支付宝今天爆发了数据泄露丑闻，超过20g的支付数据资料被支付宝前员工从系统中窃取出去，并出售给第三方，后被媒体曝光。

 “支付宝内鬼盗卖用户信息被抓凡客被指是最大买家”相关事件的前后动态：

1，据报道，阿里巴巴旗下支付宝的前技术员工李明，利用工作之便，在2010年分多次在公司后台下载了支付宝用户的资料，资料内容超20G。李明伙同两位同伙，随后将用户信息多次出售予电商公司、数据公司。

2，犯罪嫌疑人张建系李明团伙的第一个“客户”，其以500元的代价，从李明处购得3万条支付宝用户信息。

3，据李明等供述，支付宝用户的最大买家系服装类电商公司凡客诚品，其花重金从李明团伙手中购得支付宝用户资料1000万条。但这个说法没有得到警方的证实。

4， 1月2日晚间，凡客诚品一位副总裁向经济观察报表示：“不太清楚这件事，没听说过。” 如果有需要公司会积极配合调查。

5，张建所购的支付宝用户资料中，包括公民个人的实名、手机、电子邮箱、家庭住址、消费记录等，从这些定位精准的用户信息中，张建掌握了目标消费群体的具体信息。

这已经不是支付宝第一次发生此类事件了，前期谷歌等搜索引擎在网上能搜索到数百万条支付宝用户信息的事情，在引发了一些关注后戛然而止，从此很少被提及，此次用户隐私数据丑闻在支付宝公关部的努力下，也很可能很快远离公众视野，消弭于无形。

支付宝的用户数据包含大量用户隐私，如电话、地址、身份证号、购物习惯、账户余额等。如果这些资料被不法分子掌握，理论上他们可以用来实施很多犯罪行为，威胁到用户个人财务安全。

倒卖用户信息背后的隐秘产业链：做电商就是做数据！

随着电商的发展，客户精准定位越发重要。大多数做电商的人，尤其是做到一定规模的人，都会购买数据。

这些电商从业人员会选择一些付费的“情报工具”，通过搜索引擎、数据库等技术，对淘宝店进行数据分析，比如你店铺的竞争对手做了哪些直通车广告，用了哪些关键词，效果如何，以及行业分析、店铺分析、宝贝分析、买家搜索等，软件都可以提供。通过使用这类软件，电商从业人员可以获取竞争对手的数据，以作为调整营销策略和产品定位的参考依据。

举个例子，比如卖女性内衣的，如果手上有一个数据库，得知喜欢在网上买内衣的女性消费者，她们购物的频次如何，价格区间如何，消费规律如何，喜欢什么品牌等 等，如果知道了这些信息，我就可以提炼出更多的信息，以调整店铺战略。如果再知道了她们的手机号码、电子邮箱、家庭住址等，甚至还可以向她们定向群发短 信、邮件、直邮DM等，她们都是精细化营销的潜在消费者！

李明离职前从支付宝下载的数据多达20G以上，只要通过一些软件录入数据库再予以专业分析的话，基本上可以将所有支付宝、淘宝用户的消费习惯尽收眼底。“这些用户信息，都是可以带来钱的，可以变现的。”

你所不知道的更多内幕：

知名IT人士@Fenng 在知乎上对此次事件爆料：

事情的起因是在去年。年底冲无线 KPI ，外面搞了一家公司，做中间商，冲交易流量… 而后某个环节出问题，被捅出来了。然后查出来一堆人。不知道高一级的管理者要承担责任不。

然后怎么搞出来数据的事情就不得而知了。应该是囚徒困境，互相揭发吧。

数据的事情则是 2010 年就发生了，很巧的是，那段时间我的确听到有朋友跟我说外面有这个数据，但我分析了一下，觉得可能是在 EDM 环节出问题，人都走了，也就不关心这事了。那段时间还是团购网站的数据最热。

因为权限控制问题，销售部门那个时间几乎可以任意调取数据，内审还没上来。据说这个权限控制问题，在 2011 年逐步改进了，当然，到现在应该彻底杜绝掉了，毕竟各个环节的审计都上来了。

当事人其实在阿里年头不短，也算有钱的了。但人心都是贪的啊。哪有止境。

出问题的人不是工程师。

工程师团队还都是挺靠谱的，其实那时尽管有各种针对运维部门的审计工具，但要绕过去还是易如反掌的，只是没人动这个心思。

因为工作关系，我曾经一度能接触到所有数据，真的，所有数据。制度都是针对人的。如果人犯了糊涂，做点手脚，这个真的很难防范。

大公司里面，一定级别的人外面开个公司，然后把市场费用什么的洗走，应该很常见了吧。这种事情永远都不会杜绝。

知名互联网分析师葛甲在其微信公众号上对此表示：

这名前支付宝员工在3年前就开始窃取支付数据，这是孤立行为还是普遍行为，支付宝那些通过了多重安全鉴定的内部管控机制到底能否起作用？

本次数据泄露事件是否如支付宝轻描淡写的那样，仅是违规操作行为，不涉及敏感信息。如果真是这样的话，为什么要动用公安机关抓人。

支付宝在数据泄露事件中要承担什么责任？这么大一个公司，要对自己的行为负责，李某的职务身份是支付宝员工，履行的是公司职责，这个责任不能简单推给个人或是全社会就完事儿了。

被交易的用户数据既然有交易价值，为何支付宝还要死硬抵赖说不涉及用户的敏感信息？什么算敏感信息？那些电商网站买去那些没有人名，没有ip地址、信用卡、身份证的信息回去是要做什么？真的没有敏感信息吗？

既然支付宝已说这些用来交易的用户信息并没有被传到网上，必然是已经弄清了数据流动的一切来龙去脉，为何不公布这些事实真相，并积极检讨自身，而是要努力推卸责任，并东拉西扯把别的企业牵扯进来？

......

事态将会怎么发展，十三将会继续追踪为大家持续报道！

作者：张十三，首发于其微信公众号：IT爆料汇 （自称：小爆）