河南舞钢市某学校智慧刷卡计费系统被攻击导致学生个人信息泄露案

【案件背景】
2025年3月，公安部网安部门在网络巡查中发现，境外某暗网数据交易平台和社交平台出现涉及「舞钢市某学校师生个人信息」的兜售帖文。河南公安机关网安部门立即启动溯源调查。经查，此次数据泄露的源头为该校部署的智慧校园刷卡计费系统的数据库。该系统由该校委托第三方IT公司开发部署，用于学生食堂消费、门禁通行等功能。该案作为「护网—2025」专项行动六大典型案例之一，由公安部网安局于2025年9月18日正式公布。

【违法事实】
公安机关网安部门查明该校及智慧校园系统的以下严重问题：
1. 系统存在高危漏洞且未及时修复：智慧刷卡计费系统的Web管理后台存在多个高危安全漏洞（包括未授权访问、弱口令等），外网攻击者可轻易绕过认证机制获取系统管理员权限。然而学校在系统上线运行后未建立安全巡检和漏洞修复机制，这些漏洞长期处于暴露状态；
2. 学生个人信息未加密存储：系统中存储的学生姓名、身份证号、家长手机号、家庭住址、班级学号、宿舍号、每日消费记录等高度敏感的个人信息全部以明文（未加密）形式存储在数据库中，犯罪嫌疑人在攻击得手后可直接读取全部数据；
3. 系统未设置访问控制和安全认证：系统后台管理页面未实施双因素认证、IP白名单等基本的访问控制措施，默认管理员账户使用简单密码即可登录，等同于在互联网上「裸奔」；
4. 委托第三方处理数据时严重缺失合同约束和监督：该校将智慧校园系统的开发、部署和日常运维全部委托给第三方IT公司处理，但在合同中没有明确约定数据安全保护义务、未要求受托方采取加密等安全措施、未约定数据泄露后的责任分担，也未对受托方的数据处理活动进行任何形式的监督——完全处于「一委了之」的放任状态；
5. 网络安全管理制度全面缺失：学校未制定内部网络安全管理制度，未设立网络安全责任岗位，未开展网络安全等级保护测评，未留存网络日志。在公安部门的技术检查中，甚至无法提供系统上线以来任何一次安全巡检和维护的记录。

【处罚决定】
1. 河南公安机关网安部门依法对舞钢市该学校作出行政处罚并责令限期改正：要求校方立即修复系统漏洞、对数据实施加密、建立访问控制机制，与第三方公司补签数据安全责任条款并建立监督机制；
2. 实施网络攻击并兜售数据的犯罪嫌疑人已另案处理。

【典型意义】
本案被列入公安部「护网—2025」六大典型案例后，由北京航空航天大学法学院裴炜教授作专题解读，引起教育系统广泛关注。该案深刻揭示了学校作为个人信息处理者面临的三大结构性合规风险：第一，教育机构收集的个人信息具有数量多、敏感度高、涉及未成年人的特点，一旦泄露后果严重；第二，委托第三方公司处理数据不等于「甩手掌柜」——《个人信息保护法》第二十一条明确规定，委托处理个人信息应当约定保护措施并对受托方进行监督，本案中学校因缺失合同约束和监督机制而承担了法律责任；第三，教育数据安全的核心矛盾在于学校普遍缺乏网络安全专业能力，却承担着海量学生敏感数据的保护义务，亟需在制度设计层面寻求系统性解决方案。