国家保密局“保密观”发布两起侵犯公民个人信息警示案例：“卧底入职”植入木马窃取736万余条数据、房产销售倒卖3.5万条业主信息

案例一发生在2023年3月至8月。王某带团伙投递简历、参加正常面试流程，“混入”杭州多家互联网公司后，在办公电脑中植入木马程序，非法窃取企业存储的用户手机号、身份证号、收货地址等隐私数据，共计736万余条，并将数据打包出售给境外不法人员，非法获利68.2万元。这批被泄露的信息直接诱发80余起电信网络诈骗案件，累计诈骗金额高达500余万元。2024年11月，法院以侵犯公民个人信息罪判处王某等17人有期徒刑四年三个月至一年不等，各并处罚金41万元至3000元不等。

案例二发生在2022年6月至2024年4月。四川渠县某小区房产销售人员楚某，利用销售岗位掌握楼盘业主信息的工作便利，通过自行整理、信息交换、现金购买等方式收集多个楼盘购房者的姓名、电话、购房时间、楼盘信息等共计3.5万条，再通过微信出售给13家装修、装饰、家电等行业销售商，非法获利2.3万余元。2025年3月，法院以侵犯公民个人信息罪判处楚某有期徒刑二年、缓刑三年，并处罚金2.5万元，同时承担公益损害赔偿金2.3万元。

两案的合规启示具有明确的指向性。案例一提示企业三重防线同时失效：招聘环节缺乏背景审查与权限前置控制，办公终端缺乏木马检测与数据外发监控，内网缺乏对批量导出行为的异常告警。与传统黑客远程攻击不同，这类“线下渗透”走的是合法入职路径，隐蔽性更强，对人力资源管理、办公设备管理与内网安全审计三个环节同时提出要求。

案例二则对应服务行业的长期灰色惯例——把客户联系方式当作“资源互换”。判决中的公益损害赔偿金值得关注：法院不只在刑事责任层面罚其个人，还要求其为侵害的社会公共利益买单。对房产、物业、教培、装修等掌握大量客户名单的行业而言，客户信息分级、离职人员数据权限即时回收、导出行为留痕与审计，是从“不违法”到“能举证不违法”的必要动作。