你接到过那种电话吗？对方一开口就叫得出你孩子的全名，学校、班级、班主任是谁，甚至每一科的考试成绩都门儿清。你心里发毛，反复回想：我没在任何地方留过这些信息啊？

答案很简单——你孩子的信息被人卖了。而且卖信息的人，恰恰是你最信任的那群人。

今年4月，四川峨眉山警方接到群众举报后展开调查，最终破获了一起横跨全省的特大侵犯公民个人信息案。警方从一个招生团队现场查获的U盘中，初步勘验发现存储了79万多条学生公民个人信息，涉及四川18个市州。随着侦查深入，警方又在德阳某校副校长黄某办公室搜出存有凉山10万条学生信息的U盘，最终封存涉案学生信息90余万条，抓获涉案人员5名。

90万条是什么概念？差不多是把一座中等城市所有中小学生连同家长的信息，全部打包塞进了几个U盘。姓名、性别、身份证号、户籍、就读学校、班级、历次各科考试成绩、执教老师、监护人电话，一应俱全。

更让人脊背发凉的是链条顶端的人。眉山某职业学院招生办主任何某，是这条黑色产业链的顶层泄密人员，他交代手中的海量学生信息都是从各渠道收集后汇总整理出来的。德阳某校招生办主任吴某从何某处拿到数据，同校副校长黄某充当中间商，向校外招生团队倒卖。吴某在东窗事发后，连夜驾车逃往成都，把U盘、手机、电脑硬盘一起打包扔进了河里，妄图物理消灭证据。

这就是“内鬼”的逻辑。外面的人想偷学生信息，得攻破系统、破解密码，风险大成本高。但“内鬼”不用。他们本来就有权限，导出数据点一下鼠标就行。

家长吴先生的经历很能说明问题。他从初三寒假开始接到各种招生电话，刚开始一天两三个，后来一天十几个，每接一个就拉进黑名单，但虚拟号码、真实号码轮番上阵，黑名单存了一两百个电话，根本拉不完。更让他不安的是，对方连孩子的班主任名字和每一科的分数都说得出来。这说明泄露的不是简单的姓名电话，而是学生在校的完整档案。

再算算这笔账。成都一个案子，1万余条学生信息按每条0.2到0.25元出售给培训机构，不法分子获利4000块。冕宁一案中，某技校副校长花2万元买下70余万条学生信息用于招生，被判三年有期徒刑、缓刑三年，罚金4.5万元。70余万条信息，换来一个缓刑。违法收益和惩罚力度之间的差距，让人很难相信这能起到足够的震慑作用。

法律不是没有红线。刑法第253条之一规定，侵犯公民个人信息情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。2026年5月，最高人民法院发布侵犯公民个人信息犯罪典型案例，明确对利用职务便利泄露信息的“内鬼”依法从重处罚。方向是对的，但落到个案上，缓刑的比例、罚金的额度，和这些“内鬼”造成的实际危害之间，仍然存在明显落差。

问题还不只在量刑。学校在信息采集上“重采集、轻保护”，教育平台权限管理形同虚设，数据导出、拷贝没有全程留痕，没有异常阻断机制。手里有权限的人复制带走数据，门槛太低。2026年，中央网信办、工信部、公安部三部门联合部署个人信息保护系列专项行动，教育领域违法违规收集使用个人信息被列为重点治理对象。方向明确了，但落到每一所学校、每一个系统的执行层面，还有很长的路要走。

你孩子的名字、成绩、家庭住址，不应该成为任何人手里可以按条计价的商品。那些本该守门的人，不该变成开门揖盗的人。