概述

2024年4月29日，美国联邦通信委员会（FCC）对AT&T、T-Mobile、Sprint、Verizon四家运营商开出合计近2亿美元的罚单，理由是它们把用户的实时位置数据卖给第三方，却既没征得同意，也没做基本的审核。运营商不服，官司一路打到最高法院。2026年6月4日，最高法院以8比1裁定FCC有权开这张罚单；9月底，FCC还在拒绝AT&T的退款请求、劝最高法院别再审T-Mobile的案。本文复盘这条从“赏金猎人300美元买定位”到“最高法院终审”的完整链条，以及它给全球通信业留下的合规教训。

目录

• 一、300美元，买一部手机的实时行踪
• 二、数据是怎么漏出去的：一条四层倒卖链
• 三、迟到的罚单：为什么查了六年才开单
• 四、运营商反击：认罚单，但不想付钱
• 五、判决书里的四个行业教训
• 六、给国内同行的对照清单
• 结语

一、300美元，买一部手机的实时行踪

故事的开头不是黑客，而是一个再普通不过的职业群体：保释担保人（bounty hunter）。在美国司法体系里，嫌犯交了保释金后跑路，担保人有权把人抓回来。为了找人，一部分人盯上了手机——不是黑客手段，而是花钱买。

2019年1月，科技媒体Motherboard的调查报道引爆了这个黑产：AT&T、T-Mobile和Sprint的用户实时位置数据，正沿着一条复杂的多层转售链条层层下渗，最终流入至少一名保释担保人手里，而且这种访问已经持续多年，规模以“数百名赏金猎人”计。最有冲击力的一幕是：Motherboard的记者没有动用任何漏洞，直接从黑市渠道花300美元，买到了一部T-Mobile手机在当时所处的实时位置。这笔交易后来还被写进了2019年2月美国众议院的听证材料里，成为国会质询的原始证据。

更沉重的是后果。Motherboard随后的追踪报道证实，黑市上的T-Mobile位置数据与一起三重谋杀案直接相关——凶案地点正是靠这种数据定位到的。也就是说，这条数据链的终点不只是讨债和找人，还有命案。

对干了十几年网络的人来说，这事最刺痛的地方在于：定位一个用户，不需要攻破任何网元。位置信息本来就在网里——手机周期性地跟基站做测量上报、切换、寻呼响应，这些信令在核心网侧沉淀下来的附着小区、经纬度估算，就是行踪本身。运营商自己把它做成了对外售卖的产品，又没管住下游，等于把门从里面打开了。

二、数据是怎么漏出去的：一条四层倒卖链

这条链的结构，和通信行业熟悉的任何一种“能力开放”如出一辙：运营商有资源，聚合商做封装，中间商做分销，末端做应用。问题出在每一层都失去了控制。

flowchart TD
    A["运营商核心网与计费系统<br/>实时生成用户位置"] -->|共享API| B["位置数据聚合商"]
    B -->|层层转售| C["数据中介与二级转售商"]
    C -->|按次出售| D["保释担保人 与 追债人"]
    D -->|黑市流通| E["任何付钱的人<br/>记者花300美元成交"]
    E -->|被用于锁定地点| F["三重谋杀案"]
    A -->|第三方合作缺乏审核| G["FCC认定违反<br/>通信法第222条"]

运营商的说法是：数据只给了少数经过筛选的聚合商，而且用户同意条款里写了。但按后来的调查结论，问题恰恰是“筛选”形同虚设——聚合商把数据转给中间商，中间商再转给谁都不过问。链条越长，末端就越不可控，这和我们在信令互联里反复讲的道理一样：你管理的不是你签合同的对象，而是整条链路。

法律层面的争议核心是《通信法》第222条（Section 222）下的CPNI制度——运营商对客户的网络使用信息负有保密义务。FCC认定，手机位置信息属于受保护范围，运营商“未经同意共享访问权限、且未采取合理措施防止未授权泄露”即构成违规。运营商则主张，第222条保护的只是传统语音业务相关的信息，手机连基站产生的位置数据不在其列——这个口径之争，后来打了整整八年。

