订单上是虚拟号码，推销电话还是找到了你

在网上买了瓶酒。一周后，电话响了。

「哥，上次买的酒喝着怎么样？我们现在有活动，买二送一，比平台便宜。」

订单上显示的是虚拟号码，他怎么找到你的？

答案是，在地下产业链里，有人专门把平台加密过的订单「解密」。他们把「张**，138**1234，北京市朝阳区**」还原成你的全名、真实手机号和详细地址，再打包卖给需要客户电话的商家。

2026年8月，公安部网安局公布一批侵犯公民个人信息犯罪典型案例，「订单解密」被列为个人信息泄露的典型套路。据新华社报道，四川内江一团伙非法获取公民个人信息200余万条，涉案金额800余万元。2026年6月，5名被告人因犯侵犯公民个人信息罪被判处刑罚，违法所得和作案工具被依法没收。

一张经过加密和脱敏处理的订单，到底是怎么变回明文的？

商家后台，你的订单长什么样

要理解「订单解密」，先得知道平台是怎么保护你的。

2021年，《数据安全法》和《个人信息保护法》先后施行。淘宝、京东、抖音等平台陆续升级订单信息保护措施。商家在后台看到的买家信息是脱敏的，部分平台还提供虚拟号码服务，快递员和商家通过临时号码联系你，真实手机号不再直接展示。

但发货出了问题要沟通，售后也要处理。所以平台会给商家一定数量的「解密额度」，允许商家在额度内查看完整信息，用于正常业务。额度并没有统一数字，会根据平台、店铺规模和买家数量变化。南方都市报采访的商家中，小店每天可能只有十几二十个额度，也有商家每天约有150个额度。

这个设计本身是合理的。问题在于，有些商家想要的不只是「正常业务」。

他们想做「私域」，把买家导到微信里，绕过平台直接复购，不用交佣金；他们想打电话推销，美妆、酒类、母婴，复购率越高的品类，商家越舍得花钱买客户电话。

据央广网报道，有白酒企业一个多月花了2万多元，购买4500多条客户信息。还有企业连续两个月解密12万条订单，花费近40万元。

对这些想批量做电话复购的商家来说，平台给的解密额度远远不够。于是，「订单解密」中介出现了。

商家把订单号和店铺信息发给中介，第二天凌晨收到一张Excel表格，里面全是明文。一条收费2元到8元，量大从优，「先解密后付款，正确率90%以上，包测」。在电商群、短视频私信里，这样的广告并不难找到。

平台的加密保护，就这样被一条地下产业链绕了过去。

解密你的人，是一条产业链

央广网记者在调查内江案时发现，「订单解密」不是某个黑客的单打独斗，背后是一条分工严密的三层产业链。

最上层是「境外机房」。据涉案人员供述，这个境外犯罪集团人员超过百人，物理机房常驻印尼，也会在柬埔寨、缅甸等国之间转移，软件端则由技术人员远程维护接口。办案民警研判，这个「机房」几乎承接了全国过半的订单解密需求，年营业额可能达到上亿元。

中间层是「国内代理」。他们是连接商家和境外机房的枢纽。在内江案中，赵琦和张琴两个前直播带货从业者，在短视频平台私信直播带货商家发广告，有人要解密就把订单汇总转发给上家，上家解密后回传数据包，他们再通过小众聊天软件发给商家。每条订单赚0.1元到0.3元差价，赵琦和张琴的报酬由上家通过虚拟货币结算。据办案民警介绍，其他交易还会使用未经本人实名认证的支付宝收款码，收到款项后48小时内就废弃。

最下层是「商家」。他们是整条链的需求源头，也是最终付费的人。他们在不同中介之间「货比三家」，比谁便宜、比谁当天能返回数据、比谁正确率高。今天发过去当天就回，准确率90%，就用你的。两三天回不来，准确率只有40%，立马换人。

这些中介拿到加密订单后，到底用什么手段还原成明文？公开报道和办案材料显示，常见的路径大致有三种。

第一种是「内鬼」。检察机关披露的一起潍坊案件中，一名快递公司业务员利用职务便利提供后台系统账号，后来又通过多个渠道，从23名物流从业人员手中购买多家快递公司的内部账号。于某等人登录快递系统后台，并用网页和软件批量操作，不到一年非法获取公民个人信息400余万条，非法获利200余万元，最终8人获刑。

第二种是「数据碰撞」。内江案中，境外团伙通过非法渠道购买或窃取电商平台旧数据库，再收集用户头像、平台账号、直播间发言地址和专属参数等信息，与其他平台泄露的数据反向比对，从而拼出订单对应的真实手机号和收货地址。

