上海某物流运输科技企业未做安全防护致包含敏感个人信息数据被境外IP窃取案

【案件背景】
2026年1月，上海市网信办发布的2025年网络数据安全执法典型案例中，某物流运输网络科技企业因数据安全防护严重不足被查处。该企业主营业务是为物流行业提供技术开发和运维服务，包括面向客户管理货物的运输业务系统，其系统中存储了大量客户的企业信息和包含部分敏感个人信息的数据。网信部门在工作中发现其IP地址开放的ES数据库9200端口向公共网络传输大量业务数据。

【违法事实】
经网信部门调查认定：一是跨境数据安全风险——涉事系统IP开放ES数据库9200端口向公共互联网传输数据，导致数据疑似被境外可疑IP地址访问和窃取，构成事实上的数据非法出境风险；二是未开展网络安全等级保护——企业未进行网络安全等级保护测评，未建立网络数据安全管理制度，违反了《网络安全法》和《数据安全法》的基本要求；三是技术防护措施严重缺失——涉事系统相关信息未采取加密、访问控制、端口安全策略等基本防护技术措施，存在未授权访问漏洞；四是未能及时发现和阻止数据外流——企业对数据流向境外完全无知，直至网信部门发现并通知才获知数据被境外IP访问的事实。

【处罚决定】
上海市网信办依据《数据安全法》和《网络数据安全管理条例》有关规定，依法责令企业限期改正，并予以警告、罚款处罚。

【典型意义】
本案从数据安全的角度揭示了跨境数据风险的另一面——数据出境不仅包括企业主动传输，还包括因安全防护缺失导致的被动泄露。一是企业的跨境数据风险不仅限于'主动出境'——当安全防护能力不足以阻止数据被境外攻击者窃取时，企业同样需要承担数据非法出境的法律责任；二是ES数据库9200端口裸奔是物流和互联网行业的常见安全盲区——大量中小企业使用Elasticsearch等开源数据库时忽略了安全配置，本案为全行业敲响警钟；三是安全防护义务是数据出境合规的最底层基础——在履行安全评估、标准合同等程序性义务之前，最基本的技术防护措施必须到位。