去年双十一，网购我在某电商平台买了一箱猫砂。信息泄露三天后，网购一个自称“店铺客服”的信息泄露人打来电话，准确报出了我的网购姓名、电话、信息泄露收货地址，网购甚至那箱猫砂的信息泄露订单编号。他说系统故障，网购要给我退款，信息泄露让我点开一个链接填写银行卡信息。网购我挂了电话，信息泄露后背有点发凉——这些信息，网购骗子是信息泄露怎么拿到的？

答案并不复杂。你的网购订单信息在电商平台、物流公司、第三方卖家、甚至快递员的手持终端上，至少经过了四五个环节。每个环节都可能出问题。2019年，某快递公司内部员工被曝出以每条两块钱的价格出售客户面单信息，一个月卖了上万条。这不是孤例。信息泄露的源头往往不在黑客攻击，而在“内鬼”。一个仓库打包员用手机拍下面单，一个客服导出后台数据，成本低到可以忽略不计。

更隐蔽的泄露发生在你点击“同意”的那一刻。很多电商App在注册时要求读取通讯录、位置、相册权限，你不给就用不了。这些数据被收集后，有的用于精准推送，有的被打包卖给第三方营销公司。你在某个页面停留了几秒、搜索过什么关键词、甚至手机型号和系统版本，都会成为用户画像的一部分。这些数据本身不直接导致诈骗，但一旦和订单信息交叉比对，骗子就能说出“您最近是不是在看婴儿车”这种让人瞬间放下戒备的话。

我有个朋友在二手平台卖旧书，买家拍下后发来一个二维码，说“扫一下确认订单”。她扫了，跳转到一个仿冒的登录页面，输入账号密码后，店铺里的书全被下架，账号余额被转走。事后她才发现，那个“买家”的账号只注册了两天。平台的风控系统没有拦截，因为交易流程看起来“正常”。信息泄露不只是数据被偷，还包括平台安全机制的迟钝。

普通人能做什么？别指望平台会主动保护你。我现在的做法是：收货地址不写具体门牌号，写到小区快递柜；不同平台用不同的用户名和密码；任何索要验证码的电话直接挂断。听起来有点神经质，但去年我确实因此躲过了一次“注销校园贷”的骗局——对方能说出我的学校和毕业年份，却卡在了验证码那一步。

法律层面，《个人信息保护法》2021年就实施了，最高可罚五千万或上一年度营业额百分之五。但实际执行中，多数案件以“情节严重”为门槛，普通用户很难举证自己因信息泄露遭受的具体损失。我查过裁判文书网，2022年因网购信息泄露起诉平台的案例不到二十起，胜诉的只有三起。维权成本太高，大多数人选择忍了。

说到底，网购信息泄露不是技术问题，是利益问题。平台靠数据赚钱，快递靠面单效率赚钱，骗子靠信息差赚钱。你夹在中间，唯一能做的就是别把鸡蛋放在一个篮子里。下次接到“客服”电话，先问一句：“你说我的订单号后四位是多少？”对方多半会挂断。