第三种是「涉案程序」。开发者编写专门工具，与远程服务器通信，获取并解码快递面单数据。这正是奇安信洞鉴在2023年参与办理的一起案件中遇到的手段。

我们拆开了那个程序

奇安信洞鉴曾参与过一起快递面单解密案的电子数据司法鉴定工作，嫌疑人开发了一款工具，能从快递公司服务器获取面单数据并在网上贩卖。

拿到检材硬盘后，我们按规范完成镜像固定，用取证分析系统从镜像中提取出多个可执行文件和系统日志。鉴定围绕三个问题展开：程序干了什么、怎么干的、干了多少。

一、程序行为：它连了谁，传了什么

鉴定人员在隔离的虚拟机环境中运行主程序，并用分析工具全程监控其网络连接、文件操作和进程行为。

监控结果显示，程序启动后主动连接一个远程服务器地址，建立通信并传输数据，同时在本地生成日志文件start_log.txt，记录程序与服务器的通信过程。这份日志很像程序自己写下的「运行日记」，能够帮助鉴定人员看清它怎样与服务器通信。

恶意程序通常会加壳、混淆代码来隐藏真实逻辑，但动态分析的意义在于：代码可以藏，行为藏不住。

二、程序原理：它怎么骗过服务器的

行为监控回答了「程序干了什么」，但要把整个过程讲清楚，还需要回答「它怎么干的」。

我们对程序收发的数据包进行解析，发现其通信模式很明确。程序向服务器发送构造好的请求包，服务器返回快递面单数据，其中包括姓名、电话和地址等信息，程序将数据解码后存储到本地文件。

关键问题在于，服务器为什么会给它返回数据？它通过了什么验证？

我们通过反编译工具对可执行文件进行静态分析，再结合动态监控结果逐段分析程序逻辑，最终确认，该程序在未经授权的情况下伪造身份凭证，使目标服务器将请求识别为合法客户端发出，从而获取并解码快递面单数据。

三、数据规模：31 万条，以及数字怎么站住

我们导入硬盘中的数据库文件，解析库表结构，关联比对订单表与用户表，确认数据库中存储了超过31万条订单信息、6000余条用户信息。

数据库中订单信息的字段结构，与程序数据包中传输的面单数据字段相对应。这就把「程序从服务器获取了什么数据」和「嫌疑人硬盘里存了什么数据」两个环节接到了同一条证据链上。

这些面单信息包含姓名、电话和住址等内容。31万条，单从数量看，已经远超「两高」司法解释列出的「情节特别严重」数量标准。这个数字在法庭上要经得起质询，统计口径和认定标准都要有完整记录，确保可复现、可验证。

对办案机关来说，拆开程序只是其中一步。程序谁开发、服务器谁维护、账号和数据库从哪里来、中间商怎么接单、哪些商家付了钱，还要沿着数据流、资金流和人员关系继续追查。程序、设备、服务器、聊天记录、收款码和虚拟货币流向相互印证，才能把解密源、中间商和信息使用商串起来，完成对整条产业链的打击。

结语

平台在加密，黑产在解密，这场攻防战每天都在发生。

内鬼监守自盗、旧数据库被用于碰撞匹配、涉案程序突破访问控制，手段不断变化，逐利的核心逻辑从未改变。

黑产有技术手段，打击也有对应的技术工具。电子数据司法鉴定的价值，就是把藏在二进制里的非法行为摊在阳光下。程序连了哪台服务器、传输了什么数据、非法获取了多少条信息，即使代码加了壳、痕迹经过伪装，也能通过行为分析、逆向分析和数据比对形成相互印证的证据链，让每一份关键数据都有出处，为每一个涉案环节的法律认定提供技术依据。

奇安信集团旗下有北京、上海、西安三家司法鉴定所：北京网神洞鉴科技有限公司司法鉴定所、上海盘石洞鉴科技有限公司司法鉴定所与陕西西安洞鉴云侦声像资料司法鉴定所。其中，上海所是上海第一家通过 CNAS 认证认可的民营计算机类司法鉴定机构。三所均通过了CMA资质认定，是目前国内少数能够通过自主研发软件进行取证与分析的电子数据司法鉴定机构，具有独立的实验室场所，其中包括：案件受理区、数据恢复区、手机取证区、计算机取证区、屏蔽室、无尘工作间和物证室，并配备多种国内外先进的技术检验及辅助设备。经过多年的时间积累和发展，现拥有一批胜任鉴定工作的专业技术人员，以专业的技能和丰富的经验，来开展声像资料和电子数据司法鉴定工作。开展的鉴定服务范围包括：声像资料鉴定、电子数据司法鉴定、计算机证据固定和获取、手机终端取证与分析、数据恢复、密码破解以及涉及电子设备的民事调查等。