学生信息竟成黑市商品，报名表背后的黑市江湖

来源：市场资讯

（来源：电脑报少年派）

“喂？请问是xx妈妈吗？您家孩子想提高英语成绩吗……”刚刚过去的暑假，不少家长在为孩子填写培训班报名表后，很快便被一连串推销电话“轰炸”，对方甚至能准确报出孩子的姓名、就读年级，乃至各科成绩和班主任姓名。有家长的黑名单里积攒了一两百个陌生号码，拉黑一个又有新号码打进来。

这些精准到令人后背发凉的推销电话背后，是一条横跨多省、明码标价的黑色产业链。新华社时评一针见血地指出：学生信息竟成黑市商品，不仅透支社会对学校和机构的信任，更伤害未成年人的健康成长环境，必须以“零容忍”态度一剿到底。

01

一条链条的完整解剖

晚上8点，江苏的刘先生正陪着上初中的儿子写作业，手机突然震动起来——“你好，我们是教培机构的，请问您是小刘的家长吗？” 类似的场景正在无数家庭中上演。

在四川峨眉山，一位初三学生的家长吴先生，仅手机黑名单里就积攒了一两百个陌生号码——对方不仅能准确叫出孩子的名字，甚至连各科分数、班主任是谁都一清二楚。而在这些令人不胜其烦的骚扰电话背后，隐藏着一条规模庞大、触角深远的学生信息倒卖黑色产业链。

从已曝光的案件和记者调查来看，这条产业链的规模已远超公众想象——

·四川冕宁案：70余万条学生信息被多次贩卖，信息涵盖学生及家长姓名、联系方式等，涉案人员包括平台工程师、学校副校长、教育咨询机构负责人等。

·四川乐山案：警方查获泄露学生信息90余万条，覆盖全省17个市州，信息维度极为详细，包括姓名、身份证号、户籍及历次模拟考成绩。

·江苏等地案：涉及江苏、广东、浙江等地的超千万条中小学生信息，单条售价从0.5元到十余元不等。

·社交平台交易：有卖家在广州地区一次性兜售近7万条“准备小升初”的学生信息，单价仅0.6元。

四川峨眉山案件揭开了黑产链条的完整样貌。专案组从校外招生团队入手，逐级溯源，最终锁定了一条“学院高层—校内管理员—中间商—校外招生团队”的四级网络。

链条的顶层是眉山某学院招生办主任何某，其将履职过程中合法获取的学生信息泄露给德阳某校招生办主任吴某某，吴某某再中转给中间商黄某某，黄某某加价后转卖给校外招生团队用于电话营销和违规招生。

案发后，犯罪嫌疑人吴某某刻意规避侦查，驾车途经成都环城高速时，故意将作案手机和存储数据的U盘抛入河道，妄图毁灭证据。这种反侦查意识本身说明，涉案者对行为的违法性心知肚明。

山西太原的案件则呈现另一种链条形态。2023年至2025年间，韩某、王某杰等6人利用在教育机构和眼科医院的工作便利，通过购买、交换、收集等方式大量获取多所学校学生信息，再通过网络向多家教培机构工作人员出售，各被告人获利数千元至数万元不等。该案因涉及侵害不特定多数未成年人个人信息权益，检察机关同时提起了刑事附带民事公益诉讼。

链条的更深处，还有运维人员的“监守自盗”。四川凉山警方侦破的一起案件中，涉案程序员彭某利用维护学生信息平台的职务便利，非法窃取70余万条学生信息，通过多层中间商转卖给17省市的培训机构，涉案金额高达400余万元。原始信息以0.5元每条的价格流入市场，经“数据清洗”“效果测试”等专业化处理后，终端售价暴涨至数元甚至更高。

02

“内鬼”为何能屡屡得手？

回顾这些案件，一个共同特征令人警醒：泄露源头几乎都指向“内部人”。教育系统工作人员、平台运维工程师、招生办主任——这些人恰恰是学生信息的合法持有者和“守门人”。

中国政法大学数据法治研究院院长时建中指出，法律对未成年人信息保护本已设置了更高门槛。《个人信息保护法》第二十八条将不满十四周岁未成年人的个人信息列为敏感个人信息，处理须取得监护人单独同意，处理者还须制定专门规则。然而，制度防线为何屡被击穿？

