ZoomInfo GTM Studio：前置同意追踪文档

"你可以屏蔽研究员。但你无法屏蔽证据。"

发生了什么

2025年11月25日，ZoomInfo CEO Henry Schuck 在 LinkedIn 上发布了 GTM Studio 的产品演示——这是一个 "识别个人级网站访问" 的 AI 驱动平台。

一位安全研究员分析了 GTM Studio 的落地页，并记录了广泛的前置同意追踪基础设施。该发现作为评论发布在 CEO 的 LinkedIn 帖子下方。

几分钟内，研究员被屏蔽了。

没有更正。没有澄清。只有沉默。

这份证据包确保这些发现无法被压制。

关键发现

确凿证据

解码的 Sardine.ai 配置

{
  "enableBiometrics": true,
  "enableDNS": true,
  "partnerId": "zoominfo",
  "dBaseDomain": "d.sardine.ai",
  "environment": "production"
}

该配置是从收集器 iframe URL 中的 base64 编码负载解码而来。

翻译：

• 默认跟踪鼠标移动
• 记录打字模式
• 启用 DNS 指纹采集
• ZoomInfo 与 Sardine.ai 有正式合作关系
• 此为生产环境，非测试

讽刺之处

ZoomInfo 将 GTM Studio 营销为 "识别个人级网站访问" 的工具。

然而在其自身该产品的落地页上，他们部署了：

• 3 家外部身份/指纹采集供应商（Sardine.ai、PerimeterX、IdentityMatrix.ai）
• 同意前的行为生物特征收集
• 118 个不同的追踪域名

就连访客识别供应商自己也不信任自己的产品来识别访客。

给营销人员：为什么这对你很重要

你不是隐私律师。你只是想达成管道目标。那么你为什么要关心？

1. 你的预算可能正在购买法律风险

每一分钱花在存在有记录的前置同意追踪的供应商上，都可能是未来法律责任上的潜在支出。当该领域出现集体诉讼时，"我们不知道" 通常不被接受为辩护理由——它可能被定性为疏忽。

需要考虑的问题：这些数据在诉讼中是否可能成为可诉内容？

2. 你的 "意图数据" 可能带有法律风险

未经适当同意收集的数据可能在法律上不可处理。这可能意味着：

• 你的潜在客户评分可能建立在有问题数据之上
• 你的 ABM 活动可能针对未经同意收集的用户画像
• 你的归因模型可能包含受污染的信号

建议与你的法律团队一起评估这一点。

3. 你的客户可能成为原告

那些在未经同意的情况下被追踪的人？他们正是你试图转化的人群。当他们发现（这些做法的普遍性正变得越来越公开）时，你可能不仅会失去一笔交易，还可能创造一个具有法律地位的对手。

每一位访客都是潜在的原告。每一次页面浏览都是潜在的证据。

4. 你供应商的合规性会影响你的合规性

GDPR 第 26 条。CCPA 1798.100。你的合同可能写着 "供应商保证合规"。但法院已在许多案例中发现连带责任。当供应商的做法成为公开记录时，你的法律团队会问："谁批准了这家供应商？"

这个答案是可发现的。

5. 你的竞争对手可能会利用这一点对付你

想象一下，因为你潜在客户的安全团队调查了你的营销技术栈而输掉一笔企业交易。想象一下 RFP 问题："你们是否使用有记录的前置同意追踪的供应商？"

