前阵子有个朋友接到电话，信息泄露息对方准确报出了他的事件姓名、身份证号，谈谈甚至还有他上个月刚办的何保护那张银行卡尾号。他愣了三秒，人信然后对方说"您涉嫌洗钱"，信息泄露息他直接挂了。事件事后他跟我讲，谈谈那种感觉不是何保护害怕，是人信恶心——像被人扒光了扔在大街上。

这事不是信息泄露息孤例。2023年公安部披露过一组数据，事件全国公安机关破获侵犯公民个人信息案件3.2万余起，谈谈查获的何保护各类被泄露信息超过百亿条。百亿是人信什么概念？平均每个中国人被泄露了七八条记录。你的手机号、住址、购物习惯、出行轨迹，可能正躺在某个境外服务器的数据库里，被标价出售。

信息怎么漏的？渠道比你想的杂。快递面单上的电话没撕干净，随手扔了；小网站注册时填了真实信息，那网站数据库跟纸糊的一样；手机里装了个手电筒App，它非要读取通讯录权限，你点了"允许"。还有更隐蔽的——公共WiFi。你在咖啡厅连了个免费热点，同一网络下的攻击者能截获你未加密的流量。我见过一个案例，有人在机场连WiFi登录邮箱，第二天邮箱里多了几十封诈骗邮件，发件人显示的是他自己的名字。

保护信息这件事，得从"别嫌麻烦"开始。快递地址别写门牌号，写到小区就行，名字用化名。我认识一个做安全的朋友，他收快递永远写"张先生"，电话留的是副卡号码。副卡一个月也就十块钱，但能把主号从各种营销名单里摘出来。

App权限要逐个看。一个修图软件要定位权限，直接拒绝。一个输入法要通讯录权限，卸载。安卓和iOS现在都有"仅在使用时允许"的选项，别图省事点"始终允许"。还有，别用同一个密码走天下。我在暗网上看过泄露的密码库，很多人是"姓名拼音+123"，这种密码在撞库攻击面前跟没设一样。密码管理器不贵，或者你至少把邮箱、银行、社交账号的密码分开设。

公共WiFi能不用就不用。非要连，别登录网银，别输支付密码。手机流量现在也不贵，一个月几十G够用了。还有那个"允许App跟踪"的弹窗，iOS上默认是关的，别手贱去打开。你不需要个性化广告，你需要的是没人知道你在哪。

旧手机别随便卖。恢复出厂设置不等于数据擦除，专业工具能恢复出照片和聊天记录。要么把存储芯片物理销毁，要么反复写入大文件覆盖。我见过有人把旧手机卖给回收摊，三个月后他的通讯录里所有人都收到了以他名义发的借钱短信。

最后说个反直觉的：别太相信"人脸识别"。很多小平台的人脸数据存的是明文照片，不是加密特征值。你刷个脸领个优惠券，可能就把生物信息交出去了。生物信息泄露比密码泄露严重得多——密码能改，脸改不了。

信息保护没有一劳永逸的办法。它更像一种日常习惯，像出门锁门、过马路看红绿灯。你不需要变成安全专家，但得知道哪些坑不能踩。那些坑，往往就藏在"同意"按钮和"允许"弹窗的背后。