息保人信網信期網全典型國家個辦發布近執法絡安領域護等數據安全案例

　　近段時間以來，网信全國網信係統認真貫徹落實《網絡安全法》《數據安全法》《個人信息保護法》《網絡數據安全管理條例》等法律規定，办发布近持續加大網絡安全、期网全数全數據安全、络安领域個人信息保護等領域執法力度，据安依法查處一批涉網頁篡改、人信設置惡意程序、息保數據泄露、执法個人信息泄露、典型違法收集使用個人信息、案例違法出境個人信息、网信未落實人工智能生成合成內容標識要求、办发布近新技術新應用未經評估上線提供服務等典型案件。期网全数全現將相關案例通報如下。络安领域

　　1.上海某電子有限公司網頁篡改案。据安網信部門核查發現，該企業2020年以來，長期忽視門戶網站後台係統存在的管理員賬號弱口令問題，未及時監測處置相關係統遭暴力破解等安全風險，該後台係統2026年4月遭攻擊，網站源文件被植入惡意代碼，通過搜索引擎檢索網站相關內容，結果出現大量嚴重違法和不良信息。該企業未依法履行網絡安全保護義務，發生網絡安全事件時未及時啟動應急預案並采取補救措施，未及時向有關主管部門報告，違反《網絡安全法》等法律規定。屬地網信辦已依法責令其改正，予以罰款處罰。

　　2.北京某網絡科技有限公司設置惡意程序案。網信部門核查發現，該企業運營“某助手”應用程序，用戶數量約35萬。該企業員工劉某在職期間曾參與該應用程序開發，後因勞動合同續簽問題心生不滿，離職前向該應用程序植入惡意程序以獲取推廣費用。用戶安裝該應用程序後，使用瀏覽器首頁及搜索引擎、書簽等功能時，頁麵跳轉至推廣鏈接。該企業未依法履行網絡安全保護義務，疏於對所運營應用程序以及員工的管理，未及時發現相關問題並采取補救措施，危害用戶網絡安全，違反《網絡安全法》等法律規定。屬地網信辦已依法責令其改正，予以罰款處罰，並將劉某涉嫌違法犯罪問題移送公安機關。

　　3.安徽某數據產業有限公司數據被竊取案。網信部門核查發現，該企業在開發“數字檔案管理係統”過程中，使用存在未授權訪問漏洞的ES開源版本，且在開發測試完成後未及時將測試數據刪除，導致其中存儲的2400餘份審計報告、合同、會議紀要等企業內部文件被竊取，涉及網絡安全等級保護測評報告、立項及概算批複文件等敏感內容。該企業未依法履行網絡安全和數據安全保護義務，未采取技術措施和其他必要措施保障網絡安全、數據安全，違反《網絡安全法》《數據安全法》《網絡數據安全管理條例》等法律規定。屬地網信辦已依法責令其改正，予以警告、罰款，並對直接負責的主管人員予以罰款處罰。

　　4.河南某醫院數據泄露風險案。網信部門核查發現，該醫院體檢係統存在弱口令漏洞，通過該漏洞能獲取就診病例等數據，屬地網信辦責令醫院全麵整改後複核發現，該醫院網絡防火牆、入侵防禦係統、漏洞掃描工具、日誌審計係統、數據庫審計係統、堡壘機等安全設備因授權過期導致失效，網絡係統終端仍然存在700個安全漏洞，包括73個可被利用的高危漏洞，數據泄露風險仍未消除。該醫院未依法履行網絡和數據安全保護義務，違反《網絡安全法》《數據安全法》《網絡數據安全管理條例》等法律規定。屬地網信辦已依法責令其改正，予以警告、罰款，並對直接負責的主管人員予以罰款處罰，同時將相關情況通報屬地衛生健康部門。

