某会员制电商数据库遭未授权访问，超百万条收货信息被挂售

问题并不在支付系统，而是出在一个被遗忘的旧版订单查询接口。按照平台说明，该接口在迁移后长期未下线，且只依赖一个顺序可枚举的订单编号作为访问凭证，没有做登录态与服务端权限二次校验。

这意味着攻击者不需要拿到任何账号密码，只要按规则生成编号，就能批量读取订单中的收货人信息。这类「越权读取」是数据泄露中最被低估的一类成因，它不依赖漏洞利用工具，也很难在业务日志中被第一时间察觉。

很多人认为「只有地址和电话，问题不大」。但收货信息恰恰是精准诈骗最有效的原料：不法分子可以准确报出你最近购买的商品、下单时间与收货地址，从而大幅提升假客服话术的可信度。

在本次事件中，已经出现用户反映收到自称「平台售后」的来电，能够完整复述订单信息并要求下载「理赔」应用。这就是典型的「数据泄露 → 精准诈骗」链条。