江苏苏州某短信群发平台未进行等保备案测评、未采取技术防护措施被攻击冒用滥发诈骗短信27000余条案

【案件背景】
2025年5月，江苏苏州吴江某公司建设的短信群发系统遭到网络攻击并被犯罪嫌疑分子控制，冒用系统身份向公众大规模发送诈骗短信达27000余条。该公司作为短信群发平台的建设和运维方，为多家企业客户提供批量短信发送服务，系统日常承载着大量商业短信和个人通讯信息的发送任务。

【违法事实】
经江苏公安机关网安部门查明，该公司存在以下违法事实：一是未进行网络安全等级保护备案与测评——作为处理大量个人手机号码和短信内容的通信服务平台，按照《网络安全法》规定至少应当达到第二级等保要求并进行备案，但该公司未开展任何等保相关工作；二是未采取有效的技术防护措施——系统缺乏基本的安全防护能力，未部署防火墙、未实施入侵检测、未进行安全加固，导致被犯罪嫌疑分子轻松攻破并获取控制权；三是信息系统的建设和运维完全脱离等保制度的框架要求——从系统设计到日常运维，均未考虑安全保护需求，安全投入为零。最终导致短信服务被冒用滥发，造成了严重的社会危害。

【处罚决定】
当地公安机关已依法对该系统建设运维方予以行政处罚并责令限期改正。处罚内容包括：立即完成等保定级备案和测评；按照等保要求完成系统安全加固；对已发出的诈骗短信进行事后追溯并配合反诈中心进行预警。对实施攻击并控制系统发送诈骗短信的犯罪嫌疑分子已依法另案处理。

【典型意义】
本案被公安部网安局作为'护网-2025'专项工作典型案例进行公布，并由中国法学会法治研究所专家进行深度解读。一是等保制度是遏制'小系统大危害'的制度底线——短信群发平台看似小众，但一旦失控可以成为大规模犯罪的跳板。等保制度通过分级保护提供了一套最低安全标准框架。二是安全责任链条的延伸——即使短信群发业务的最终用户是下游企业客户，作为平台的建设和运维方，该企业仍然承担独立的安全保护义务。三是专家指出网络安全等级保护制度由之前的信息安全等级保护制度升级而来，要求按照重要性和遭受损坏后的危害性进行分等级保护、分等级监管，是对'分而治之'风险管理思想的制度化落地。