“拉黑一個又一個”，家長吐槽手機被打爆，一來就報出孩子姓名學校

“孩子才剛放假，我就已經被各種暑假培訓班的電話轟炸好幾輪了。”近日，一位家長在廣東省網絡數據安全與個人信息保護協會“個人信息侵權投訴反饋平臺”上投訴，稱自己在某社交平臺看到有人兜售學生信息，懷疑自家信息正是這樣被泄露的，才會頻繁接到培訓機構的騷擾電話。

南都記者據此展開調查，發現確有大量學生信息在社交平臺上被肆意販賣、交換，一條包含學生姓名、就讀學校、年級、父母姓名及聯系電話的詳細數據，被標價每條0.6元公開兜售。與此同時，部分機構通過投放教培廣告非法收集并倒賣個人信息，“內鬼”也成為精準學生數據泄露的關鍵源頭之一。

“拉黑一個又來一個”

家長每日遭遇電話短信轟炸

與投訴家長有著相同遭遇的不在少數。“一上來就問是不是xx媽媽。”家長楊女士家的孩子即將面臨小升初，她在網上發帖吐槽：最近手機要被各類培訓機構的電話“打爆”，“一上來就精準報出孩子姓名、學校、年級，我一開始還以為是學校老師，生怕錯過什么急事，結果是賣小升初培訓班課程的推銷電話”。楊女士表示從來沒有給孩子報過任何校外輔導班，根本不知道對方是如何獲取到電話號碼。

“拉黑一個號碼，又有新的號碼打進來，讓人防不勝防。”家長李先生也發文求助如何屏蔽培訓機構的騷擾電話。根據李先生提供的通話記錄截圖，他從今年6月中旬開始，便頻繁接到各類教育咨詢服務、精品課程的推銷電話，平均每天3-4個，“怎樣才能讓他們不要再打過來？”評論區中也有不少網友感同身受，更有甚者表示每天至少接到10個機構電話，“拉黑起不到任何作用，很無奈”。

除了電話，培訓機構的騷擾短信同樣讓家長不堪其擾。林女士的孩子在廣州某中學就讀初二，她向南都記者展示，近期手機通知欄時常被各類“名校名師”的短信占滿：“我是華附退休特級教師，和同事帶暑期特訓班”“限收2名初中學生一對一”“分數不到不收費”……短信輪番變換號碼發來，幾小時一條。“可笑的是，我要求對方出示證件證明老師身份，他們卻以‘保護老師隱私’為由拒絕。”林女士說。

在社交平臺上，不少家長發文吐槽被培訓機構電話、短信騷擾。

讓家長們困惑的是，這些精準的信息究竟是如何泄露的？有家長回憶，只在一家培訓機構填寫過信息，卻接到另一家從未接觸過的機構電話，懷疑個人信息被行業內部交換共享。也有家長只通過學校提供的渠道填寫過詳細資料，擔憂是學校環節不慎泄露，進而被層層倒賣到培訓機構手中。

社交平臺上叫賣：

“廣州小升初數據，每條0.6元”

根據家長在投訴中提供的線索，南都記者以“教培**”“**資源”等關鍵詞在部分社交平臺檢索，瞬間出現不少販賣數據的帖子，聲稱手握“大量教培客資名單，可以精準電銷”“全國各地都有”。評論區里，求購留言活躍，“買家”詢問指定地區或年級的學生數據，“廣州有嗎？”“需要海口的。”“需要高三和初三的學生。”

某社交平臺上，有人發布販賣數據的帖子。

南都記者通過相關帖文聯系上一名販賣廣州地區信息的“賣家”。對方稱，其手上的數據包含學生姓名、就讀學校名稱、入學年份、家長姓名、聯系方式等詳細信息，而且“每一個（家長的電話號碼）都是雙電話”。為了證明“貨真價實”，該“賣家”在線發來多條學生信息供免費測試，經南都記者核實，這些信息均為真實。

根據對方提供的截圖統計，其手中僅廣州地區“準備小升初”的學生信息就累計近7萬條，覆蓋天河、越秀、白云、從化等11個區，單價0.6元一條，并聲稱“全拿優惠會大一點”。據稱，除了廣州，該“賣家”還能提供全國多地數據。

