摘要：
学校“内鬼”倒卖学生信息，120万条数据贱卖成商品，孩子姓名住址全泄露，家长被骚扰电话逼到崩溃，谁来堵住伸向孩子的黑手江苏的刘先生晚上8点正陪着上初中的儿子写作业，手机响了。 接起... 学校“内鬼”倒卖学生信息，120万条数据贱卖成商品，孩子姓名住址全泄露，家长被骚扰电话逼到崩溃，谁来堵住伸向孩子的黑手
江苏的刘先生晚上8点正陪着上初中的儿子写作业，手机响了。 接起来对方张嘴就是：“你好，我们是教培机构的，请问您是小刘的家长吗？ ”刘先生回了句“不需要”就挂了。 他不知道的是，就在同一时间，某教培机构的外呼基地里，十几名推销员正拿着名单挨个打电话，名单上的信息精准到了孩子是哪个班的。
刘先生想不通一件事：自己只在学校登记过联系方式，教培机构到底是怎么拿到的？
说实话，这事儿不光是刘先生一个人想不通。 2026年以来，四川、山西等地公安机关接连破获非法倒卖学生信息大案，累计超过120万条学生和家长信息被泄露、倒卖。 今天咱们就来拆一拆，这条黑色产业链到底是怎么转起来的。
一条学生信息，黑市上值多少钱？
先看价格。
“新华视点”记者调查发现，有中介宣称手里有20万条学生信息，5万条以下每条0.5元，买5万条以上还能“买一送一”，并且声称“保证准确度”。
这还不是最低的。 成都一起案件中，一名不法分子把1万余条中小学生信息，以每条0.2元到0.25元的价格卖给培训机构，获利4000元。
那精准数据呢？ 有教培机构老板透露，“最新的数据一条十二三元”。
你算算这个账：一个学生从小学到高中，姓名、班级、家长电话、家庭住址、甚至身份证号全被人扒得干干净净，在黑市上最低只卖两毛钱。 但到了教培机构手里，这条信息能换来一通推销电话、一次试听课邀约、一单几千块的课程。
更让人不安的是，黑市流通的学生数据远不止这120万条。 有调查报道显示，教培行业已成为学生信息泄露高发领域，在黑市流通的学生数据超过千万条。 一名长期从事全国学生数据倒卖的贩子告诉记者，截至2026年4月，在读学生数据有3000多万条。
3000多万条是什么概念？ 相当于每几个中小学生里，就有一个人的信息在黑市上躺着。
谁在卖？ 学校里的“自己人”
这些信息从哪儿来的？
四川峨眉山警方破获的那起案子，把链条摸得清清楚楚。 2026年4月，峨眉山市公安局接到群众举报，说辖区有校外招生团队非法持有学生信息、搞违规招生扰民活动。 民警突击清查，现场查获纸质学生信息资料300余份。 一审讯，招生团伙全部数据都是从德阳某校工作人员那里非法获得的。
顺着这条线往上追，警方查到了中间商黄某某，再往上，上线是德阳某校招生办主任吴某某。
最终，四川省公安厅统筹德阳、眉山、成都多地警方，全链条摧毁了一条“学院高层—校内管理员—中间商—校外招生团队”的四级黑色产业网络，抓获涉案人员5名，封存涉案学生信息90余万条。 -
注意这个链条的结构。 最上面是学校管理层，手里有权限，能批量导出数据；中间是校内管理员，负责中转分享；再往下是中间商，层层加价往外卖；最底下是校外招生团队，拿着名单挨个打电话。
每一环都是“自己人”。 学校领导、招生办的人、在校老师，这些家长最信任的人，恰恰就是把孩子信息卖出去的人。
山西太原的案子更直接。 太原网安部门侦破两起“教师内鬼”案，犯罪嫌疑人康某、苏某是某学校初三教师，利用职务便利从学校联络工作群违规下载中小学生个人信息，私自存到个人电脑，累计非法向他人提供学生信息30万余条。 -
还有一名高三教师李某，为了赚外快，主动联系多名不同学校的教师，以不正当手段获取学生姓名、学校、年级、家长联系方式等信息8600余条，非法获利多少呢？ 2000元。 -
8600多条信息，卖了2000块。 平均一条两毛三。
谁在买？ 教培机构的“刚需”
信息卖出去，谁接盘？
答案是教培机构和招生中介。 有教培机构一年花上百万买数据，这在行业里不算什么秘密。
“精准数据的价格就比较高了，最新的数据一条十二三元。 ”有教培机构老板刚卖了50万条小学生的数据，又打算6万元卖出13万条初三学生信息。
你看，教培机构自己也在倒卖。 买进来自己用，用完了再转手卖出去，一鱼两吃。
更让人无语的是，培训机构之间还会互相交换用户数据。 山西太原一起案件中，部分教育培训机构员工为招揽生源，向其他培训机构的员工购买学生信息，包括姓名、就读学校与年级、住址、家长电话号码，在行业内转手倒卖牟利。 -
