2020年3月，个人一个叫“XX宝”的信息泄露借贷平台被曝出数据库泄露。不是案例几万条，是个人超过500万条用户信息——姓名、身份证号、信息泄露手机号、案例家庭住址，个人甚至还有紧急联系人的信息泄露关系。有人在Telegram群里直接放出了样本，案例我点开看了一眼，个人第一页就看到了三个我认识的信息泄露人。其中一个是案例我大学同学，他后来跟我说，个人那段时间每天接到十几个贷款推销电话，信息泄露对方连他大学宿舍地址都报得出来。案例

这事当时没上热搜。那会儿大家注意力都在疫情上，口罩、健康码、复工，谁顾得上一个P2P平台的数据库？但泄露的后果不会因为没人关注就消失。三个月后，我那个同学收到一条短信，说他“涉嫌恶意逃废债”，要上报征信。他根本没借过钱，但骗子手里有他全套信息，包括他身份证的正反面照片。他去派出所报案，警察说这类案子太多了，先登记吧。

2020年个人信息泄露有个明显变化：以前是黑客单干，那年变成了“内鬼+外包”的流水线。比如某快递公司内部员工，把客户面单拍照卖给电商刷单团伙，一张五毛到一块。我认识一个做电商的人，他亲口说2019年底开始，他买的“料”越来越便宜，因为源头多了。什么叫“料”？就是包含姓名、电话、地址的完整数据。他买来干嘛？发空包刷单。一个真实的人收到一个空包裹，里面可能就一张纸，但他不知道自己的信息已经被转手了三次。

还有更隐蔽的。那年秋天，一个做在线教育的朋友告诉我，他们公司被查了。不是因为数据泄露，是因为他们从别处买了学生信息来推销课程。买家是谁？就是那些在家长群里发“免费领学习资料”的人。你填了手机号领资料，第二天就有人打电话问你孩子几年级。这个链条里没有黑客，全是“正常业务合作”。

我自己也中过招。2020年6月，我在一个二手平台上卖旧手机。买家很爽快，说先付款再发货。他发来一个链接，让我填订单号。我点开，页面长得跟平台一模一样，但网址多了个后缀。我填了银行卡号和验证码。两分钟后，收到扣款短信，卡里少了4800块。报警后，警察说这种“钓鱼链接”那年特别多，因为大家在家时间长了，网上交易频繁。我的信息后来出现在一个“已泄露”查询网站上，标记为“2020年6月，某二手平台钓鱼”。

那年11月，有个做数据安全的朋友跟我说，他统计了公开报道的泄露事件，2020年全年至少37起，涉及超过2亿条记录。但实际数字远不止，因为很多小公司根本不会报。他说了一句话我记到现在：“现在不是你的信息有没有泄露，而是泄露了几次、在几个库里。”我后来查了一下，我的手机号在三个不同的泄露库里出现过。最早一次是2018年，最近一次是2020年12月，一个健身房会员系统。

2020年还有个变化：泄露的信息开始被用来“精准诈骗”。以前是群发短信，那年变成了“你最近是不是在XX医院挂过号？你的医保卡有问题”。骗子能报出你就诊的科室和日期。这种信息从哪来？医院的信息系统外包给第三方公司，第三方公司的员工把数据导出来卖。一个三甲医院的信息科员工跟我说，他们2020年内部查了三次，每次都能查到有人用U盘拷数据。但最后都是开除，没见谁坐牢。

写这些不是要吓唬谁。2020年过去了，但那些泄露的数据还在。它们被压缩、打包、标价，在暗网上从几分钱到几块钱一条。你的身份证号可能正在某个Excel表格里，旁边标注着“已核实，可贷款”。我那个大学同学到现在还在用虚拟号码收快递。他说没办法，改不了，只能少留一次是一次。这大概就是2020年教会我们的事：信息泄露不是新闻里的数字，是你手机里突然多出来的骚扰电话，是你银行卡里莫名其妙少掉的钱，是你永远不知道谁在什么地方看着你的身份证照片。