上海10亿人数据泄露

这不是上海数据演习，也不是亿人夸大其词。一份包含10亿条记录的泄露数据库，被公开挂在了暗网上，上海数据明码标价，亿人甚至支持“按需查询”。泄露这些数据，上海数据指向的亿人是上海。媒体用“10亿人”做标题，泄露但准确地说，上海数据这可能是亿人数亿条与上海相关的个人信息，从姓名、泄露手机号、上海数据身份证号，亿人到家庭住址、泄露甚至部分人脸识别特征——像一座被搬空的数字保险库。

我第一时间联系了圈内做安全审计的朋友，他语气平淡：“这种体量的泄露，不像是个人黑客‘炫技’，更像是有组织地从某个大型数据平台‘拖库’。”他补了一句，“上海这边，但凡你注册过任何政务App、用过共享单车、点过外卖，大概率就在里面。”这话听着刺耳，但逻辑上说得通——10亿条记录，不是靠爬虫能凑齐的，必须有一个集中的、高权限的“源头”。

更让人后背发凉的是泄露数据的“新鲜度”。样本里能看到2024年的注册记录，也就是说，这不是陈年旧货，而是持续更新的“活数据”。有人拿它做精准诈骗，有人用它做“撞库”攻击，更有人直接打包卖给催收公司。你以为是普通骚扰电话变多了，其实是你的隐私已经被拆成零件，按条售卖。

谁该为这10亿条数据负责？目前官方通报还没出，但圈内已经有人把矛头指向某些市级公共数据交换平台——它们常年对接数百个委办局，权限大得像“数字上帝”，安全防护却可能只靠几道防火墙。讽刺的是，这类平台招标时，标书里都写着“等保三级”“国密算法”，但真正落地时，外包开发、运维混岗、日志留存不全，几乎是行业通病。

别急着骂“黑客厉害”。真正该问的是：为什么我们的数据被收集得如此彻底，却连最基本的“最小化存储”都做不到？上海某区政务App曾要求用户上传人脸视频，理由是“核实身份”，但后台却默认保留三年。这种过度采集，等于把炸药包堆在自家客厅，还怪小偷撬锁技术高。

数据泄露后，普通人能做什么？改密码、换手机号，这些都是治标。更实际的做法是：关掉所有非必要App的“读取通讯录”权限，去“一网通办”查一下自己名下被绑定了哪些莫名账户，再给常用的银行卡开个转账限额。听起来琐碎，但这就是数字时代的“防盗门”了——虽然门锁可能早就被人换过。

这场泄露最吊诡的地方在于，它没有引发大规模恐慌，因为大多数人根本不知道自己“被泄露”了。直到某天接到一个电话，对方准确报出你的身份证号和最近一次挂号记录，你才惊觉——原来自己也是那10亿分之一。而那时候，你的数据可能已经被转卖了好几手，像一条被反复冷冻的鱼，早已分不清最初的腥味来自哪里。