另一名“賣家”則發帖稱“暑期招生旺季到來，數據庫已經更新，各地區數據都有”，并同樣表示可以測試。在明確具體年級和地區需求后，對方發來可出售的學生信息總量，僅廣州越秀、天河、荔灣，深圳福田以及佛山順德幾個地區，合計就超過6萬條。其提供的免費測試數據同樣包含學生姓名、學校、年級及家長電話等詳細信息。

更令人擔憂的是，這些學生信息還在“賣家”群體內部以“交換”“共享”的形式流傳。調查過程中，不少平臺用戶聲稱擁有某地學生數據，希望與人“交換”“共享”，評論區也常見大量響應的留言。

學生信息如何被倒賣？

教培廣告、“內鬼”成泄露源頭

這些數據是怎么泄露的？南都記者調查發現，家長上網時隨手點擊的教培廣告，很可能就是信息泄露的第一步。一名倒賣學生信息的“賣家”向南都記者透露，他們公司的客戶數據全是靠網絡平臺廣告投流獲得，“客資比較精準，鎖定的都是有需求的群體。”其提供的視頻資料顯示，該公司在短視頻及社交平臺上大量投放課外輔導、名師一對一等教育類廣告，誘導用戶點擊。家長在廣告詳情頁填寫的姓名、電話號碼、孩子就讀年級等信息會同步至后臺，隨即成為可售賣的“一手數據”。“賣家”給出報價：“100元一條數據，30條起拿。”這名“賣家”告訴南都記者，他們投流廣告獲取的數據成本較高，不支持免費測試。

如果說這類投流廣告收集的信息還相對粗糙，那么精準到學生姓名、就讀學校、家長姓名及電話的信息又是從哪里泄露的？數據安全專家指出，泄露原因可能是外部的，也可能是內部的，甚至二者兼有。外部可能是攻擊者利用系統漏洞或竊取特權賬戶，獲取了相應數據庫管理員的權限，從而完成“拖庫”行為。內部則分兩種情況：一種是運維人員不當操作導致數據意外泄露，另一種是有“內鬼”憑借系統權限，批量下載數據庫中的信息并倒賣。

事實上，“內鬼”正逐漸成為學生數據泄露的主要“元兇”之一。今年4月，四川警方打掉一個倒賣學生數據的違規團伙，數據泄露源頭直指當地某職業學院招生辦主任。警方公開的案件細節顯示，涉案的79萬多條學生公民個人信息，不僅涵蓋學生姓名、性別、身份證號碼、戶籍信息、就讀學校和班級，甚至歷次各科考試成績、執教老師以及監護人信息、聯系電話都在其中，幾乎把學生隱私“扒了個精光”。

此外，此前有媒體曝光，被公開流通買賣的學生信息，與某地中小學校陽光食堂信息化服務平臺、家校平臺等官方平臺公布的信息高度重合，相關官方平臺維護方負責人后因涉嫌數據泄露被抓。

倒賣或涉嫌侵犯公民個人信息罪

專家建議平臺主動清查違規內容

“姓名、學校、電話號碼這些均屬于敏感個人信息，非法買賣、提供這些信息，直接侵害了他人的隱私權和個人信息權益。”上海申倫律師事務所律師夏海龍告訴南都記者，侵權者需承擔民事責任，同時也違反了行政法規，情節嚴重，則涉嫌侵犯公民個人信息罪。他進一步建議，要強化網信、教育、公安等部門的跨部門協作執法機制，提升技術監管能力，加強對倒賣個人信息行為的打擊，嚴格依法監管、處置。互聯網平臺要落實好對平臺內容的審核義務，加強對違規內容的治理清查，同時要建立投訴舉報機制，并積極履行報告和配合調查義務。

還有多位專家建議圍繞教育、未成年人保護等個人信息泄露的高風險場景構建全過程監管閉環，確保每一次數據觸碰都能追溯到具體責任人。同時，將濫用信息的教培機構列入黑名單并向社會公示，倒逼機構主動規范信息使用行為。

南方都市報（nddaily）報道

出品：南都大數據研究院

采寫：南都研究員 羅韻

設計：何欣