银行系统被攻破的黑客概率，比大多数人想象的查别低得多。真正泄露你账户流水的银行，往往是记录你自己——或者你身边某个能碰到你手机的人。

2019年，黑客深圳龙岗警方抓过一个姓陈的查别年轻人。他没写一行代码，银行没入侵任何服务器，记录却查到了前女友近半年的黑客全部银行流水。怎么做到的查别？他趁对方睡着，用她的银行指纹解开了手机，登录银行App，记录截屏，黑客退出，查别删掉登录记录。银行整个过程不到四分钟。后来他拿这些截图去骚扰对方家人，被报警抓了。这事的技术含量约等于零，但造成的伤害和"黑客入侵"没区别。

真正的黑客路径其实很窄。银行的核心交易系统跑在IBM大型机上，外围有防火墙、入侵检测、行为审计三层起步。想从外部直接拖库，得先过运营商骨干网，再穿透银行DMZ区，然后突破内网微隔离。每一步都会留下日志，银行安全团队7×24小时盯着异常流量。2021年某国有大行做过一次红蓝对抗，蓝队（攻击方）用了三个月，试了钓鱼邮件、水坑攻击、供应链投毒，最后只拿到一个边缘测试服务器的低权限shell，连数据库的影子都没摸到。

但银行记录确实在流通。黑市上，一套完整的"银行四要素"——姓名、身份证号、银行卡号、预留手机号——报价从几十到几百不等。这些数据很少来自银行本身，更多是从电商、快递、网贷平台泄露的。骗子拿到这些信息后，去撞库。很多人所有平台用同一个密码，撞开一个等于撞开全部。登录进去之后，他们不转账，先看余额和流水，截屏，然后拿去申请网贷或者精准诈骗。

有个做风控的朋友跟我讲过一个案例。某城商行发现一个客户账户连续三天在凌晨两点到四点被登录，每次只查询余额和最近十笔交易，不转账不消费。安全团队起初以为是系统测试，后来定位到IP来自东南亚。客户是个退休教师，手机没丢，密码没泄露。最后查出来，他半年前在一个小网站填过银行卡信息领鸡蛋，那个网站数据库早被拖了。攻击者用他其他平台的密码试了试，正好撞上。

这种事防起来不难，但大多数人懒得做。银行App的登录密码和支付密码分开设，别用生日和手机号后六位。短信验证码别给任何人看，包括自称银行客服的。手机丢了第一时间打银行电话冻结，别先发朋友圈。还有，别在陌生WiFi下登录银行App，公共网络里蹲着抓包的人比你想的多。

至于影视剧里那种敲几下键盘就黑进银行、屏幕上跳出一排排账户信息的画面，基本是胡扯。真实情况是，攻击者更愿意花五十块钱买一条泄露数据，而不是花五十个小时去攻一个不可能攻破的系统。银行记录泄露的源头，从来不在银行的金库，而在你随手填过的每一个表格、点过的每一个链接、连过的每一个免费WiFi里。

去年有个新闻，某男子花八千块从暗网买了"查银行流水"服务，对方发来一个加密压缩包，解压后是几份PS过的截图。他拿着截图去敲诈前妻，前妻报警，他因敲诈勒索被判了八个月。那个卖服务的，收完钱就注销了账号。八千块，买了个教训。