```html

用户数据是如何被泄露的

去年冬天，我在一个暗网论坛的数据公开样本区看到一份“新鲜出炉”的数据库——某二线城市的连锁健身房会员信息，包含姓名、何被手机号、泄露身份证号、用户家庭住址，数据甚至还有紧急联系人。何被文件大小不到 200MB，泄露标价 0.03 个比特币。用户卖家在帖子里轻描淡写地写了一句：“内鬼直出，数据非脱库”。何被

“内鬼直出”这四个字，泄露比任何技术漏洞都让我后背发凉。用户

数据泄露的源头，从来不只是黑客攻破防火墙。它更像水从木桶的缝隙里渗出来——缝隙可能是技术债，可能是流程漏洞，也可能就是一个人。

先说技术侧。很多中小型公司的数据库直接暴露在公网，端口 3306 或 6379 敞开，密码是 root 加 123456。攻击者用扫描器全网跑一遍，几分钟就能撞上一批。我去年帮一个朋友检查他创业公司的后台，发现 MongoDB 连密码都没设，任何知道 IP 的人都能直接读写。他愣了一下说：“啊，我以为云服务商会默认加防护。”

云服务商不会替你写业务逻辑里的权限校验。一个 API 接口如果只在前端隐藏了“查看他人订单”按钮，后端却没有校验 user_id 是否匹配，那么改一下请求参数就能看到全站订单。这叫 IDOR（不安全的直接对象引用），OWASP 年年把它排进前十，但开发者还是前赴后继地踩坑。

再说人为因素。我见过最离谱的一次，是某在线教育平台的运维把生产数据库的备份文件放进了公开的 S3 存储桶。文件名就叫 backup_20240301.sql，权限设为“公共读”。任何人在浏览器里输入那个 URL，就能下载整个库。后来是一个安全研究员在推特上提醒他们，才慌忙关掉。那三天里有多少人下载过，没人知道。

供应链也是重灾区。你用的第三方 SDK、数据分析工具、客服系统，每一个都可能成为跳板。2024 年某知名低代码平台被曝出，其集成的某个统计脚本偷偷收集用户表单里的身份证字段，然后回传到境外服务器。平台方自己都不知道。开发者以为“接个 SDK 而已”，结果把用户最敏感的数据拱手送人。

还有更隐蔽的——日志。开发人员调试时习惯把请求体整个打印到日志里，包括密码、token、手机号。这些日志被收集到 ELK 或者阿里云 SLS，一存就是半年。运维人员能看，开发能看，甚至实习生也能看。某电商公司就出过事：一个离职员工用还没过期的 VPN 账号登录日志系统，把过去三个月所有含手机号的日志导走，转手卖给电销团队。

说回那个健身房。后来我托人问了问，果然是区域经理把账号借给了外包地推团队，地推团队里有人起了歹心。系统没有操作审计，导出行为连个告警都没有。等发现时，数据已经在暗网上转了两手。

所以，用户数据是怎么泄露的？它可能从任何一个你以为“没问题”的地方溜走。一个没加索引的查询、一次图省事的权限复用、一个忘了删的测试接口、一个被收买的内部员工。防护做得再厚，只要有一个环节把“方便”排在“安全”前面，数据就守不住。

我自己的习惯是：注册任何服务都用不同的密码，能不开的权限就不开，快递地址填到小区门口。不是 paranoia，是见过太多“没想到”。