凌晨两点十七分，黑客我盯着屏幕上的破解404页面，手指在键盘上悬了整整十秒。抖音这不是私密我第一次尝试进入那个所谓的“私密账号”，但这次我用的账号不是密码字典，而是黑客抖音官方自己的接口漏洞。

别误会，破解我不是抖音黑客，只是私密个对数据安全有点强迫症的技术编辑。那个账号属于一个百万粉的账号带货博主，她设置了“仅粉丝可见”的黑客动态，但评论区里有人扒出她小号骂同行。破解这事儿本身没什么，抖音可偏偏她小号绑定的私密手机号，和她大号收快递的账号号码是同一个——这信息就躺在某快递公司泄露的数据库里，花三十块钱就能买到。

破解过程比我想象中无聊。抖音的私密账号逻辑其实很粗糙：前端隐藏内容，后端接口却照样返回数据，只要伪造一个带合法session的请求，就能绕过“关注”校验。我写了个简单的Python脚本，用抓包工具截取她大号浏览视频时的cookie，替换掉user_id参数，再往/aweme/v1/web/aweme/post/这个接口塞个空列表——嘿，她小号的全部作品列表直接吐出来了。

真正让我后背发凉的，是那些视频本身。她小号里存着三段没剪辑的原始素材，拍的是她素颜对着镜头骂品牌方“给的钱不够打车费”，还有一段是她在酒店房间数现金，边数边说“这单佣金够买辆二手A4了”。这些内容要是流出去，她人设直接崩塌，但问题在于——她根本不知道这些视频能被看到。

我试过把漏洞提交给抖音安全中心，得到的回复是“已记录，感谢反馈”。两周后我再测试，接口照样能调通。这漏洞存在了至少半年，而像我这样发现它的人，估计不止我一个。你以为私密账号是道铁门？其实它就是个挂着锁的纱窗，伸手一推就开。

后来我删掉了所有抓取的数据，不是因为良心发现，而是觉得没意思。真正危险的从来不是技术，是那些把隐私当摆设的人。你设个私密账号防的是陌生人，可平台自己早就把你的数据摊在阳光下晒了——只不过晒给谁看，你永远摸不清。

现在那个博主还在正常更新，每条视频都带着“仅粉丝可见”的标签。我有时候刷到她，总忍不住想：她手机里那个小号，现在还敢随便录东西吗？