教育系统出内鬼？67万学生信息卖50万！学生隐私被“打包发货”，家长还能睡得着吗？

一个U盘，67万条学生信息，开价50万。这不是电影情节，是海报新闻记者在金华暗访时亲眼看到的东西。

数据贩子朱某当着记者的面，从包里掏出U盘，双击打开，屏幕上密密麻麻全是金华中小学生的姓名、学校、年级、家庭住址和联系电话。他报的价很干脆：金华本地67万条，基本覆盖所有中小学，一口价50万。记者随手抽了20个电话打过去，家长全部确认信息准确。

50万买一座城市几乎所有孩子的底细，平均下来一条信息七毛多。但在黑市上，这些数据被拆开、转手、加价，最后流向教培机构、招生中介，甚至诈骗分子手里。

问题来了：这么全、这么准、体量这么大的数据，到底是谁弄出来的？

朱某自己不会变出67万个孩子的家庭住址。记者在报道里也提到，这种规模的数据“很难是社会零散活动报名、单校零星采集、商业平台汇总等渠道积累形成”。换句话说，能一次性拿到一个地区几乎所有中小学的完整信息，源头大概率不在街边，而在系统里面。

央视新闻今年9月曝光的案子已经把这条路说得很清楚了。山西太原，教培人员王某杰为了完成招生指标，跟学校工作人员、眼科医院工作人员串通交换和购买学生数据，形成了一个“内鬼窃取、行业倒卖、精准推销”的链条。四川峨眉山那边更直接：警方顺着校外招生团队往上查，查到了德阳某校副校长黄某，再往上查到了同校招生办主任吴某，而吴某手里的海量信息，来自眉山某职业学院招生办主任何某。一条链上全是学校里管招生、管学籍的人，最后封存的涉案信息超过90万条。

再往前看，2025年四川冕宁的一份判决书也摆在那里：成都某技工学校副校长为了招生，花钱去买初三学生信息，买来的信息又被转手卖给其他人，中间还经过机器人“加工”加上成绩再卖回去。平台工程师从后台偷数据，副校长买，中间商倒几手，最后落到招生机构手里，整条链被判决书完整地画了出来。

所以“教育系统出内鬼”这句话不是猜测，是已经被多地警方和法院反复确认的事实。内鬼不一定长着一张坏人的脸，他可能就是某个学校的招生办主任，某个管理系统的管理员，某个能批量导出表格的人。权限在他手里，责任没跟上，数据就成了他手里的货。

再看下游。朱某在暗访里说得很直白：买这些“料子”的，主要是教培机构。家长接到的电话为什么能准确叫出孩子名字、说出在哪个学校读几年级，原因就在这里。教培机构要抢生源，正规渠道拿不到这么精准的名单，就花钱买。有人买，就有人偷，有人倒，链条就这么转起来了。

法律对这一圈人是有明确态度的。学生的姓名、学校、联系方式、住址，只要能把一个具体的孩子认出来，就受刑法保护。

贩卖这些信息，情节严重的，三年以下；情节特别严重的，三年以上七年以下。而且刑法专门写了一条：在履行职责、提供服务过程中拿到信息再往外卖，从重处罚。司法解释把“内鬼”的入罪门槛砍了一半，普通案件要够一定数量才立案，“内鬼”作案，一半的数量就得进来。

这就是在告诉所有握着数据权限的人一件事：你坐在那个位置上，把学生的信息当货卖，法律不会按普通倒卖来处理你。

但问题在于，抓一个朱某容易，把链条彻底拧断没那么简单。朱某只是中间商，他手里的U盘不会自己长出67万条数据。上游是谁导出的，哪个环节丢了权限管控，哪个系统被人拷走了一个整库，这些如果不查清楚，今天抓了一个朱某，明天还会有张某、李某，拿着新的U盘卖同样的东西。

报道里有一个细节很说明问题：记者把线索交给金华江南警方之后，朱某在交易现场落网。抓人这一步很利索。但朱某背后那条“源头—中间商—买家”的完整链条，需要的不只是抓一个正在交易的贩子，而是顺着数据往回追，追到第一个把学生信息拷出来的人，追到第一个花钱买名单的机构。

新华日报的评论说得很准：不能只盯着信息贩子，要严查泄露的源头和下游购买信息的校外教培等机构，铲除整个黑产链条。源头不堵，内鬼不揪，买家不罚，50万卖67万条这种事就还会有下一单。

家长把孩子送进学校，填了姓名、住址、电话，是配合学校管理，不是把一家人的底细交给一条黑产链。

这些信息从学校的系统里流出来，被装进U盘，摆上桌面，开价50万，这件事每一环都得有人负责。数据贩子该抓，但真正让人后背发凉的，是那个能一次性把一座城市所有中小学信息装进U盘的人，此刻可能还坐在某个办公室里，手里还握着导出数据的权限。