说实话，看这种文章我总有一种说不上来的疲惫感。不是说你写得不对，而是数据泄露这事儿，从2015年听到现在，每年都有更吓人的数字出来，从几亿条到几十亿条，标题一个比一个狠，内容却越来越让人提不起劲儿。我甚至觉得现在看到这种新闻的第一反应已经不是愤怒了，是什么来着？麻木？对，就是麻木。 文章里讲网易邮箱那次，你说你当时测过一部分数据，有效性相当高。这一点我倒不怀疑。2015年的时候我还在用163邮箱注册各种乱七八糟的论坛，密码来来去去就那么一两个，后来看到新闻心里一凉，赶紧去改密码。结果你猜怎么着？改完没多久，我那个邮箱还是收到了垃圾邮件，全是那种“你中奖了”的骗子邮件，还特别精准地喊出了我的名字。我就纳闷了，我都改密码了，他们怎么还能找到我？后来才明白过来，人家卖的不光是密码，是整套信息，改个密码屁用没有。那个时候我就意识到，什么叫做“数据一旦泄露就永远收不回来了”。 还有微博那次，你说1.72亿用户基本信息，这个我身边还真有人中招。我一个朋友，不算什么大V，就一普通人，平时喜欢在微博上发发自己做的菜。有一天突然收到一票好友申请，清一色不认识的人。他本来以为是哪个平台搞的活动，结果其中一个人上来就发消息，把他手机号报出来了，连带他最近常去的一个商场的位置都给说得清清楚楚。我那朋友当时冷汗就下来了，跑去问那个陌生人怎么知道的，对方回了一句话：“你手机号绑定微博了吧，花点钱就能查到。”这哪是隐私泄露，这是被人扒光了站在太阳底下。 不过你文里有一个细节，我觉得比上面所有案例都讽刺。就是2022年上海那个事儿，你说这是“一个重要系统可以直接未授权访问”。我看了半天，一直琢磨这个事儿。一套存着十几亿人信息的系统，居然连个验证都不需要就能被人拖走，这哪是黑客厉害啊，这纯粹是门没锁。你想想，普通人存个几百块钱的银行卡都知道设个密码，而拿着全国人名册的系统，连最基本的防都没做？我不是专业的，不知道这里头具体出了什么差错，但我就觉得奇怪，这种事儿媒体上从来没人追着问到底谁负责，是谁验收的，中间怎么层层审批通过的。大家全都在说数据有多严重、黑产有多猖狂，可源头问题不解决，你写一百篇文章，咱们还是一样裸奔。 再说那个星链机器人，45亿条数据，还公开免费查。你看这个句子很吓人对吧？我也觉得吓人。但这里头我又有点怀疑，这些数字是不是有点虚胖？之前网上放出来的所谓“超大型数据库”，很多都是拿旧数据反复清洗、互相合并出来的，张三的一条信息在不同网站泄露了七八回，数字上就算七八条。文章里那个“Collection #1”7.7亿条，后来有人分析过，里面大量是重复的，真正独立的用户可能没那么多。我这不是说泄露不严重，恰恰相反，我是觉得如果大家都拿重复计算过的数字去吓唬人，时间长了，真到有更严重事情发生的时候，反而没人当回事了。这叫什么？狼来了？ 不过话又说回来，有些数据确实新得吓人。我自己遇到过一件事儿，前年双十一我在这家从没买过东西的网店下单了一件外套，第二天就收到一条短信：您购买的XX外套因质量问题召回，请点击链接登记退款。我一看链接，仿的跟真的一模一样，连我下单的时间、尺寸都写得一字不差。你说这些信息从哪来的？不是那家网店内部出的，就是它的系统被拖了。而且人家拿到数据之后反应特别快，头天我下单，第二天精准钓鱼就来了。这效率，比那家店发货都快。所以文章里有一句话我很认同，数据是活的，是会流动的，是会被人拿来二次利用的。不是说你改了密码就完事了，你的手机号、地址、身份证号早就被人打包好放在架子上，等着哪天派上用场。 