安徽合肥某电子商务公司旅客购票信息泄露案

【案件背景】
2025年5月，安徽合肥某电子商务有限公司（主营在线票务和旅游产品）的旗下网站遭遇大规模数据爬取事件，旅客购票信息——包括乘客姓名、身份证号、航班/车次、出行日期和目的地等——被不法分子批量获取。安徽公安机关网安部门在日常网络安全监测中发现该网站存在数据异常外传行为，随即启动调查。该案是公安部「护网—2025」专项行动第四号典型案例。

【违法事实】
经公安机关网安部门调查核实：
1. 网络安全管理制度空白：公司自成立以来从未制定过任何网络安全管理制度和个人信息保护制度，管理层和技术团队对《网络安全法》《个人信息保护法》《数据安全法》的基本合规要求缺乏认知，属于典型的「重业务、轻安全」；
2. 未开展等级保护工作：网站尚未进行网络安全等级保护备案和测评，系统的安全防护能力处于未经任何第三方评估和验证的「未知」状态，相当于在无证驾驶；
3. 未采取基本技术防护措施：网站缺乏Web应用防火墙（WAF）、入侵检测系统（IDS）、访问频率限制、验证码机制等基本防护手段，使得爬虫程序可以高频次、大批量调用API接口抓取数据而未被检测和阻断；
4. 网络日志留存严重不足：根据《网络安全法》第二十一条，网络运营者应当留存网络日志不少于六个月。但该公司系统日志仅保存了不到一周的数据，导致公安机关在溯源调查时无法还原完整的攻击路径和数据范围，影响了案件的查办效率；
5. 漏洞安全管理缺位：系统存在多个已知的高危漏洞（SQL注入、目录遍历等），公司没有建立漏洞扫描、通报和修复的工作流程，安全漏洞长期得不到修复是数据被批量爬取的技术根源。

【处罚决定】
安徽公安机关网安部门依法对合肥某电子商务有限公司作出行政处罚并责令限期改正：限期完成网络安全等级保护测评和备案；部署WAF、IDS等安全防护设备，实施API访问频率限制和验证码保护；建立规范化的日志留存系统；修复所有已知系统漏洞；制定网络安全管理制度和个人信息保护制度。
实施数据爬取的犯罪嫌疑人已另案处理。

【典型意义】
公安部在安全提示中特别强调，高危漏洞、高危端口、弱口令等「三高」问题是导致网络系统在黑客面前「不设防」的最常见原因。本案是电商/旅游OTA平台旅客信息泄露的典型案例，旅客购票信息（姓名+身份证号+出行轨迹）一旦泄露，不仅涉及隐私侵害，还可能引发精准诈骗（如假冒航空公司退改签诈骗），危害重大。本案也提示存在大量「低价」路线票务API被批量调用的电商平台，应当建立正常的API调用行为基线，对异常流量实时告警。