　　5.廣東某軟件技術有限公司個人信息泄露風險案。網信部門核查發現，該企業開發的“某盒子”硬件產品存在未授權訪問漏洞，可在不經登錄驗證的情況下，通過網頁訪問其4000端口控製台業務，查看車輛狀態信息。用戶綁定微信公眾號後，在其盒子產品向公眾號傳輸個人信息、通過公眾號查詢車輛狀態信息等的過程中，均未對信息采取加密措施。該企業未依法履行個人信息保護等義務，未采取身份認證、數據傳輸加密等必要技術措施保障用戶個人信息安全，違反《網絡安全法》《個人信息保護法》《網絡數據安全管理條例》等法律規定。屬地網信辦已依法責令其改正，予以警告處罰。

　　6.浙江某信息科技有限公司強製收集使用非必要個人信息案。網信部門核查發現，該企業運營的某運動管理App在用戶開啟跑步功能時，以“防止作弊”為由強製要求一次性授予定位權限、電話權限、存儲權限等多種權限，若用戶不同意授權，則以用戶拒絕提供全部權限為由拒絕提供跑步相關功能。該企業未向不同場景用戶提供差異化功能選擇，一次性強製索取多個權限，且在有其他替代方式實現處理目的情況下，超範圍收集使用非必要個人信息，違反《個人信息保護法》《網絡數據安全管理條例》等法律規定。屬地網信辦已依法責令其改正，予以警告處罰。

　　7.重慶某置業有限公司違法收集人臉信息案。網信部門核查發現，該企業在辦公場所安裝10餘處圖像采集設備，收集、存儲客戶人臉信息5000餘條，用於客戶身份信息識別以及與中介機構等的匹配營銷。該企業未真實、準確、完整向客戶告知收集人臉信息的目的、方式、用途，在未取得客戶單獨同意的情況下，收集、存儲、使用客戶人臉信息，違反《個人信息保護法》《網絡數據安全管理條例》等法律規定。屬地網信辦已依法責令其改正，予以警告、罰款處罰。

　　8.上海某科技有限公司超範圍收集並違法出境個人信息案。網信部門核查發現，該企業自2022年以來，持續通過其Windows端應用程序，超範圍收集用戶使用其硬件產品的主機配置、使用時長、用戶係統等信息，並將上述信息和用戶注冊其相關程序時填寫的姓名、手機號、郵箱、生日、密碼等信息，傳輸至境外有關數據中心。該企業超出實現處理目的最小範圍收集用戶個人信息，且在未依法申報數據出境安全評估情況下，向境外傳輸個人信息，違反《個人信息保護法》《促進和規範數據跨境流動規定》等法律規定。屬地網信辦已依法責令其改正，予以罰款處罰。

　　9.四川某科技有限公司運營的小程序未落實生成合成內容標識要求案。網信部門核查發現，該企業運營的微信小程序提供AI文本對話、圖片生成等服務，但未對人工智能生成合成內容添加顯式標識，未在文件元數據中添加包含屬性信息、服務提供者名稱或者編碼、內容編號等製作要素信息的隱式標識，未在提供導出功能時對生成合成內容添加顯式標識，同時未按規定落實安全評估要求，存在內容安全風險，違反《互聯網信息服務深度合成管理規定》《人工智能生成合成內容標識辦法》《具有輿論屬性或社會動員能力的互聯網信息服務安全評估規定》等法律規定，網信部門已依法責令下線該小程序。

　　10.江蘇某科技股份有限公司提供生成式人工智能服務未按規定進行安全評估案。網信部門核查發現，該企業運營的2個網站以“API中轉站”方式調用多個大模型產品接口，提供對話、問答等服務，未按規定開展安全評估工作，存在內容安全風險，違反《生成式人工智能服務管理暫行辦法》《具有輿論屬性或社會動員能力的互聯網信息服務安全評估規定》等法律規定。屬地網信辦已依法責令其改正、從嚴處理責任人，予以警告處罰。

　　國家網信辦有關負責人表示，網絡安全、數據安全、個人信息保護事關國家安全、社會公共利益和人民群眾合法權益，相關單位和企業要嚴格落實法律法規要求，切實履行主體責任，築牢網絡空間安全屏障。網信部門將持續加大相關執法工作力度，堅決查處各類突出違法違規問題，以高質效網絡執法護航網信事業高質量發展。