一家国内头部的在线教育公司在经历了三年爆发式增长后，积累了超过一千万注册用户的数据，覆盖全国各地从幼儿园到高中阶段的学生。每个用户档案里都清清楚楚地记录着学生的姓名、年龄、就读学校和年级、家长的联系电话、微信和QQ号、家庭完整地址，甚至还包括家庭收入的大致水平和子女的学习偏好标签。这些数据是公司最核心的资产，支撑着精准的广告投放和课程推荐，年营收中有将近四成来自数据驱动的精准营销。
但公司对数据的保护力度远远跟不上数据积累的速度。客户服务部门有一百多名基础岗位的员工，每天处理用户咨询、退费和投诉。公司为了方便他们工作，在CRM系统中给每个客服人员开放了完整的客户资料查看权限。客服人员只要输入一个手机号或者订单号，就能看到这个家庭所有孩子的详细资料、完整的购买记录、每次和客服通话的录音文本、以及系统给这个用户打的消费能力评分。没有任何字段被脱敏，没有任何查询次数限制，没有任何操作行为记录。
客服人员吴某就是这个部门里的一分子。她本科毕业两年，月薪刚过六千，在这座一线城市里过着紧巴巴的日子。半年前，她在一个家长交流群里认识了一个自称做教育行业市场营销的人。对方聊了几天后提出，如果吴某能提供一些学生和家长的联系方式，可以按照每条三毛到五毛的价格支付报酬，量大还能加价。吴某当时心里犹豫了一阵，但她打开公司系统看了看，几万个客户档案就在自己眼前，点几下鼠标就能全部导出来，谁会知道呢。
她用了一周的时间来做心理建设，然后在一个周五晚上加班的时候，第一次打开了系统的批量导出功能。她选了一块最大的片区，筛选了最近三个月咨询过课程的学生家长，轻轻一点，几千条数据就在几秒钟内跑了出来，生成了一份Excel表格。她用加密压缩包把文件打包，用个人邮箱发给了买家。三天后，她的支付宝账户收到了一笔一千多元的转账。这一千多块钱让她彻底放下了顾虑。接下来的四个月里，她几乎每天都在下班前导出数据，有时候甚至从下午就开始批量操作，到晚上九点还在加班导出。她把自己负责的所有区域的数据都卖了一遍，然后又利用系统权限扩大了自己可以查询的区域范围，把手伸向了其他省份的客户数据。
等到公司发现异常的时候，吴某已经累计导出了超过十二万条学生和家长信息，获利近五万元。这五万元被分散存入了几个不同的支付账户，用来还信用卡、给老家父母寄钱、偶尔还给自己买了一个名牌包。而另一端，这些被卖掉的数据像是滚雪球一样越滚越大，从最初的买家手里转卖到了更多下游数据商手中，最后流入了电话推销、短信营销、甚至诈骗分子的口袋。
家长们的怒火是在一个暑假集中爆发的。那年的六月到八月，大量家长在社交媒体上发帖投诉，说自己的信息被莫名其妙地泄露了。有的家长每天接到十几个培训机构的推销电话，对方不仅能喊出孩子的名字和学校，还能准确说出孩子数学成绩不好、英语需要补课、最近买过什么课程。还有的家长遭遇了精准诈骗，对方假冒教育主管部门的工作人员，以退费或发放教育补贴为由，诱导家长提供银行卡号和验证码。有一个家庭的母亲因此被骗走了孩子留学准备的二十多万存款。这位母亲在维权群里哭诉的时候，愤怒的家长们开始接力转发，事情迅速发酵成了全国性的新闻事件。
公安部门立案后，一路追踪数据流向，锁定源头正是吴某所在的公司。警方带了搜查令到公司取证，调取了吴某电脑上的操作日志和系统后台的导出记录。铁证如山，吴某没有否认的余地。法院后来以侵犯公民个人信息罪判处其有期徒刑三年，并处罚金。公司层面，事件发生后，教育主管部门和网信部门先后入场检查，约谈了公司主要负责人，下发了整改通知书。多家主流媒体对事件进行了详细报道，公司一年内积累的品牌口碑在大约两周的时间里崩塌。
一个更严重的问题从这次事件中暴露出来，那就是未成年人的个人信息保护。公司数据库中，有超过六成的用户是未成年人。根据个人信息保护法和未成年人保护法的相关规定，处理不满十四周岁未成年人个人信息应当取得其父母或者其他监护人的同意，而且必须制定专门的个人信息处理规则。但公司在数据保护方面做得非常粗糙，一边对内部员工完全开放数据，一边在营销推广中大量使用用户标签进行精准投放。这种粗放式的做法让公司后来面临着巨额的行政处罚和民事赔偿。
回过头来看这起案例的教训，最核心的问题出在三个环节。第一，数据权限管理形同虚设。客服人员只需要看到处理当前问题所必需的最小数据量，而不是全量客户档案。属于内部员工的数据泄露，本质上不是黑客攻破了防火墙，而是企业自己把数据大门敞开了。第二，操作行为缺乏审计和实时监控。吴某连续四个月每天大量导出数据，这些异常的操作模式在任何一个配置良好的用户行为分析系统中都会被立即标记为高风险行为，但公司的系统对此毫无反应。第三，终端数据防泄漏机制缺失。员工的办公电脑没有禁止USB接口的使用，没有拦截个人邮箱发送包含大量结构化数据的行为，也没有对外传文件的内容进行任何检测。
这起事件也给整个在线教育行业敲响了警钟。教育行业收集的未成年人数据属于法律规定的敏感个人信息，其保护标准应当高于一般行业。但现实是，很多教育公司把用户数据当作可以随意交易的资源，在内部权限管理、外部共享合作等环节存在大量的安全漏洞。监管的利剑已经悬在头顶，每一家掌握大量用户数据的企业都需要重新审视自己的数据安全策略，把保护用户隐私真正当成一件关乎企业生死存亡的事情来做。
