成都某互联网企业MySQL数据库3306端口弱口令漏洞+未建立健全全流程数据安全管理制度导致消费金融敏感数据泄露案

【案件背景】
2025年，成都市互联网信息办公室在网络安全执法检查中发现，属地某互联网企业所属信息系统疑似发生数据泄露事件。经调查，该企业的MySQL数据库3306端口对外暴露且存在弱口令漏洞，攻击者可轻易连接数据库并以管理员权限读取、下载全部数据。该数据库存储了大量消费金融领域的个人敏感信息，包括借款人姓名、身份证号、手机号、银行账号、借款金额和还款记录等。

【违法事实】
成都市网信办调查认定，该企业存在以下违法事实：一是未按照《数据安全法》第二十一条的要求对企业持有的消费金融数据进行分类分级——银行账号和还款记录等金融敏感数据与一般业务数据混同存储，未区分保护级别；二是未建立健全全流程数据安全管理制度——没有书面化的数据安全管理策略、没有明确的数据安全责任人、没有制定数据安全事件应急预案；三是未采取相应的技术措施和其他必要措施保障数据安全——MySQL数据库3306端口直接暴露于公网，且使用了容易猜测的弱口令；四是作为处理大量消费金融敏感数据的企业，未对数据处理活动进行定期风险评估，也未向主管部门报送风险评估报告。

【处罚决定】
成都市网信办依据《数据安全法》第二十七条（数据安全保护义务）、第四十五条之规定，给予该企业警告处罚，并处15万元罚款。同时要求其在45天内完成：数据资产全面盘点和分类分级方案制定；数据库安全加固（关闭不必要的公网端口、部署WAF、启用强密码策略）；建立全流程数据安全管理制度并报备。

【典型意义】
本案处罚金额在同批案例中最高（15万元），反映了监管部门对消费金融领域数据安全违规的严惩态度。一是数据分类分级不是纸面文章——本案中企业将银行账号、还款记录等金融敏感数据与一般业务数据混同存储，导致一旦被攻击就是'一锅端'的灾难性后果。二是技术措施与管理制度的二元统一——《数据安全法》第二十七条同时要求'制度'和'技术措施'，缺一不可。有管理制度无技术措施是纸上谈兵，有技术措施无管理制度则无法持续有效。三是消费金融领域的数据安全风险极高——涉及大量个人的金融隐私数据，一旦泄露可能导致精准诈骗等次生危害，监管部门将对此领域持续保持高压态势。