去年冬天，个人我在小区门口取快递，敏感听见驿站老板跟人打电话：“你身份证号后四位是信息不是XXXX？我这儿系统显示你有个件要退回。”电话那头估计是个人急了，老板赶紧补一句：“没事没事，敏感我记不住，信息挂完电话就忘。个人”可他那张写满单号的敏感纸上，分明还抄着人家的信息手机号和详细地址。这事让我意识到，个人敏感信息泄露往往不是敏感黑客攻击，而是信息日常操作里那些“顺手”的细节。

个人敏感信息到底指哪些？个人法律上有定义，但普通人更该关心的敏感是：哪些东西一旦被人拿到，你的信息钱、名声或者人身安全就可能出问题。我把它分成四类，按危险程度从高到低说。

第一类：直接能变现的

银行卡号加密码、网银登录账号、支付平台验证码——这组东西不用多解释。我有个前同事，在二手平台卖旧手机，买家说“先发个验证码确认你是本人”，他真发了。三分钟后，支付宝里八千多块被转走。验证码这东西，任何人找你要，不管说得多像真的，直接挂电话。

身份证正反面照片加手持照，现在也成了高危组合。很多网贷平台只要这三样就能放款。去年有个新闻，大学生把身份证借同学注册公司，结果自己成了法人，公司欠税上百万，他连高铁都坐不了。

第二类：能拼出完整画像的

单独一个手机号不算致命，但手机号加上姓名、家庭住址、工作单位，就能被用来精准诈骗。我接过一个电话，对方准确报出我最近买过什么、住在哪个小区，然后说“快递丢了要理赔”。差一点就信了。后来想，这些信息是从哪凑齐的？可能是某个购物平台的数据，加上物业登记表，再加上快递面单。

行踪轨迹更隐蔽。有人喜欢在社交平台晒跑步路线、晒机票登机牌。登机牌上的二维码能扫出你的常旅客号码，进而查到身份证号。我认识一个做自媒体的姑娘，被人从照片背景里的路牌定位到小区，连续一周收到骚扰私信。她后来把所有带地理标签的动态全删了。

第三类：关系网和生物特征

通讯录权限、微信好友列表、家庭群聊天记录。这些东西单独看没什么，但骗子拿到后可以冒充你给亲友发消息。我姑妈就上过当，骗子盗了她女儿的微信号，模仿语气说“妈，我手机坏了，先转三千给我买新的”。姑妈差点转钱，幸好打电话确认了一下。

人脸、指纹、声纹这些生物信息，一旦泄露没法更改。有些小App要求“眨眼摇头”做活体检测，背后可能是在采集你的动态人脸。我现在的原则是：非银行、非政务类App，绝不做人脸验证。

第四类：容易被忽略的“弱敏感”

邮箱地址、生日、毕业院校、宠物名字。这些常被用作密码找回的验证问题。我有个朋友，所有账号的密保问题都是“我最喜欢的老师姓什么”，而她曾在微博上提过那位老师的全名。结果账号被盗，对方还用她邮箱给客户发了诈骗链接。

写到这里，想起驿站老板那张纸。后来我每次取快递，都让他把面单上的手机号用记号笔涂掉。他嫌麻烦，我说：“你涂一下，我少接十个骚扰电话。”他笑了笑，照做了。

敏感信息没有绝对安全的清单，因为攻击方式在变。但有个笨办法管用：任何信息，只要你觉得“被人知道会有点麻烦”，就别轻易给出去。给之前问一句——对方真的需要吗？