去年秋天，防止我一位做投资的个人朋友手机丢了。他第一反应不是信息泄露心疼手机，而是防止连夜给银行打电话冻结账户。第二天他告诉我，个人已经有人用他的信息泄露手机号登录了某电商平台，试图修改他绑定账号的防止收货地址——那里存着他父母家的门牌号。这事让我后背发凉。个人丢手机本身不可怕，信息泄露可怕的防止是手机里装着一个人全部的数字身份。

个人信息泄露从来不是个人黑客拿着大铁锤砸数据库那种戏剧性场面。真正频繁的信息泄露泄露渠道，恰恰是防止你随手点的“允许”，顺手填的个人“手机号”，以及那些你以为删掉了其实还躺在服务器里的信息泄露聊天记录。我见过最典型的案例：一个姑娘在二手平台卖闲置，买家说“你拍个带订单号的截图证明正品”，她拍完发过去，对方就用订单号里的手机号登录了她的账户，把余额转走了。订单号里嵌着手机号，这设计本身就透着恶意，但更关键的是——她压根没想过截图会暴露什么。

所以第一条防线，是给“信息”和“身份”之间加一道闸。手机号是根，所有账号都绑着它。那你就得让手机号本身变得“难用”。比如，运营商APP里有个功能叫“副号”，可以生成一个虚拟号码用来收快递、注册外卖平台。真正的手机号只留给银行、政务和通讯录里的人。这样就算副号泄露，别人也拿它登录不了你的核心账户。我这么做两年了，快递单上的号码永远是那个副号，换来的好处是垃圾短信少了八成，更重要的是，当某个平台数据被拖库时，我不用连夜改密码。

第二道闸，是密码的“不重复原则”。我知道这话老生常谈，但多数人做不到。我见过太多人用同一个密码注册所有网站——包括公司邮箱和网银。一个不知名论坛的数据库被拖，黑客拿这个密码去试支付宝，一试一个准。别嫌麻烦。给你个土办法：准备一个密码本，纸质那种，给不同重要级别的账号设不同密码。重要账号用长密码（比如一句只有你懂的歌词首字母加数字），普通账号统一用一个中等强度密码。纸质的本子反而安全，因为黑客够不着你的抽屉。

第三道闸，是警惕“过度授权”。每次装新APP，弹窗问“允许访问通讯录吗”“允许定位吗”，你点“允许”之前想三秒：一个手电筒应用，凭什么要读我的通讯录？一个计算器，凭什么要我的位置？我现在的原则是：凡是功能与权限明显不匹配的，一律拒绝。宁可不用这个APP，也不给它开后门。还有那些“用微信登录”的第三方网站，每次授权都会把你的头像、昵称甚至手机号给出去。能不授权就不授权，能用游客模式就用游客模式。

最后一道闸，是“定期清理数字尸体”。那些你早就不用的旧账号，注册过就忘的论坛，绑过手机号的过期会员卡，都是埋在暗处的雷。我每半年干一次这事：用搜索引擎搜自己的手机号，看哪些地方能搜到；翻一遍手机里的APP，把半年没打开过的全部注销账号并删除。注销过程往往很麻烦，要跟客服扯皮，但正因为麻烦，才说明它在保护你——如果注销很容易，那别人盗用也容易。

说回我那个朋友。他后来追回了损失，因为他在银行设置了“单日转账限额”，而且手机号开了“SIM卡锁”——每次换机插卡都要输入一个独立PIN码。这两步让小偷即使拿到手机卡，也转不走大额钱。你看，防护不是装个杀毒软件就完事，而是把每个环节都设上绊脚石。信息泄露是常态，但让泄露的信息变得“不值钱”，才是真正的防守。你的手机号、身份证号、家庭住址，这些信息一旦出去就收不回来了。你能做的，是让它们就算出去了，也打不开你真正的门。