2020年8月，阿里一个叫"Shadow"的巴巴黑客在暗网上挂出一份数据样本，声称手里攥着阿里巴巴旗下淘宝和天猫的漏洞22亿条用户记录。姓名、事件手机号、阿里地址、巴巴购物偏好，漏洞甚至连部分身份证号都在里面。事件他开价20比特币，阿里按当时行情大约20万美元。巴巴阿里当天就否认了，漏洞说这是事件"旧数据拼接"，不是阿里新泄露。但安全圈的巴巴人翻出样本一看，发现里面有些订单时间戳是漏洞2019年底的，这就让"旧数据"的说法站不太住。

这事最后没上热搜。原因也简单——那段时间公众注意力被疫情和美股熔断轮番轰炸，一条电商数据泄露的传闻，掀不起太大浪。可对做安全的人来说，这次事件是个分水岭。它暴露的问题不是"阿里被黑了"，而是阿里到底知不知道自己被黑了多久。

我后来跟一个在杭州做渗透测试的朋友聊过。他说阿里内部的安全体系分好几层，最外层是阿里云盾，中间是各个业务线自己的风控，最里面才是数据权限管理。问题出在中间那层。淘宝和天猫的数据接口太多太杂，有些老接口是2012年前后写的，权限校验逻辑还停留在"登录即信任"的阶段。一个离职员工如果没被及时清理token，理论上还能摸到一些边缘数据。

这不是阿里一家的问题。京东2019年也出过类似的事，一个前员工用没注销的账号爬了三个月用户数据。但阿里的体量摆在那儿，22亿条这个数字太扎眼。中国网民总共才10亿出头，22亿条意味着大量重复和交叉，也意味着黑产手里的数据可能比阿里自己统计的还全。

阿里后来的处理方式挺有意思。他们没有大张旗鼓发公告，而是悄悄做了一件事：把所有老接口的权限校验逻辑重写了一遍，同时上线了一个叫"数据血缘"的系统，追踪每一条数据从产生到销毁的全路径。这个系统现在成了阿里安全对外输出的标准产品。换句话说，漏洞事件倒逼出了一套更严的内控工具。

但用户这边呢？几乎没人收到过通知。按照《个人信息保护法》的要求，发生数据泄露应该告知用户。可实际操作中，企业往往用"无法确认数据真实性"来规避告知义务。阿里那次就是这么干的。你作为用户，可能到现在都不知道自己的手机号有没有在那22亿条里。

我查过裁判文书网，跟这起事件直接相关的诉讼只有两起，都是个人起诉阿里侵犯隐私权，最后都调解结案了。赔偿金额没公开，但参考同类案件，大概率不会超过五位数。对阿里来说，这点钱连九牛一毛都算不上。真正让他们紧张的是另一件事：事件曝光后一个月，工信部约谈了阿里，要求限期整改。那次约谈没有公开通报，但阿里随后砍掉了十几个数据合作项目，包括跟一些第三方营销公司的接口对接。

安全圈有个说法叫"未知攻，焉知防"。阿里漏洞事件最讽刺的地方在于，发现问题的不是阿里的安全团队，而是一个暗网黑客。这说明再大的公司，在数据安全上也可能是盲人摸象。你觉得自己守住了大门，结果窗户开着，后墙还有个洞。

现在回头看，这起事件没有改变什么根本性的东西。用户数据还在被收集，黑产还在买卖，大厂的安全预算还在涨。唯一的变化是，阿里内部把数据安全从"技术问题"升级成了"合规问题"。这意味着以后出事了，先找法务，再找技术。这个顺序变了，事情的性质也就变了。