## 概述 2024年4月29日，美国联邦通信委员会（FCC）对AT&T、T-Mobile、Sprint、Verizon四家运营商开出合计近2亿美元的罚单，理由是它们把用户的实时位置数据卖给第三方，却既没征得同意，也没做基本的审核。运营商不服，官司一路打到最高法院。2026年6月4日，最高法院以8比1裁定FCC有权开这张罚单；9月底，FCC还在拒绝AT&T的退款请求、劝最高法院别再审T-Mobile的案。本文复盘这条从“赏金猎人300美元买定位”到“最高法院终审”的完整链条，以及它给全球通信业留下的合规教训。 ## 目录 - 一、300美元，买一部手机的实时行踪 - 二、数据是怎么漏出去的：一条四层倒卖链 - 三、迟到的罚单：为什么查了六年才开单 - 四、运营商反击：认罚单，但不想付钱 - 五、判决书里的四个行业教训 - 六、给国内同行的对照清单 - 结语 ## 一、300美元，买一部手机的实时行踪 故事的开头不是黑客，而是一个再普通不过的职业群体：保释担保人（bounty hunter）。在美国司法体系里，嫌犯交了保释金后跑路，担保人有权把人抓回来。为了找人，一部分人盯上了手机——不是黑客手段，而是花钱买。 2019年1月，科技媒体Motherboard的调查报道引爆了这个黑产：AT&T、T-Mobile和Sprint的用户实时位置数据，正沿着一条复杂的多层转售链条层层下渗，最终流入至少一名保释担保人手里，而且这种访问已经持续多年，规模以“数百名赏金猎人”计。最有冲击力的一幕是：Motherboard的记者没有动用任何漏洞，直接从黑市渠道花**300美元**，买到了一部T-Mobile手机在当时所处的实时位置。这笔交易后来还被写进了2019年2月美国众议院的听证材料里，成为国会质询的原始证据。 更沉重的是后果。Motherboard随后的追踪报道证实，黑市上的T-Mobile位置数据与一起**三重谋杀案**直接相关——凶案地点正是靠这种数据定位到的。也就是说，这条数据链的终点不只是讨债和找人，还有命案。 对干了十几年网络的人来说，这事最刺痛的地方在于：**定位一个用户，不需要攻破任何网元**。位置信息本来就在网里——手机周期性地跟基站做测量上报、切换、寻呼响应，这些信令在核心网侧沉淀下来的附着小区、经纬度估算，就是行踪本身。运营商自己把它做成了对外售卖的产品，又没管住下游，等于把门从里面打开了。 ## 二、数据是怎么漏出去的：一条四层倒卖链 这条链的结构，和通信行业熟悉的任何一种“能力开放”如出一辙：运营商有资源，聚合商做封装，中间商做分销，末端做应用。问题出在每一层都失去了控制。 ```mermaid flowchart TD A["运营商核心网与计费系统
实时生成用户位置"] -->|共享API| B["位置数据聚合商"] B -->|层层转售| C["数据中介与二级转售商"] C -->|按次出售| D["保释担保人 与 追债人"] D -->|黑市流通| E["任何付钱的人
记者花300美元成交"] E -->|被用于锁定地点| F["三重谋杀案"] A -->|第三方合作缺乏审核| G["FCC认定违反
通信法第222条"] ``` 运营商的说法是：数据只给了少数经过筛选的聚合商，而且用户同意条款里写了。但按后来的调查结论，问题恰恰是“筛选”形同虚设——聚合商把数据转给中间商，中间商再转给谁都不过问。链条越长，末端就越不可控，这和我们在信令互联里反复讲的道理一样：**你管理的不是你签合同的对象，而是整条链路**。 法律层面的争议核心是《通信法》第222条（Section 222）下的CPNI制度——运营商对客户的网络使用信息负有保密义务。FCC认定，手机位置信息属于受保护范围，运营商“未经同意共享访问权限、且未采取合理措施防止未授权泄露”即构成违规。运营商则主张，第222条保护的只是传统语音业务相关的信息，手机连基站产生的位置数据不在其列——这个口径之争，后来打了整整八年。 还有一点值得注意：四家运营商都声称**早在2018年就已停止**这类位置数据外售。但“停售”后来被证明不能免除当年的责任，这一点在第五节的教训里还会再讲。 ## 三、迟到的罚单：为什么查了六年才开单 从2018年前后媒体起底、FCC启动调查算起，到2024年4月29日正式开出罚单，这件事拖了六年。FCC在新闻稿里的定性很明确：对四家全国性运营商“非法共享客户位置数据访问权限”的行为合计罚款**近2亿美元**。其中可查证的单项包括：AT&T被罚**超过5700万美元**（官方公告的措辞是“未能合理保护客户位置信息”），T-Mobile的罚单为**9200万美元**（据Broadband Breakfast报道），Sprint与Verizon另有罚单。FCC公告同时附了时任主席Rosenworcel与两位委员Carr、Simington各自的单独声明——这张罚单从出生起就带着内部分歧。 分歧的主角是Carr。他在罚单落地时的立场是：涉案的位置信息不属于第222条覆盖的CPNI，罚款缺乏法律基础。戏剧性的是，2025年他升任FCC主席之后，FCC在他的领导下**依然在为这张罚单辩护**——他在第五巡回法院的书面说明里解释得很直白：当年他没有读懂法律，是因为“当时还没有任何法院对此表态；此后，两个联邦上诉法院已经权威性地解释了该法条适用于本案”。官僚体系罕见地承认了自己此前的误读。 | 时间 | 事件 | 依据 | | --- | --- | --- | | 2018年前后 | 媒体起底位置数据倒卖链，调查启动 | FCC称调查至少可追溯到2018年 | | 2019年1月 | Motherboard曝光赏金猎人可购实时定位，记者花300美元买到T-Mobile手机位置 | Motherboard调查、众议院听证材料 | | 2019年2月 | 众议院举行听证会，FCC随后立案 | 国会记录 | | 2024年4月29日 | FCC对四家运营商开出合计近2亿美元罚单 | FCC官方公告 | | 2026年6月4日 | 最高法院8比1裁定FCC有权以行政程序罚款 | FCC诉AT&T案 | | 2026年9月 | Verizon再审请求被拒；AT&T退款要求遭FCC拒绝 | 行业媒体、法院文件 | | 2026年9月30日 | FCC与司法部请求最高法院不再受理T-Mobile翻案 | Broadband Breakfast | ## 四、运营商反击：认罚单，但不想付钱 运营商的诉讼策略，概括起来就一句话：**认这个事，不认这个价，更不认这个程序**。这三年多的拉锯打了三条战线。 ```mermaid timeline title 一张罚单的六年拉锯 2018年 : 媒体曝光倒卖链 2019年 : 国会听证 FCC随后立案 2024年4月 : FCC开出近两亿美元罚单 时任委员卡尔投反对票 2026年6月 : 最高法院8比1裁定FCC有权自罚 2026年9月 : Verizon翻案被拒 AT&T退款遭驳回 2026年9月底 : FCC请求最高法院不要再审T-Mobile案 ``` **第一条战线：数据算不算受保护信息。** 运营商（背后是CTIA行业组织和美国商会）主张位置数据不属于第222条的CPNI。这条战线他们输了两次：哥伦比亚特区和第二巡回上诉法院都认定，手机位置数据受FCC隐私规则保护——法院的原话很接地气，这类信息产生于“手机周期性地连接基站”，而这正是设备“随时能收发电话”的前提，所以它天然与电信服务相关。 **第二条战线：罚多少。** T-Mobile提出，即便要罚，FCC的罚款也应封顶在200万美元。FCC的反制逻辑是本案最值得运维人琢磨的一点：**每一个第三方合作关系，单独构成一次违规**。聚合商不是一个违规，是一条链上的N个违规点，罚单才得以累加到近2亿美元。政府律师在9月30日的答辩中明确表示，这个“按关系数计罚”的解释是合理的，并指责T-Mobile拿一个下级法院没提过的新论点想“咬第二口苹果”。 **第三条战线：程序合不合宪。** 运营商质疑联邦机构不经陪审团就开出巨额罚款的权力本身。2026年6月4日，最高法院在FCC诉AT&T案中以**8比1**作出裁定：FCC有权通过自身行政程序对企业处以罚款，无需陪审团——但裁定同时留了一个后门：在司法部起诉强制执行之前，**企业并不被强制付款**。这个后门直接催生了当前的第三阶段：AT&T转头就要求退还已缴纳的5700万美元，FCC在第五巡回法院的文件里明确拒绝；Verizon要求最高法院进一步审理的请求已在9月被驳回；T-Mobile的类似请求，FCC和司法部9月30日提交了反对意见，目前还在等最高法院的态度。牵头政府方的是总检察长D. John Sauer。 | 争议焦点 | 运营商阵营立场 | FCC与法院立场 | | --- | --- | --- | | 位置数据是否受第222条保护 | 仅传统语音类信息属CPNI | 手机连基站产生的位置即受保护，两所上诉法院均确认 | | 罚款金额上限 | 应封顶200万美元 | 每个第三方关系各算一次违规，累计近2亿合理 | | 行政罚款程序合宪性 | 无陪审团的巨额罚款违宪 | 最高法院8比1：FCC可自罚，收款须司法部起诉 | | 历史责任 | 2018年已停售，旧账应清 | 停售不免除当年违规责任 | | 已缴罚款 | 要求退还 | 明确拒绝，正在第五巡回法院抗辩 | ## 五、判决书里的四个行业教训 复盘整件事，对干网络的人有四条教训值得抄进运维手册。 **教训一：每个第三方接口都是一个独立的违规点。** FCC的计罚逻辑——按合作关系数累计——实际上给“能力开放”定了价：你对外开放N条数据链路，就背N份责任。这和核心网对接管理的经验完全一致：每一条偶联、每一个对外API、每一家合作聚合商，都应该有独立的准入评审、独立的责任界定和独立的退出机制。放出去一个接口，就是签下了一份无限连带责任的合同。 **教训二：“我早就停了”不能免责。** 四家运营商2018年就停了这项业务，罚单2024年才到。违规行为的时间属性是“发生时”而不是“发现时”，更不是“整改时”。对应到日常运维：历史配置、历史日志、历史数据导出记录，都要按违规追溯期去留存——国内《网络安全法》要求日志留存不少于六个月，但合规实务上，涉及敏感数据出境和对外合作的审计留痕，按年计才是安全线。 **教训三：数据边界的解释权不在自己手里。** 运营商咬了八年的口径——“位置数据不算CPNI”——被两个上诉法院驳回，连当年投反对票的FCC主席都改口为罚单辩护。行业内部的“大家都这么理解”在法官面前一文不值。这给国内同行的提醒很直接：《个人信息保护法》第28条已把**行踪轨迹**明确列为敏感个人信息，处理它需要单独同意和严格的必要性论证。不要指望“行业惯例”或者“条款里写了”能撑住司法审查。 **教训四：最容易漏数据的不是网络，是网络旁边的生意。** 这起事件里没有任何一次入侵。漏洞在于B2B的位置类产品——找人、催收辅助、营销定位——把核心网的能力封装成了商品卖给不受控的下游。凡是把用户数据做成营收线的业务，都应该过“法务+安全”双评审；凡是能从网管系统、信令采集层、计费系统批量拉位置数据的中间层，都是“聚合商”式风险的高发区。查漏洞的时候，先看这些管道，再看防火墙。 ## 六、给国内同行的对照清单 把FCC这张罚单的复盘落到国内的工作场景，可以直接转成一张自查清单： - **对外数据接口盘点**：网关、能力开放平台、大数据平台里，凡是输出经纬度、附着小区、LAC/TA的接口，逐一确认下游是谁、合同里怎么约定的二次流转、有没有技术手段阻断转售。 - **授权链路留痕**：位置类数据调用要有用户授权和业务必要性的双重留痕，且授权粒度到“单次业务”而不是“一揽子同意”。 - **中间层最小权限**：信令采集、DPI、网优平台这类天然接触全量位置数据的系统，账号权限按最小化原则重审，导出行为全量审计。 - **B2B业务红线**：任何涉及“找人”能力的产品需求，先过法律评审再过技术评审；无法回答“下游拿数据干什么”的业务，直接不做。 - **历史遗留清查**：停掉的业务不等于干净的业务，按违规追溯期倒查历史导出记录与合同义务。 ## 结语 这张罚单最耐人寻味的地方，不是金额，而是它的政治学：当初投反对票的委员升任主席后，继续为罚单辩护；换了主席的机构，继续跟自己此前放过水的企业打官司；最高法院8比1的裁决里，唯一明确站在运营商一边的只有一票。八年拉锯下来，机构立场换了，法院的判例没换。对运营商来说，结论已经写死在案卷里：**用户的位置是核心网里最贵的数据，贵到每一层转手都在累积罚金，贵到300美元就能要一条人命的用途都不缺买家**。管住它，从来不是合规部门一家的事——从信令层到业务层，每一环都算数。 ## 参考来源 1. [FCC Fines Largest Wireless Carriers for Sharing Location Data](https://www.fcc.gov/document/fcc-fines-largest-wireless-carriers-sharing-location-data) — FCC官方公告页（2024年4月29日），罚单合计近2亿美元、对象与附件清单 2. [FCC Fines AT&T $57M for Location Data Violations](https://www.fcc.gov/document/fcc-fines-att-57m-location-data-violations) — FCC对AT&T单笔罚单公告，“未能合理保护客户位置信息” 3. [FCC to Supreme Court: Don't Review Location Data Fines Again](https://broadbandbreakfast.com/fcc-to-supreme-court-dont-review-location-data-fines-again/) — Broadband Breakfast（2026年9月30日），T-Mobile翻案、罚款上限之争、Carr立场转变的一手细节 4. [Supreme Court Upholds FCC AT&T, Verizon Fines Over Location Data Misuse](https://www.sdxcentral.com/news/supreme-court-upholds-fcc-att-verizon-fines-over-location-data-misuse/) — SDxCentral，2026年6月4日最高法院8比1裁决报道 5. [Black Market T-Mobile Location Data Tied to Spot of a Triple Murder](https://www.vice.com/en/article/black-market-tmobile-phone-location-data-bounty-hunter-murder/) — VICE/Motherboard，黑市定位数据与三重谋杀案的关联调查 6. [众议院能源商业委员会听证材料（2019年2月7日）](https://www.congress.gov/116/meeting/house/108845/documents/HHRG-116-IF16-20190207-SD007.pdf) — 国会记录，载明记者以300美元购得T-Mobile手机实时位置 7. [AT&T Paid $57M for Selling Location Data, Now Wants It Back; FCC Says No](https://www.techtimes.com/articles/328093/20260925/t-paid-57m-selling-location-data-now-wants-it-back-fcc-says-no.htm) — TechTimes（2026年9月25日），AT&T退款争议最新进展 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。