Surfshark把用户 malware 日志藏了3年|malware|日志

一份PDF报告，47页，6小时内送达。TechRadar的记者原本只是想测试VPN厂商的数据透明度，结果从Surfshark手里接过来的东西，让他们愣了一下——连你电脑上扫出的病毒叫什么名字、几点几分扫的、当时你在哪个国家，全在里头。

这不是数据泄露。这是Surfshark按规矩给的"用户数据副本"。

3月28日，Surfshark宣布彻底停收这类数据。从"合规收集"到"完全匿名化"，中间只隔了一篇调查报道的距离。

一次"合法但别扭"的数据体检

TechRadar的测试设计得很简单：向10家主流VPN厂商行使GDPR规定的"访问权"，看谁能交出什么。多数厂商要么装死，要么打太极。Surfshark反倒在几小时内递来一份详尽报告——详尽到让人不舒服。

报告里，支付记录、账户ID、设备标识符，这些算常规操作。真正扎眼的是杀毒模块的日志：恶意软件的具体名称、被拦截时间、设备ID、用户当时的国家位置，全部可追溯到个人。

Surfshark的隐私政策确实写了可以收集"安全威胁数据"。但"合法"和"应该"是两件事。TechRadar在报道里直接抛出问题：一个主打隐私的VPN服务商，为什么要 centralized 存储用户设备上的病毒指纹？

类比一下：你请了个保镖，保镖确实没把监控录像卖给外人，但他把"你家昨晚进了小偷，小偷穿红色外套，你当时在家"这件事，写进了自己的笔记本，还署了你的名。

从"合规"到"认怂"：72小时的决策链

Surfshark的反应速度在行业内算快的。报道发出后，公司发言人向TechRadar确认了两件事：第一，现有数据将全部匿名化处理；第二，未来不再收集可识别的malware相关数据。

这个转向有个细节值得玩味。Surfshark没有辩称"我们的做法符合行业标准"，也没有拿"技术必要性"当挡箭牌。他们直接认了：这种颗粒度的数据，我们不要了。

对比同期测试的其他厂商——有的干脆不回邮件，有的拖了数周交来残缺版本——Surfshark的"过度透明"反而成了倒逼改革的契机。讽刺的是，如果当初他们也选择敷衍，这篇报道可能根本写不出来。

一个产品逻辑上的悖论由此暴露：隐私工具的"用户可见性"设计，有时候和"用户隐私保护"是矛盾的。你让用户看见自己有多少数据被收集，用户就会开始问：这些真的需要被收集吗？

杀毒软件的"数据饥饿症"：行业通病？

Surfshark不是孤例。杀毒软件收集威胁样本、上传可疑文件，这是行业惯例。但"上传"和"关联到个人身份"之间，隔着一道防火墙。

问题在于，很多厂商把防火墙当成可选项。Kaspersky、Avast都曾因数据处理方式翻车，前者被美国政府封禁，后者因出售用户浏览数据被罚。Surfshark的malware 日志虽然没走到那一步，但架构上预留了同样的风险敞口：一旦数据库被攻破，攻击者拿到的不仅是病毒名单，还有"谁、在什么时候、在哪里"中招的完整画像。