1、留学或语言培训机构。很多家长表示，之前从未向任何机构咨询过相关业务，但是去过某家公司后，其他家机构打来的销售电话响个不停。很显然，在信息录入的某一个环节上出现了问题，任何一个能接触到客户的岗位都有可能。

2、学校。某些班级的班主任或者授课老师，甚至负责教务系统的老师会被机构公关。甚至有一些学校领导入股校外培训机构，将学生信息向对方公开。

3、电信运营商。他们根据地区分类将电话号码打包卖给资源方或其他掮客，在北上广深这些留学群体基数大的地区风险最大。另外，那些方便管理、拨打免费的400电话，也有很大的操作漏洞。有些公司通过400咨询来的客户，很有可能转手就被运营商内部人员卖给其他机构。

4、其实ETS和BC也并不完全可靠。很多学生在刚刚报名托福或雅思考试后，就接到了资源方询问留学申请准备情况的电话。

5、作为备受留学机构青睐的异业合作伙伴，银行一直是个人信息外泄的重灾区，尤其是拥有高净值人群的私人银行。某些内部员工会利用登录会员系统的便利性，筛选并调出符合资源方需求的客户信息。

6、一些在搜索引擎有内应的“科技”公司。他们表示，只要通过某搜索引擎的手机端搜索过和留学、出国相关的字眼，系统就可以过滤出访客的手机号码。这项服务按月收费，每月供货三五千条很轻松。

7、网购出国考试培训相关书籍。这类买家的留学意向明显，他们登记的收货地址和手机号是特别有价值的信息。

8、线下活动。在各种国际教育展上，部分机构聘用的兼职为了完成当天任务，与其他公司的兼职互相交换数据。

9、出国考试APP多如牛毛，不管功能丰富还是单一，多数需要手机注册。他们的目的要么是获得联系方式进行销售，要么是对资方拿用户数量、日活讲故事。往往教育公司开发的APP，数据库加密强度薄弱，或者在公司内部技术人员或技术外包人员主观意识下，用户的个人信息也难逃泄露的风险。

二、资源方处于链条中游，负责包装易货。相对于源头，他们更熟悉留学行业的运转模式，更了解机构的畸形需求。

通过向源头获取数据，再由自己的客服部进行高强度的外呼工作，筛选出有价值的信息后，再推送给与其有合作的留学或培训机构。此处不赘述，详情参考我的另外一篇文章《在留学行业，他们比百度更流氓》。

资源方数量虽然不多，但是在这个产业链上影响巨大。MKT保守估算，每年资源方的产值（机构签约额）不下两亿。

在国家加大对信息犯罪打击力度的背景下，资源方前景堪忧。即使有些资源方尝试做校园活动或者百度竞价，以此来规避法律风险，但是因为高企的市场投入让他们难以为继，还是不免走回购买信息的老路。

三、接手资源方推荐生源，留学或语培机构负责应用变现。

和那些将个人信息用于电信诈骗不同的是，留学或语培机构获得的个人信息多用于广告推销。其实，如果机构不能提供靠谱的服务，打着教育的名义浪费学生时间和金钱，这比电信诈骗更可恨。让人揪心的是，现在客户信息已经有流向业外的趋势。一些已签约机构没有利用价值的信息成了电信诈骗的香饽饽，这个群体有不错的家产，比较有想象空间。

在澎湃新闻的报道后，上海新东方随即发了通告。关于这个声明，MKT有几点要讲。

1、这个声明里有一处表述得特别恰当，就是“侵犯客户个人信息”。在刑法中，关于信息犯罪的法律条款曾有过一次修正，修正前此法条罪名为“非法获取公民个人信息罪”，修正后为“侵犯公民个人信息罪”。

从非法获取到侵犯，对犯罪主体的行为有了更多的取证和限制。这是国家对信息犯罪的重视，也是对公民安宁权、隐私权予以保护的极大体现。

2、在顾某的这个案例中，应该审慎区分机构责任和个人责任，以及机构在其间究竟是既得利益的“帮凶”，还是单纯的受害方。

面对澎湃新闻采访，顾某表示这是机构默许的拓展工作资源的方式。上海新东方予以回应：出售客户信息是其个人行为，新东方也是受害者。

真实情况我们不得而知，但是确实有些老板会唆使员工用这个方式开辟市场。如果员工触及刑法高压线，那么老板同样需要承担法律责任。这和《会计法》如出一辙，如果会计协助公司做假账同样会被追责。

3、传播渠道复杂多变，留学机构面临多重困境。市场、销售、教务、前台、老师等，任何一个可以接触到学生信息的岗位都有走在河边的风险。留学机构一方面要严守保护客户隐私的底线，一方面要坚持保障客户服务体验的初衷，另一方面还要疲于应对不法分子不断变换的勾连话术与渠道，权责利如何统一便是摆在机构面前的难题。欲追求客户信息保护的长效机制，须建立各部门共同参与的监管治理模式，严惩从事监守自盗的行为，并从规范自身做起。