说白了，整个行业形成了一个“共享池”——你家的学生信息给我，我家的给你，大家一起打电话。
有教培机构老板甚至传授“规避风险”的经验：“数据我只要电话，只传手机号就不会被追责。 ”但律师说得很清楚：手机号能识别特定自然人，也属于个人信息。
孩子信息被卖了，后果有多严重？
有家长说，初三寒假开始，每天接到十几个招生骚扰电话，对方能准确说出孩子姓名、班主任是谁、各科分数。 黑名单里存了一两百个号码，正常生活被彻底打乱。
这还不是最坏的。
包含未成年人身份信息、家长联系方式、具体家庭住址的数据在地下黑市流传，最可怕的是被诈骗团伙盯上。 已有不法分子冒充“学校教务处”“教育局”，以发放教育补贴为名，诱骗家长转账。
你想想，一个电话打过来，对方能报出你孩子的全名、班级、学校，说“教育局有一笔补贴需要家长提供银行卡号”——多少家长能反应过来这是诈骗？
为什么屡禁不止？ 三个字：太便宜了
从法律角度看，这事儿其实红线划得很清楚。
根据两高司法解释，非法获取、出售或者提供公民个人信息，达到“情节特别严重”标准的，处三年以上七年以下有期徒刑。 什么算“情节特别严重”？ 姓名、电话等基础识别信息5万条以上就够了。
90余万条，远远超过5万条的标准。 30万余条，同样超了。 而且“内鬼”利用职务便利出售信息，依法从重处罚。
但问题在哪儿？ 违法成本跟获利不成正比。
山西那名高三教师李某，8600多条信息才卖了2000块。 四川凉山案中，平台工程师彭某用职务便利把70余万条学生信息以43万元卖出。 凉山案件的判决结果是：徐某、杨某被判有期徒刑三年，缓刑三年，分别处罚金8.5万元、4.5万元。 -
缓刑。 人没进去。
当然，2026年最高法发布了依法惩治侵犯公民个人信息犯罪典型案例，明确对行业“内鬼”从重惩处。 陈某某利用职务便利获取公民个人信息出售，被判有期徒刑三年八个月，并处罚金二十万元，同时判令支付公益损害赔偿金二十万元，在国家级媒体上公开赔礼道歉。
方向是对的。 但从整体来看，大量案件仍然以缓刑、低额罚金收场。 卖几十万条信息赚几万块，判个缓刑，罚点钱——这笔账，怎么算都划算。
学校的数据管理，形同虚设
还有一个绕不开的问题：学校的信息安全，到底有没有人在管？
2026年8月，河南商丘网警在日常工作中发现，辖区内某学校的网络服务器开放高危端口，疑似持续遭受网络攻击。 一查，防护措施缺失、网络日志缺位、安全管理制度基本没有。 -
2026年5月，甘肃兰州网警发现当地某高校服务器被远程植入挖矿木马，恶意程序已经横向扩散到多台办公设备。 原因是学校没做内部网络隔离，也没采取有效安全防范措施。 -
这些还是外部攻击的案例。 而“内鬼”作案更简单——不需要攻破防火墙，直接用职务权限导出就行。
四川峨眉山案中，招生办主任吴某某利用职务之便批量导出数据，校内管理员负责中转分享。 整个过程中，没有权限管控拦住他，没有异常操作预警提醒任何人，也没有审计日志记录他做了什么。 90余万条信息就这么出去了。
有信息安全从业者说得很直白：很多学校的学生信息管理系统，权限设置就是“要么全有，要么全无”。 招生办的人能看所有学生的信息，年级主任能看全年级的，班主任能看全班加隔壁班的。 导出数据没有任何限制，批量复制没有任何留痕。
说白了，门是敞开的。 谁想拿，谁就能拿。
已经在做的事
2026年4月，中央网信办、工信部、公安部联合启动个人信息保护系列专项行动，教育领域被列为重点治理对象。 治理的问题包括：教育机构过度收集位置、学籍、家长身份证号、联系方式等信息；处理不满十四周岁未成年人信息未取得监护人同意；未建立个人信息保护管理制度等。
2026年7月，中央网信办又部署了为期4个月的“清朗·未成年人网络保护”专项行动。
方向是明确的。 但家长最关心的那个问题还没解决：孩子的信息，到底还有没有人在管？
山西太原一起案件中，涉案人员为了销毁证据，把U盘、手机、电脑硬盘打包丢进了河里。 警方是从河底把这些东西捞上来的。
你想想，这些人明知道自己在干什么，明知道这是犯罪。 但他们还是干了。 因为来钱太快，代价太小。
而那些被卖了两毛钱一条的孩子信息，此刻可能正躺在某个外呼基地的电脑屏幕上。 下一个电话，就打给你。
