2023年秋天，隐私一个叫李明的泄露普通上班族收到了一条短信：“您预订的航班因机械故障取消，请点击链接办理退改签。隐私”他确实刚订了去成都的泄露机票，没多想就点了进去。隐私页面跳转到一个和航空公司官网几乎一模一样的泄露界面，他输入了身份证号、隐私银行卡号和短信验证码。泄露五分钟后，隐私卡里的泄露四万七千块钱被分三笔转走。这不是隐私什么高明骗术，但足够真实——骗子提前拿到了他的泄露订票信息，精准到航班号和起降时间。隐私

信息怎么泄露的泄露？李明后来才知道，他半年前在一个小电商平台买过东西，隐私那家平台数据库被拖库，两百万条用户记录在暗网标价0.5个比特币出售。他的姓名、手机号、收货地址全在里面。更糟的是，他所有账号都用同一个密码——包括那个电商平台和后来的航空公司会员账户。撞库攻击一撞一个准。

这事听起来像老生常谈，但真正让人后背发凉的是细节。警方后来告诉他，诈骗团伙拿到数据后，先筛出近三个月有出行记录的人，再匹配航司会员信息，最后用伪基站发短信。整个链条分工明确，有人专门负责“洗料”，有人写钓鱼页面，有人取款。李明只是当天两百多个受害者之一。

我查过公开的裁判文书，2022年全国审结的侵犯公民个人信息案件超过三千件，比五年前翻了两倍。但判决书里那些数字太抽象了——“非法获取公民个人信息十万余条”，你根本不知道这十万条背后有多少个李明。真正让我在意的是另一个案例：某三甲医院的信息科外包员工，用手机对着电脑屏幕拍了七千多张患者挂号信息，包括姓名、身份证号、诊断科室。他每张卖两块钱，买家是莆田系医院的营销人员。这事暴露是因为其中一位患者是记者，接到推销电话后顺藤摸瓜查了半年。

我们总以为隐私泄露是技术问题，其实是人的问题。去年某快递公司内部员工出租系统账号，一小时两百块，租给电诈团伙查收货地址。被抓后他说：“反正查一条也是查，查一万条也是查，又没人发现。”这种心态比黑客攻击更普遍。技术防护再强，内鬼随手一拍一传，防线就塌了。

还有件事挺讽刺。某安全公司发布报告说，超过六成APP在用户注销账号后仍保留其数据至少一年。你点了“注销”，后台只是标记为“非活跃”，数据该存还存。问就是“法律法规要求留存”。但《个人信息保护法》明明规定注销后应当删除。没人较真，因为普通人根本不知道自己的数据还在别人服务器上躺着。

李明后来换了手机号，把所有密码改成随机生成的十六位字符串，还买了两个月的信用监控服务。但他说最难受的不是丢钱，是那种被扒光的感觉。“骗子知道我什么时候去哪儿，而我连他们怎么知道的都查不出来。”这种无力感比四万七千块更贵。

数据这东西，一旦泄露就收不回来。你没法像换密码一样换身份证号，也没法像搬家一样换掉所有关联信息。能做的无非是少填一次无关紧要的问卷，少连一个来路不明的WiFi，或者——在点“同意用户协议”之前，真的花三分钟看看那几十页里写了什么。虽然大概率你还是会点同意，但至少知道自己在同意什么。