光明云说法：国庆出行高峰“退改签”诈骗溯源，法官指出出行行业“内鬼”是旅客信息泄露重要源头

第一个典型案例来自铁路系统。2026年5月最高人民法院发布的典型案例显示，铁路车站客运员陈某某利用职务便利，根据他人提供的公民身份号码等信息，通过内部业务系统查询公民乘坐高铁出行的相关信息，并以每条10元至60元不等的价格出售给他人，两年多时间里获利19万元。法院以侵犯公民个人信息罪判处陈某某有期徒刑三年八个月，并处罚金19万元；在给予刑事处罚的同时，还通过刑事附带民事公益诉讼判令其支付赔偿金、删除信息、公开赔礼道歉。

第二个案例直接指向“退改签”诈骗链条。据中国裁判文书网公开的裁判文书，被告人于某某系北京某航旅公司外聘人员，负责处理某航空公司非正常航班事务，可以看到该航空公司所有延误、取消航班的旅客信息，包括航班号、旅客姓名、身份证号、联系方式、航班日期、起飞时间、票号等。其以每条5元的价格向他人出售旅客信息，先后提供数千条；买家羊某某花2万元购买信息后，向乘客发送“航班取消、需要改签”的短信并进一步实施诈骗。法院最终认定于某某犯侵犯公民个人信息罪，判处有期徒刑三年六个月并处罚金8000元；羊某某犯诈骗罪和侵犯公民个人信息罪，数罪并罚决定执行有期徒刑十四年，并处罚金108000元。

法官在释法中特别强调刑法第二百五十三条之一第二款的规定：将在履行职责或者提供服务过程中获得的公民个人信息出售或者提供给他人的，要从重处罚。民航、铁路、票务等行业从业人员接触大量旅客信息，更须严守职业底线。同时，明知他人利用非法获取的个人信息实施诈骗而购买、使用的，还可能与诈骗分子构成共同犯罪，或单独构成诈骗罪、帮助信息网络犯罪活动罪。

该组案例的合规落点在于“内部人员权限治理”：旅客姓名、身份证号、行程信息属于受法律严格保护的公民个人信息，企业须对内部业务系统的查询权限实施最小必要与留痕审计。结合《公安机关网络空间安全监督检查办法》自10月1日起施行（监督检查内容涵盖数据安全与个人信息保护义务履行情况），行业“内鬼”风险已同时进入刑事追责与行政检查的双重视野。