问题首先出在“重采集、轻保护”的惯性思维上。一些教育机构和平台热衷于数字化管理的效率提升，却在权限管理上极为粗放。

彭某案中，平台既未对数据实施最小化授权，也未建立权限审计机制，一个系统维护人员就能导出70余万条信息而无人察觉。河南舞钢市某学校的智慧刷卡计费系统同样暴露了类似问题：数据未加密存储，系统未设置访问控制和安全认证，导致被网络攻击窃取。

更深层的问题在于委托处理环节的监管真空。学校将系统建设运维委托给第三方公司时，合同中往往对数据安全保护义务约定笼统，监督流于形式。当学校自身缺乏数据治理能力，又未能通过合同约束受托方，学生信息就等于被置于一个无人看守的通道中。

还有一个被长期忽视的因素：需求端的驱动。教培机构对“精准营销”的病态依赖，制造了庞大的买方市场。在黑市流通的学生数据超过千万条，涉及江苏、广东、浙江等多地中小学生，单条信息售价0.5元至十余元不等，不法分子为规避监管采用现金交易并借助社交平台引流。

有需求就有供给，有暴利就有人铤而走险。时建中对此的判断一针见血：违法成本必须高于收益，否则灰色交易不可能真正遏制。

03

从“事后追责”到“制度前置”

涉案90余万条信息，依据刑法第二百五十三条之一，属于“情节特别严重”，依法可处三年以上七年以下有期徒刑，并处罚金。教育系统内部人员利用职务便利出售履职中获取的信息，还须从重处罚。法律的惩罚力度不可谓不重。

但事后追责只能惩治已发生的犯罪，无法阻止下一条链条的形成。斩断学生信息倒卖的利益链，需要在制度层面完成从“末端治理”到“源头防护”的转变。

技术层面的“加密预警”是基础。每一次数据导出、拷贝都应全程可追溯，对批量导出等敏感操作实行异常阻断。新华时评对此的概括精准：技术上全程可追溯，管理上限权留痕，从源头上堵住“内鬼”批量外泄数据的漏洞。

制度层面的关键，在于厘清“谁收集、谁保护”的责任链条。学校作为个人信息处理者，即便将技术运维外包，保护义务不能外包。《个人信息保护法》第二十一条要求委托处理必须通过合同约定处理方式和安全措施，委托方须履行监督义务。这一条款在实践中往往被忽视，需要配套统一的合同范本和常态化监督机制。

2026年4月，中央网信办、工业和信息化部、公安部联合启动个人信息保护系列专项行动，将教育领域列为重点行业，聚焦未成年人信息处理规则缺失、网站和App过度收集信息、向第三方提供信息未履行告知同意义务等五大问题。四川省教育系统也在2026年网络安全宣传周期间发布了个人信息保护“十个不”提示卡，明确“不得买卖、交换或向第三方提供师生个人信息”“不存放学籍等重要资料在公共网盘或未加密的云端”。

这些举措的方向是正确的，但专项行动和提示卡终究是阶段性手段。真正需要建立的，是一套嵌入日常管理流程的数据安全制度：教育机构的信息系统应落实分类分级保护，对涉及未成年人敏感信息的操作实行“双人双锁”；委托第三方处理数据时，安全评估和合同约束应成为不可逾越的前置条件；对教培机构获取学生信息的渠道，监管部门应建立常态化的溯源核查机制。

04

守门人守护的不是代码

是千万人的信任

学生信息之所以成为黑市“硬通货”，根源在于它兼具高精度、高需求量和高变现效率三重属性。一个孩子的姓名、班级、家长电话、家庭住址，在招生中介眼中是“精准客源”，在诈骗分子手中则是“作案工具”。当这些信息在地下市场被反复流转，被侵害的不仅是隐私权，更是未成年人的人身安全边界。

治理学生信息倒卖，不能停留在“抓几个内鬼”的层面。只有让制度防线前移到信息采集的那一刻，让每一次数据的流动都有迹可循、有人负责，才能真正扎紧未成年人信息安全的篱笆。