现在承诺“配合警方调查”，但用户能做什么？改密码？换手机号？身份证号改不了。老张给了个实在建议：去招聘APP上把简历设成“仅投递时可见”，别嫌麻烦。另外，如果最近接到自称猎头或HR的电话，先挂掉，通过官方渠道回拨确认。至于那300万条数据，大概率已经在多个暗网论坛转手几轮了。12个比特币的标价，搞不好还能砍价。

写到这里，我又刷新了下那个暗网帖子。状态显示“已售出”。买家是谁，不知道。数据会被用来做什么，也不知道。唯一确定的是，那300万个真实的人，接下来很长一段时间要跟骚扰电话和诈骗短信打交道了。