消息称约2400万条Mercari客户资料在暗网出售，真伪及来源未获证实

400美元叫卖2400万条记录，这个价签本身就值得怀疑

10月16日，X平台上出现了声称约2400万条Mercari客户资料被挂上暗网出售的说法，流传的帖子把消息源追溯到Dark Web Informer，并称卖方开价400美元。出售方描述的数据字段包括姓名、地址、电话号码和交易记录，另有转述版本进一步提到电子邮件地址、已完成交易、取消的购买、商品刊登以及收益等维度。

需要强调的是，以上所有字段都只是对卖家说法的转述，并非经过核验的事实清单。而在数据泄露的灰色市场上，400美元对应2400万条记录，这个价格结构本身就相当反常：如果是真实、可验证、字段完整的高价值数据，定价通常不会低到这个量级。价格低廉既可能说明卖家急于出货，也可能说明这批数据的“成色”远不如描述，甚至干脆是拼凑、伪造或早已在圈内流通多次的旧料。

把“叫卖”等同于“泄露”，是公众在面对这类消息时最容易踩的坑。暗网论坛上的挂牌帖没有任何审核机制，任何人都可以宣称自己手里有某家公司几千万条数据，用耸动的数字吸引买家与流量。挂牌本身不是证据，成交也不等于数据真实。

样本、回应、结论，三样都缺，就无法下判断

判断一起疑似数据泄露事件，业内通常看三件事：有没有可独立检验的数据样本，企业方有没有回应，以及有没有第三方安全机构的调查结论。就目前公开的信息看，这三样一样都没有。没有样本比对，就无法确认字段格式是否与Mercari的业务系统匹配；没有官方回应，就无法排除数据来自第三方服务商、历史旧库，甚至与Mercari毫无关系；没有调查结论，任何“确认泄露”的说法都只能算猜测。

因此，现阶段既不能认定这批资料真实存在，也不能认定其来自Mercari，更不能据此断言Mercari的系统发生了资料外泄。对平台而言，面对尚在传播中的传闻，及时的信息披露往往比沉默更有价值——哪怕结论是“暂无证据表明存在泄露”，也能显著压缩谣言的扩散空间。对用户而言，与其抢着给事件定性，不如先守住自己的账号安全底线。

值得留意的是，这类消息的传播路径往往高度相似：一条未经核实的挂牌帖，被资讯聚合账号转述，再被自媒体二次加工，最终形成“XX平台用户数据泄露”的既定印象。真正被满足的，可能只是流量，而非公众的知情权。在样本、回应与调查三者齐备之前，把它当作“待验证的传闻”而非“已发生的事故”，才是更负责任的态度。