还有一点值得注意：四家运营商都声称早在2018年就已停止这类位置数据外售。但“停售”后来被证明不能免除当年的责任，这一点在第五节的教训里还会再讲。

三、迟到的罚单：为什么查了六年才开单

从2018年前后媒体起底、FCC启动调查算起，到2024年4月29日正式开出罚单，这件事拖了六年。FCC在新闻稿里的定性很明确：对四家全国性运营商“非法共享客户位置数据访问权限”的行为合计罚款近2亿美元。其中可查证的单项包括：AT&T被罚超过5700万美元（官方公告的措辞是“未能合理保护客户位置信息”），T-Mobile的罚单为9200万美元（据Broadband Breakfast报道），Sprint与Verizon另有罚单。FCC公告同时附了时任主席Rosenworcel与两位委员Carr、Simington各自的单独声明——这张罚单从出生起就带着内部分歧。

分歧的主角是Carr。他在罚单落地时的立场是：涉案的位置信息不属于第222条覆盖的CPNI，罚款缺乏法律基础。戏剧性的是，2025年他升任FCC主席之后，FCC在他的领导下依然在为这张罚单辩护——他在第五巡回法院的书面说明里解释得很直白：当年他没有读懂法律，是因为“当时还没有任何法院对此表态；此后，两个联邦上诉法院已经权威性地解释了该法条适用于本案”。官僚体系罕见地承认了自己此前的误读。

四、运营商反击：认罚单，但不想付钱

运营商的诉讼策略，概括起来就一句话：认这个事，不认这个价，更不认这个程序。这三年多的拉锯打了三条战线。

timeline
    title 一张罚单的六年拉锯
    2018年 : 媒体曝光倒卖链
    2019年 : 国会听证 FCC随后立案
    2024年4月 : FCC开出近两亿美元罚单 时任委员卡尔投反对票
    2026年6月 : 最高法院8比1裁定FCC有权自罚
    2026年9月 : Verizon翻案被拒 AT&T退款遭驳回
    2026年9月底 : FCC请求最高法院不要再审T-Mobile案

第一条战线：数据算不算受保护信息。 运营商（背后是CTIA行业组织和美国商会）主张位置数据不属于第222条的CPNI。这条战线他们输了两次：哥伦比亚特区和第二巡回上诉法院都认定，手机位置数据受FCC隐私规则保护——法院的原话很接地气，这类信息产生于“手机周期性地连接基站”，而这正是设备“随时能收发电话”的前提，所以它天然与电信服务相关。

第二条战线：罚多少。 T-Mobile提出，即便要罚，FCC的罚款也应封顶在200万美元。FCC的反制逻辑是本案最值得运维人琢磨的一点：每一个第三方合作关系，单独构成一次违规。聚合商不是一个违规，是一条链上的N个违规点，罚单才得以累加到近2亿美元。政府律师在9月30日的答辩中明确表示，这个“按关系数计罚”的解释是合理的，并指责T-Mobile拿一个下级法院没提过的新论点想“咬第二口苹果”。

第三条战线：程序合不合宪。 运营商质疑联邦机构不经陪审团就开出巨额罚款的权力本身。2026年6月4日，最高法院在FCC诉AT&T案中以8比1作出裁定：FCC有权通过自身行政程序对企业处以罚款，无需陪审团——但裁定同时留了一个后门：在司法部起诉强制执行之前，企业并不被强制付款。这个后门直接催生了当前的第三阶段：AT&T转头就要求退还已缴纳的5700万美元，FCC在第五巡回法院的文件里明确拒绝；Verizon要求最高法院进一步审理的请求已在9月被驳回；T-Mobile的类似请求，FCC和司法部9月30日提交了反对意见，目前还在等最高法院的态度。牵头政府方的是总检察长D. John Sauer。

五、判决书里的四个行业教训

复盘整件事，对干网络的人有四条教训值得抄进运维手册。

教训一：每个第三方接口都是一个独立的违规点。 FCC的计罚逻辑——按合作关系数累计——实际上给“能力开放”定了价：你对外开放N条数据链路，就背N份责任。这和核心网对接管理的经验完全一致：每一条偶联、每一个对外API、每一家合作聚合商，都应该有独立的准入评审、独立的责任界定和独立的退出机制。放出去一个接口，就是签下了一份无限连带责任的合同。

