一次免费下载暴露了同事的行踪

保护记者委员会（CPJ）的一份新特别报告开篇就举了一个触目惊心的例子，说明在线广告带来的随意大规模监控已经发展到何种程度。记者尼古拉斯·博杜（Nicolas Baudoux）在比利时报纸《回声报》（L'Echo）工作，他分文未付就获取了一名同事的位置数据。一家总部位于美国的数据经纪商提供了仅覆盖2025年两周时间的移动设备跟踪数据，据CPJ称，这些信息的详细程度足以还原该同事去过哪些地方。

这个例子并非孤立的噱头。它说明了CPJ在整份报告中反复强调的一个更大的问题：建立在持续收集普通智能手机位置、应用使用和行为数据基础上的商业广告生态系统，已经创造出一套基础设施，可以同样轻松地被用来对付记者、编辑及其消息来源。

为什么广告生态系统构成监控风险

在线广告依赖一条庞大且几乎不可见的数据收集管道运转。每当手机连接到一个应用、一个实时竞价系统或一项基于位置的服务，就可能产生一个数据点，被记录、打包并出售。数据经纪商将来自众多不同应用和服务的数据点聚合起来，然后转售，往往对买家身份或其使用信息的用途几乎没有限制。

CPJ的调查基于对专家的采访，专家们解释了这在两个主要方面给记者带来风险。首先，在恶劣环境中工作或流亡的记者，可以通过广告商用于投放定向广告的同一商业数据流被追踪。其次，由于这些数据通过商业市场而非法律程序流转，因此可以绕过许多保护措施——如果政府机构试图直接从手机运营商或科技公司获取相同信息，这些保护措施本应适用。

报告还强调了这一问题的跨国维度。一名在某个国家报道的记者，可以通过从完全不同的司法管辖区的经纪商处购买的数据被追踪，这使得适用当地隐私法或新闻自由保护变得更加复杂。CPJ指出，现有法律框架未能跟上这类数据跨境流动和所有权变更的容易程度。

保护措施的空白与未来之路

CPJ报告中较为令人警醒的一点是，目前围绕这类数据交易的有效法律护栏少之又少。经纪商收集的许多信息被视为商业产品而非敏感个人数据，这意味着它们往往逃脱了适用于政府监控请求的那类法律审查。CPJ的专家还对人工智能工具如何使分析和交叉引用这些数据集变得更加容易表示担忧，这可能会加速大规模识别和追踪单个记者的能力。

这并非纯粹的欧洲问题或纯粹的美国问题。由于数据经纪商在国际范围内运营并向广泛的买家出售数据，报告中描述的风险延伸到在世界任何地方报道腐败、冲突或威权政府的记者。记者的位置历史一旦可供购买，就不受国界约束。

美国立法者已经开始注意到更广泛的数据经纪商问题，尽管回应尚未完全跟上CPJ所描述的规模。例如，伯切特众议员的H.R. 9800法案针对数据经纪商的一个特定漏洞，该漏洞此前允许政府机构购买本需搜查令才能获取的数据。虽然该法案聚焦于政府购买而非向任何买家的商业转售，但它反映了两党日益增长的共识：数据经纪商行业需要更清晰的规则。

这对你意味着什么

你不需要是记者也会受到影响。CPJ所描述的同一广告数据管道，会从任何携带装有定位服务和广告支持应用的智能手机的人那里收集信息。如果一个数据经纪商可以免费出售一名记者两周的行踪，那么类似的数据很可能也存在于数百万普通用户身上，只要有买家愿意出钱。

对记者而言，这份报告提醒人们，行动安全现在必须考虑商业监控，而不仅仅是直接的政府监控。减少暴露意味着要谨慎决定哪些应用有权访问位置信息，使用注重隐私的浏览器和搜索工具，并理解广告支持的免费应用往往伴随着隐藏的数据成本。

你可以付诸行动的建议

首先审查手机上有哪些应用有权访问你的精确位置，并撤销那些不需要定位即可运行的应用的访问权限。考虑使用信誉良好的VPN，配合强化隐私设置的浏览器，从源头上限制广告商和经纪商能收集多少跟踪数据。从事敏感报道的记者应假设商业数据经纪商——不仅仅是政府机构——是现实的监控途径，并应将其纳入与消息来源和同事沟通方式的考量中。最后，关注旨在堵住数据经纪商漏洞的立法努力，因为公众压力和意识往往是推动这些法案前进的动力。