老周被堵在小区门口时，人肉软件手机屏幕正亮着一条陌生号码发来的搜人短信：“您女儿在XX中学高二（3）班，班主任姓刘，人肉软件上周三下午请过病假。搜人”他后背一凉，人肉软件因为女儿上周确实请过病假，搜人那天她躲在房间哭了一下午。人肉软件发短信的搜人人是谁？不知道。号码归属地显示云南，人肉软件但老周一家住在杭州。搜人

这不是人肉软件悬疑片开场。老周女儿的搜人同学群里，有人玩过一款叫“人肉搜索器”的人肉软件微信小程序——输入对方手机号，花9块9，搜人就能查到机主的人肉软件近期位置、学校、工作单位，甚至最近一周的消费记录。老周女儿的手机号被同学恶作剧输入过一次，三天后，老周的短信就来了。

这类工具的真实名字叫“社工库查询平台”，但开发者更爱叫它“人肉搜人软件”。原理极简单：数据贩子从快递公司、外卖平台、APP注册后台甚至学校教务系统里拖出数据库，按手机号或身份证号索引，打包成查询接口。你付钱，它吐信息，中间隔着三层代理服务器，查完即焚。

我试过一次。用测试号查询，页面提示“请输入真实姓名验证”，输入后跳转结果页：性别、年龄、常驻城市、最近三个月到访过的商圈，精确到门牌号。最吓人的是“关联成员”栏，列着两个名字——我早就不联系的堂妹和前任。数据从哪来的？大概率是某个二手手机回收商泄露的通讯录备份，再和运营商基站数据交叉匹配。

开发者不会告诉你的是，这类软件的后台往往自带“撞库”功能。你查别人，你的手机号、IP地址、设备指纹也被默默记录。曾经有个程序员在安全论坛发帖，说他黑进某个人肉搜索平台的后台，发现查询记录里躺着几万条真实用户的搜索历史——有人查前同事，有人查相亲对象，还有人查自己的丈夫。最讽刺的是，这些查询者自己，也成了数据库里待售的“商品”。

老周后来报了警，警察说这类案子很难追查，服务器在境外，支付走加密货币，数据源又是层层转卖的“二手货”。他女儿吓得把社交账号全注销了，但老周知道，只要那个小程序还挂在某个灰色社群的置顶帖里，女儿的隐私就还在暗网上流动。

你手机里的每个APP都在收集位置、通讯录、剪贴板内容。这些数据被打包卖给广告商时，叫“用户画像”；被转手到人肉搜索平台时，就成了“精准定位”。区别只在于，前者给你推学区房广告，后者让陌生人知道你女儿几点放学。

写这段文字时，我又收到一条垃圾短信：“您的快递已到，请点击链接确认。”我没点。但我知道，只要我点了，我的手机号就会进入下一个数据库，再被卖到某个9块9的查询接口里。这行当最荒诞的地方在于——你用来保护隐私的警惕心，恰恰是它最值钱的商品。