教训二：“我早就停了”不能免责。 四家运营商2018年就停了这项业务，罚单2024年才到。违规行为的时间属性是“发生时”而不是“发现时”，更不是“整改时”。对应到日常运维：历史配置、历史日志、历史数据导出记录，都要按违规追溯期去留存——国内《网络安全法》要求日志留存不少于六个月，但合规实务上，涉及敏感数据出境和对外合作的审计留痕，按年计才是安全线。

教训三：数据边界的解释权不在自己手里。 运营商咬了八年的口径——“位置数据不算CPNI”——被两个上诉法院驳回，连当年投反对票的FCC主席都改口为罚单辩护。行业内部的“大家都这么理解”在法官面前一文不值。这给国内同行的提醒很直接：《个人信息保护法》第28条已把行踪轨迹明确列为敏感个人信息，处理它需要单独同意和严格的必要性论证。不要指望“行业惯例”或者“条款里写了”能撑住司法审查。

教训四：最容易漏数据的不是网络，是网络旁边的生意。 这起事件里没有任何一次入侵。漏洞在于B2B的位置类产品——找人、催收辅助、营销定位——把核心网的能力封装成了商品卖给不受控的下游。凡是把用户数据做成营收线的业务，都应该过“法务+安全”双评审；凡是能从网管系统、信令采集层、计费系统批量拉位置数据的中间层，都是“聚合商”式风险的高发区。查漏洞的时候，先看这些管道，再看防火墙。

六、给国内同行的对照清单

把FCC这张罚单的复盘落到国内的工作场景，可以直接转成一张自查清单：

• 对外数据接口盘点：网关、能力开放平台、大数据平台里，凡是输出经纬度、附着小区、LAC/TA的接口，逐一确认下游是谁、合同里怎么约定的二次流转、有没有技术手段阻断转售。
• 授权链路留痕：位置类数据调用要有用户授权和业务必要性的双重留痕，且授权粒度到“单次业务”而不是“一揽子同意”。
• 中间层最小权限：信令采集、DPI、网优平台这类天然接触全量位置数据的系统，账号权限按最小化原则重审，导出行为全量审计。
• B2B业务红线：任何涉及“找人”能力的产品需求，先过法律评审再过技术评审；无法回答“下游拿数据干什么”的业务，直接不做。
• 历史遗留清查：停掉的业务不等于干净的业务，按违规追溯期倒查历史导出记录与合同义务。

结语

这张罚单最耐人寻味的地方，不是金额，而是它的政治学：当初投反对票的委员升任主席后，继续为罚单辩护；换了主席的机构，继续跟自己此前放过水的企业打官司；最高法院8比1的裁决里，唯一明确站在运营商一边的只有一票。八年拉锯下来，机构立场换了，法院的判例没换。对运营商来说，结论已经写死在案卷里：用户的位置是核心网里最贵的数据，贵到每一层转手都在累积罚金，贵到300美元就能要一条人命的用途都不缺买家。管住它，从来不是合规部门一家的事——从信令层到业务层，每一环都算数。

参考来源

1. FCC Fines Largest Wireless Carriers for Sharing Location Data — FCC官方公告页（2024年4月29日），罚单合计近2亿美元、对象与附件清单
2. FCC Fines AT&T $57M for Location Data Violations — FCC对AT&T单笔罚单公告，“未能合理保护客户位置信息”
3. FCC to Supreme Court: Don't Review Location Data Fines Again — Broadband Breakfast（2026年9月30日），T-Mobile翻案、罚款上限之争、Carr立场转变的一手细节
4. Supreme Court Upholds FCC AT&T, Verizon Fines Over Location Data Misuse — SDxCentral，2026年6月4日最高法院8比1裁决报道
5. Black Market T-Mobile Location Data Tied to Spot of a Triple Murder — VICE/Motherboard，黑市定位数据与三重谋杀案的关联调查
6. 众议院能源商业委员会听证材料（2019年2月7日） — 国会记录，载明记者以300美元购得T-Mobile手机实时位置
7. AT&T Paid $57M for Selling Location Data, Now Wants It Back; FCC Says No — TechTimes（2026年9月25日），AT&T退款争议最新进展

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。