你的供应商选择是可发现的。请据此选择。

残酷的事实

营销领域在过去 15 年里一直处于 "快速行动，事后请求原谅" 的模式。这个时代正在结束。

支撑 "不惜一切代价增长" 策略的追踪基础设施现在：

• 已被记录（你正在阅读证据）
• 可被发现（公共 GitHub 仓库）
• 潜在可诉（可能适用 GDPR、CCPA、CIPA）

你可以：

1. 立即审计你的技术栈，并在风险固化前评估责任
2. 等待外部审查，然后解释为什么你没有对公开证据采取行动

供应商不会保护你。你的合同可能不会保护你。只有你的选择会。

证据内容

zoominfo-gtm-studio/
├── FINDINGS.md              # 完整技术分析
├── TIMELINE.md              # CEO 发帖 → 评论 → 屏蔽 顺序
├── code/
│   ├── sardine-config.json  # 解码的生物特征配置
│   ├── perimeterx.md        # PerimeterX 基础设施细节
│   └── tracking-sequence.md # 完整请求时间线
├── methodology/
│   └── how-we-tested.md     # 复现说明
└── legal/
    ├── gdpr-analysis.md     # 欧盟法规分析
    ├── ccpa-analysis.md     # 加州隐私法分析
    └── cipa-exposure.md     # 加州窃听法风险分析

如何验证（5分钟）

1. 在 Chrome 中打开无痕模式
2. 打开 DevTools（F12）→ Network 标签
3. 启用 "Preserve log"
4. 导航至：https://www.zoominfo.com/products/gtm-studio
5. 不要与同意横幅交互
6. 统计在横幅出现之前触发的请求数量

要寻找的内容

• collector-pxosx7m0dx.px-cloud.net — PerimeterX 指纹采集
• *.d.sardine.ai/bg.png — Sardine 行为生物特征
• gw-app.zoominfo.com/gw/ziapi/fraud-detection — 会话指纹采集

法律分析

GDPR（欧盟）

• 第 5(3) 条： 追踪前需要 Cookie 同意
• 第 6 条： 处理需要合法依据
• 第 9 条： 行为生物特征可能构成特殊类别数据

CCPA/CPRA（加州）

• 知情权： 隐私政策中未披露 Sardine.ai 合作关系
• 选择退出权： 追踪开始前未提供退出选项
• 数据共享： 同意前向 40+ 第三方传输数据

CIPA（加州）

• 窃听条款： 未经同意收集生物特征可能涉及窃听法规
• 双方同意： 加州要求某些录音需获得所有方同意

CEO 的回应


当被出示有记录的证据，包括：

• 前瞻同意追踪
• 行为生物特征收集
• 单个页面 118 个追踪域名

这家上市公司的 CEO 选择：

• 屏蔽研究员
• 不反驳这些发现
• 不提供澄清

ZoomInfo 尚未回应对这些发现的评论请求。

法律免责声明

这不是法律建议。

本证据包中包含的信息仅供信息和教育目的。本文中的任何内容均不构成法律建议，且访问、阅读或使用本信息不创建律师-客户关系。

您应咨询您所在司法管辖区的合格律师，然后再根据此处呈现的信息采取任何行动。隐私法复杂，因管辖区而异，并可能发生变化。在一个管辖区可能构成违规的行为在另一个管辖区可能不适用。

Blackout 不是律师事务所。 我们是记录技术发现的安全研究员。我们对以下内容不作任何陈述或保证：

• 任何分析的法律准确性或完整性
• 所引用法规对您具体情况的适用性
• 任何公司追踪实践（可能发生变化）的当前状态
• 基于此信息的任何法律行动的结果

所有发现均基于测试时的公开可观察行为。 网络捕获、解码配置和请求时间线代表时间点快照。供应商可能在本文件发布后修改其实践。

如果您认为自己受到前置同意追踪或监控实践的影响，请咨询隐私律师或联系您当地的数据保护机构。不要仅依赖本文档来评估您的法律权利或补救措施。

通过访问本证据包，您确认已阅读并理解本免责声明。

关于本版本

本证据包是为了公共利益而发布的。

供应商追踪基础设施应透明且可验证，而不是在记录时被压制。

发布者： Blackout Research
日期： 2025年11月25日

黑色星期五 —— 2025年11月29日

免费取证扫描。100 个域名。24 小时。

了解您的供应商在做什么。

→ deployblackout.com

"你可以屏蔽研究员。
但你无法屏蔽证据。"