安徽合肥某电子商务公司未开展等级保护工作、未制定网络安全管理制度导致旅客购票信息批量泄露案

【案件背景】
2025年5月，安徽合肥某电子商务有限公司旗下网站内的旅客购票信息遭泄露。该公司运营着一个面向全国用户的在线票务平台，日常收集和处理旅客姓名、身份证号、联系方式、行程信息等大量个人数据。不法分子利用该公司网站的安全漏洞，通过自动化爬虫程序批量获取了旅客购票数据，随后在暗网进行售卖。

【违法事实】
经安徽公安机关网安部门调查查明，该公司存在一系列安全管理缺失：一是未开展网络安全等级保护工作——作为一个日均处理数十万条个人数据的票务平台，该公司未按照《网络安全法》第二十一条的要求对信息系统进行定级备案和等保测评，完全不知道自己的系统处于什么安全等级；二是未制定网络安全管理制度和个人信息保护制度——数据安全保护处于'无章可循'的状态；三是未按规定要求留存网络日志数据——导致安全事件发生后无法溯源攻击路径；四是未采取技术防护措施——网站存在高危漏洞和反爬虫机制缺失，等于向网络爬虫敞开了大门；五是未及时处置系统漏洞风险——安全漏洞长期存在而未修补，给了攻击者充足的攻击窗口。

【处罚决定】
当地公安机关已依法对该公司予以行政处罚并责令限期改正。处罚内容包括：限期完成等保定级备案和测评；制定数据安全管理制度并明确数据安全责任人；完成网站安全加固和漏洞修复；对已泄露旅客进行风险告知并提供信用监测服务。对实施数据爬取和贩卖的犯罪嫌疑人已依法另案处理。

【典型意义】
此案是'护网-2025'专项行动的典型案例，以电子商务票务平台为切入，揭示了在线服务行业普遍存在的安全管理短板。一是等保制度是数据安全管理的基本框架——'高危漏洞、高危端口、弱口令'被监管部门概括为最常见的'三高'风险，而等保制度正是一套系统的风险评估和防护体系，未做等保等于放弃系统性的安全管理。二是票务平台的数据具有高度集中性和敏感性——一个平台掌握数百万人次的出行数据，一旦被批量爬取，可能被用于诈骗、跟踪等严重犯罪。三是事后溯源依赖于事前日志留存——本案中缺失的日志直接导致了公安机关的溯源困难，这本身就是一种违法行为。