有人可能会说，这怪你自己不小心，什么链接都点，什么账号都注册。这话我听着就来气。咱们现在过日子，上医院要实名，办银行卡要实名，坐高铁要刷脸，小区进门要刷脸，连我儿子上个兴趣班都要填家长手机号和身份证号。你不填？那行，课也别上了，病也别看了。所有生活必须的环节都在逼你交出隐私，你交完了，转头别人告诉你“你得自己保护好个人信息”——这不是搞笑吗？普通人哪来的选择权？数据泄露这事儿，我觉得错不在那些填了表的人，不在看着这篇文章的你和我，错的是那个系统，是那些拿了数据却不好好保管，或者压根就是故意拿去换钱的人。 文章里作者提了一嘴“地下数据库价格从几美元到数万美元不等，取决于数据的新鲜度和完整程度”。这句我读了好几遍。其实我特想知道，所谓新鲜和完整到底怎么定价？差半年的手机号和差两个月的手机号能差多少钱？带身份证号的和只有手机号的又差多少？你光说贵和便宜，跟没说差不多。我觉得真正好的文章，应该写得更具体一些，比如谁在买这些数据？买了拿去干什么？卖数据的人是个人黑客多还是团伙作案多？那些买数据的人有没有被抓住过？反正我读完全文，对社工库的印象还是模模糊糊的，光知道它厉害，不知道它具体怎么个厉害法，光知道它大，不知道它大到什么程度才叫真的大。 当然我也想明白一件事，这种话题写得太具体可能也不行。人家是干黑产的，你写得太细，搞不好还帮人家做了宣传。但你从一个安全研究者的身份写，总得拿出一点别人在网上搜不到的东西来吧？文章里这些案例，网易、微博、上海、星链、MOAB，说实话每一个单独拎出来搜一下都能弹出几百条新闻，你就是把它们串了一遍，加了几句评价。作为一篇科普，我觉得行；但要说“深度揭露”，可能还差了那么一口气。 还有一点我不太同意文章里的某个倾向——你把矛头全指向外部黑客和组织，这个没错，但你也别忽略了内鬼。数据这玩意光靠黑客在外面撞库、拖库，不见得有那么多渠道。真正大量流出来的数据，很多是有内部人参与的。新闻上没怎么报，但各行各业都流传过那种事儿：某营业厅员工把人家的开卡信息批量抄下来往外卖，某平台客服自己建了个群，拿用户资料换外快。我有个亲戚以前在电信干过外包，喝多了跟我说过一嘴，说他们那会儿能查到几乎所有本地人的通话记录和家庭住址，有的人真的会拿这个东西做人情，给朋友查查这个、查查那个。他一说完我就觉得脊背发凉。这种视角，比单纯说“坏人拿到了我们的数据”更可怕。因为坏人毕竟是少数，可如果每个能接触到数据的人都可能变成坏人的话，那就真的没啥安全感了。 文章最后说2024年又发现了一个更大的库，叫什么“泄露之母”，看到这儿我叹了口气。叹的不是又泄露了，而是我想起2018年那会儿，Facebook五千多万用户数据泄露，全世界都在谈隐私，感觉好像天要塌了。结果呢？现在回头一看，五千万算什么，五十亿都不稀奇了。大家骂了几天，扎克伯格出来说了句“对不起”，然后该用Facebook还是继续用。我们这边也一样，不管泄露多少条，过几天网上就又恢复了热闹，好像什么都没发生过似的。可实际上数据不会消失，它只会越攒越多，等到某天被用在一个你完全想不到的地方。 我有个大学同学，学计算机的，毕业后干了几年安全，后来转行了。我问他为啥不干了，他说，做安全这一行最绝望的一点在于，你要防住所有的漏洞才叫成功，而对方只需要找到一个漏洞就够了。这活儿干久了，人会变得特别焦虑，总觉得自己家里到处都是摄像头，手机就是个窃听器。他说他后来养成了一个习惯，不管什么场合，第一件事就是把手机麦克风权限关掉。有用吗？