2024年4月29日，美国联邦通信委员会（FCC）对AT&T、Verizon、T-Mobile、Sprint四家运营商下达最终处罚令（Forfeiture Order），合计罚款接近2亿美元——理由是运营商多年来通过数据聚合商向第三方出售用户实时位置数据，数据最终流入赏金猎人、诈骗分子甚至家暴者手中。这起案件从2018年美联社调查报道曝光，到罚款落地，整整走了六年。本文以FCC处罚公告与当年的调查报道为主轴，复盘这条位置数据灰色产业链的技术链路：运营商核心网里的定位能力是怎么被封装成API卖出去的，“用户同意”是如何形同虚设的，监管罚单为何迟到六年，以及今天5G时代LCS架构下我们该如何守住定位数据这条红线。
2018年5月，美联社记者Garance Burke和Martha Mendoza发表了一篇后来震动美国电信业的调查报道。报道的核心事实简单到令人不适：不需要法院命令，不需要法官签字，只要花大约150美元，任何人都能在几秒钟内买到一部美国手机当下的实时位置。
买家是谁？报道聚焦的是保释担保行业的“赏金猎人”（bounty hunter）——他们追捕弃保逃跑的嫌疑人，历来需要法院批准才能动用执法手段定位。但在那几年，他们只需要打电话给一家数据中介，报出目标手机号，付钱，拿坐标。
美联社的验证方式相当硬核：记者把一部测试手机放在密苏里州的一片空旷场地，然后委托中介定位。中介通过聚合商调用运营商的位置接口，短时间内返回了精确位置，全程与目标机主没有任何交互——手机没有任何提示，机主毫不知情。报道还确认，AT&T、T-Mobile、Sprint的用户数据经由圣地亚哥的聚合商LocationSmart出口，Verizon则走了佛罗里达的另一家聚合商3Cinteractive。
这还不是孤例。几乎同一时间，《纽约时报》曝光了Securus案：这家给监狱提供通话服务的公司向保释担保人出售“手机定位服务”，一名佛罗里达州前警长曾用它定位了包括现职警长在内的多名执法官员——执法者定位执法者，荒诞感拉满。
压垮骆驼的最后一根稻草来自安全社区：据Motherboard报道，就在曝光后数天内，一名安全研究员发现LocationSmart自己网站上的漏洞，无需用户同意即可定位任意手机，随后该公司紧急下线了线上服务。一家靠“同意校验”吃饭的公司，自己的门户连同意校验都没做，这条产业链的真实水位，至此彻底见底。
很多人以为手机定位是手机自己“交出”GPS坐标。不是。运营商侧的定位是一套独立的能力体系，3GPP里叫LCS（Location Services），它不依赖手机配合，也不需要手机知道。
以当年涉事的2G/3G/4G混合网络为例，一条来自第三方API的定位请求，路径大致是这样的：
flowchart TD
A["第三方应用<br/>或赏金猎人"] --> B["聚合商API<br/>LocationSmart等"]
B --> C["运营商位置网关<br/>GMLC"]
C --> D["核心网定位节点<br/>SMLC或E-SMLC"]
D --> E["无线接入网<br/>基站测量"]
E --> F["返回坐标<br/>经GMLC回传聚合商"]
F --> B
定位方法从粗到细有好几档：最粗的小区号定位（Cell ID，精确到基站覆盖范围，几百米到几公里）；增强小区号（E-CID，加上信号到达角与往返时延）；辅助GPS（A-GNSS，网络把星历推给手机，精度几米到几十米）；以及OTDOA这类基于多基站信号到达时间差的定位。运营商为了满足E911法规——拨打911时必须上报位置——这些能力在网内是常态开启的，这是合法且必要的公共安全投入。
问题就出在“出口”上。运营商把这套网内能力封装成位置网关（LBS Gateway/GMLC对外接口），再以API形式卖给第三方，按次或按月计费。这在商业模式上并非美国独有：道路救援、银行反欺诈（核对交易发生地与手机位置是否一致）、物流车队管理，都是正当场景。聚合商的价值主张是“一次接入，定位全网”——一家API整合四大运营商，这对下游应用商确实有吸引力。
换句话说，定位能力本身是核心网的肌肉，监管并不禁止拥有肌肉，罚的是把肌肉明码标价租给陌生人。
按美国《通信法》第222条，用户实时位置属于CPNI（客户专有网络信息），运营商向第三方提供原则上必须事先获得用户同意。这条法律一直都在，那灰色产业链是怎么长出来的？复盘下来，崩塌发生在四个环节：
第一，同意校验形同虚设。 名义上，定位第三方需要用户确认。实际操作中，“同意”可以由发起方伪造——比如请求者填自己的号码去接收确认短信。对赏金猎人而言，这连障碍都算不上。
第二，下游资质无人审核。 聚合商把API批发给大量下游中介，下游再零售给任何愿意付钱的人。美联社记者以“赏金猎人”身份直接就买到了服务，全程没有资质审查。
第三，审计缺位。 运营商没有对位置API调用做抽样回访——如果随机抽查一批“已同意”的用户，问一句“你知道有人定位过你吗”，这条链路早在2014年就该断掉。事实上，2014年运营商曾在国会质询后承诺“加强同意要求”，但承诺停在纸面上，API照卖。
第四，量级失控。 据后来FCC文件披露，涉案运营商向聚合商出售的位置查询达到海量级别（FCC认定的违规时段横跨多年，具体调用规模以官方文书为准）。当一个数据出口的调用次数以千万计，而验证机制停留在“请求方自证同意”，出事只是时间问题。
更深层的问题是E911悖论：监管强制要求运营商具备高精度定位（为了救人），但没有人同步为“这个能力不能卖给谁”画出同等力度的红线。公共安全能力的商业化边界，最后要靠丑闻来划。
