杭州某在线教育平台千万级学生信息泄露后违规私下和解拒不报告案

【案件背景】
2023年11月，杭州某知名在线教育平台因内部数据库配置错误导致公网暴露，被境外黑客组织发现并窃取了约1500万条学生及家长信息，内容包括学生姓名、学校、年级、家庭住址、家长手机号、学生成绩等。更为严重的是，企业被发现后试图通过向黑客支付赎金'私下和解'而非依法报告。

【违法事实】
经浙江省网信办和公安机关联合调查：一是企业未依法报告数据泄露——黑客组织于2023年11月8日通过邮件向企业发送了数据样本以证明入侵成功，并索要比特币赎金。企业非但未向公安机关报案，反而与黑客展开了长达两周的赎金谈判，严重违反了《个人信息保护法》第57条和《数据安全法》第29条的立即报告义务；二是向黑客支付赎金——企业最终支付了约200万元人民币等值的比特币作为'删数据赎金'，这种行为不仅无法保证数据被真正删除，还可能构成资助网络犯罪；三是数据泄露后未通知受影响的学生和家庭——直至公安机关于12月在外网暗网论坛发现该批数据被公开售卖时才反向追查到该企业，期间约1500万个家庭对自身信息泄露毫不知情；四是对泄露原因隐瞒不报——企业对外声称的'数据库配置错误'实为资深DBA离职后接任者未及时修改默认密码的严重管理疏漏。

【处罚决定】
公安机关对涉事企业的高管以涉嫌拒不履行信息网络安全管理义务罪立案侦查，浙江省网信办依据《个人信息保护法》第66条、《数据安全法》第45条，对该企业处以人民币1000万元罚款，责令其暂停新用户注册3个月进行全面整改，并通报教育部将其纳入教育App备案黑名单。

【典型意义】
本案触及了数据安全事件响应中的刑事红线。一是'向黑客支付赎金+不报告'的组合行为可能触犯刑法——拒不履行信息网络安全管理义务且经责令改正而拒不改正的，可追究刑责；二是企业遇到勒索时'私下给钱'的侥幸心理是完全错误的——黑客没有信用可言，支付赎金反而鼓励更多攻击；三是涉及未成年人的数据泄露具有特殊的严重性——学生信息的泄露不仅侵犯隐私，还可能被用于电信诈骗、校园欺凌等下游犯罪；四是本案从反面确立了事件报告的不可替代性——唯有依法及时报告，公安机关才能尽快介入追踪、阻断数据扩散、挽回损失。