他自己都说，有点自欺欺人的意思。但他说这么做至少让他心里好受一点，能睡个安稳觉。我听了又好笑又心酸。我们普通人面对这种事儿，能做的好像也就剩下这点儿心理安慰了。 所以说回你文章里那句“裸奔的个人隐私”，这个比喻真挺准确的。但裸奔也有两种。一种是被人扒光了丢到大街上，你是受害者。另一种是你自己觉得无所谓，走习惯了，反而不觉得羞耻了。我现在感觉咱们大多数人属于第二种。不是不在乎了，是太在乎了又能怎样？你还能不用手机不上网不买房子不生孩子了？不可能嘛。日子该咋过还咋过，只是在偶尔半夜收到一条精准营销短信的时候，心里头咯噔一下，然后默默删掉，假装什么都没发生。 写到这里我想起去年的一件事。我手机收到一条验证码，紧跟着一个电话打过来，对方自称是某银行的，说我有一笔境外消费需要核实。口音怪得很，一听就是骗子。我当时不知道怎么想的，闲着也是闲着，就陪他聊了几分钟。他居然能把我身份证后四位报出来，还能说出我几年前办过一张卡但已经注销了。我说你怎么知道这么多？他在电话那头笑了笑，说“哥，我们知道的多着呢，你上周去医院挂的什么科我都知道，要不要我说出来？”我一下愣住了，反应过来直接挂了电话。那天晚上说实在的，我没怎么睡好。我想不通，去医院挂个号，怎么也能跟骗子扯上关系？后来一想，也许是某个挂号APP泄露的，也许是医院的系统被拖了库，反正哪个环节都不奇怪。 你说的星链那个案例里有句原话我记得很清楚：“真实姓名、电话、地址等信息，并公开了免费查询渠道。”这几个字多平常啊，可组合在一起就是让人后背发凉。真实姓名，电话，地址——这不就是一个人活在世上最基本的坐标吗？有了这三样，再加上点别的数据，你这个人基本就在别人面前透明了。你在哪上班，住在哪个小区，晚上几点回家，喜欢买什么牌子，经常跟谁通话，全部能被拼凑出来。这些数据单独看好像没啥，拼在一起就是一份详细到可怕的生活档案。你写文章的人可能天天见这些，习惯了，但我这种普通人偶尔想到自己被这样放在某一台服务器的文件夹里，标签写着“XX省XX市，男，35-40岁，有房有贷，疑似有孩”，还是会觉得有种说不出的恶心感。 文章里还有个词儿，“数据之母”。名字起得挺大，但我觉得它不配叫母亲。母亲是给你生命的，这个玩意儿是让你这辈子都可能活在被监视的阴影底下的，应该叫它“吞人数据的无底洞”差不多。 算了，话又说回来，我虽然吐槽了一堆，但我也明白写文章的人不容易。你摆出来的数据是真的，案例也是真的，想提醒大家重视隐私的心，我感受得到。只是看多了这种文章，我越来越觉得问题的根源不在天上，就在地上——在每一个不愿意花钱做安全的老板脑子里，在每一个追求上线速度不要命的项目经理的排期表里，在大伙儿都觉得“这事儿轮不到我负责”的侥幸心理里头。技术问题倒是简单，难的是让人真正把自己的责任捡起来。这个不解决，文章的结尾永远都一样，明年还会有一个新的更大的“库”，然后用一个更吓人的数量级出现在新闻头条上。到时候你写一篇《揭秘》的续集，大概也能沿用这些框架，把案例换一换，就又能发了。 我啰啰嗦嗦说了这么多，其实就是看完之后心里堵得慌。现在的互联网就像一栋没有大门的公寓楼，每个房间都放着住户一辈子的秘密。你站在楼道里大声提醒大家锁好门，可这栋楼压根就没装门，这声提醒除了让人害怕，又能有什么用呢？但我也还是谢谢你写了这篇东西，起码让新来的人知道，这栋楼不安全，别太当真。但凡有个办法，哪怕只能让一小部分人少踩一个坑，这文章也不算白写。咱们这些住在楼里的人，说到底也只能互相喊一声：小心点儿。