监管处罚并不是曝光后就自动发生的，这个过程值得每一位同行看清——罚单的成色，取决于违规证据在案卷里能不能活过六年。
| 时间 | 事件 |
|---|---|
| 2013-2014年 | 国会质询运营商数据出售行为，运营商承诺收紧同意要求 |
| 2018年5月 | 美联社与《纽约时报》先后曝光赏金猎人与Securus案 |
| 2018年5月 | LocationSmart网站漏洞曝光，紧急下线服务 |
| 2018年6月起 | AT&T、Verizon等相继宣布停止向聚合商出售位置数据 |
| 2020年2月 | FCC下发违法认定书（NAL），拟罚合计约2.4亿美元 |
| 2024年4月29日 | FCC下达最终处罚令，合计罚款接近2亿美元 |
最终处罚令的构成大致如下（金额四舍五入至百万美元，精确数字以FCC文书为准）：
| 运营商 | 最终罚款（约） | 说明 |
|---|---|---|
| AT&T | 5700万美元 | 较2020年拟罚金额大幅核减 |
| Verizon | 4700万美元 | 涉及3Cinteractive等出口 |
| T-Mobile | 8000万美元 | 单笔最大，附带合规整改义务 |
| Sprint | 1200万美元 | 按案发时业务单独处罚 |
三个细节值得咀嚼：
一是罚款打了折。 2020年拟罚约2.4亿美元，最终落地约2亿美元——运营商走完了申辩与谈判程序。监管处罚从来不是开单即终点，这个折扣率本身就是行业博弈的一部分。
二是T-Mobile被按了最重的秤砣。 单笔约8000万美元，而且它的和解令里附带了硬性合规义务：正式通知并切断相关聚合商的通道、提交合规整改方案、明确合规责任人——罚款只是账单，断路器和制度留痕才是罚单的牙齿。
三是责任认定卡在CPNI定位上。 整个案件的法律核心是：运营商明知第三方未获得用户有效同意仍持续供应位置数据，违反第222条的保护义务。换句工程师听得懂的话：出口审计不做了，视同违规。
罚款落地前的六年间，行业侧的整改其实已经在市场压力下先行发生：
渠道层面，从2018年中开始，四大运营商相继宣布终止与位置数据聚合商的业务，原有的“运营商→聚合商→下游中介”三级批发链路被整体拆除。此后美国市场再想通过公开渠道批量购买运营商级实时定位，理论上已无门路——这正是2018年那批曝光报道带来的直接改变。
规则层面，FCC在2023年底通过了强化版数据泄露通报规则：运营商发生涉及CPNI的数据泄露必须在30天内通报受影响用户与FCC，删除了原先“先报FBI”的等待窗口。虽然该规则针对的是泄露场景，与位置出售场景不同，但它标志着CPNI数据事件的监管响应从“年”的单位压缩到“天”。
技术层面，幸存下来的合法位置业务（金融反欺诈、道路救援）普遍被要求收敛到更严格的同意模式与更粗的精度档位。5G时代的LCS架构（3GPP TS 23.273定义的5GC定位模块，LMF替代了旧架构中的E-SMLC）在设计上给了运营商更细的粒度控制——哪些AMF/网元可以发起定位、面向哪类外部客户端开放、精度降到哪一档，都可以做成策略。能力更细了，问题依旧只有一个：策略卖给谁、谁来审。
2024年之后，“盐台风”事件再度把美国运营商的数据安全推上风口浪尖，FCC对运营商数据保护义务的执法姿态明显趋硬。回头看，2024年这张两亿罚单更像是整个行业数据治理转向的起点而非终点。
这起案件对中国通信工程师同样有直接参考价值——不是因为我们有同样的商业模式，而是因为同样的能力、同样的架构就部署在我们的核心网里。
第一，高敏能力做API出口，默认对方是恶意的。 定位、鉴权、通话详单，这三类能力一旦做成API，威胁模型就必须按“请求方伪造一切”来设计。同意校验必须是用户主动发起、且与业务场景绑定的（比如用户自己在应用里点“同意本次定位”），绝不能接受请求方代为出示同意。
第二，出口要有采样审计，频次比想象中重要。 FCC案卷里最刺眼的事实是：六年里没有任何一家运营商对“已同意”做抽样回访。对网内位置网关类网元做定期审计抽样，成本远低于一张两亿美元的罚单，更远低于品牌信誉。
第三，法律定性决定生死。 在我们的监管框架下，《个人信息保护法》将行踪轨迹明确列为敏感个人信息，处理需取得单独同意——换句话说，美国这起案件里运营商踩的那些坑，在我们这里对应的违法成本更高。做数据出口设计时，法务定级要前置到架构评审阶段，而不是出事后补。
第四，对内capability与对外commercial要分账。 E911类公共安全定位能力与商业定位API必须是两套策略域：前者网内闭环，后者最小化精度、最小化频次、最小化留存。混在一起部署的后果，2018年的美国同行已经用六年时间替我们演示过了。
150美元买一个位置，这个价格之所以成立，是因为四大运营商的核心网都在为它供货；罚单落地用了六年，是因为违规的证据链比补丁打得快。今天，5G核心网里的定位能力比2018年更精细、接口更开放、调用更频繁——能力进化的每一寸，都意味着治理必须同样进化一寸。对运维人来说，这张两亿美元的账单最值钱的部分不是金额，而是那句朴素的教训：网络里最危险的漏洞，从来不在协议里，在“我们默认对方是好人”的架构假设里。
注：本文罚款金额按FCC 2024年4月最终处罚令四舍五入至百万美元，精确到美元的金额以FCC官方文书为准。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。