某科技公司因数据泄露被顶格罚款30万元

经专业技术团队调查取证，该票务管理系统存在多项安全漏洞：首先，系统未按照《网络安全保护基本要求》进行安全分级归档，核心数据库未采用加密格式存储；其次，后台管理权限设置存在严重缺陷，普通员工账号即可访问所有用户敏感数据；此外，系统日志的保留期不足30天，追踪攻击源头极其困难。这些漏洞导致犯罪分子窃取了超过50万条包含用户ID、手机号码、出行信息等敏感数据的记录，并在暗网交易平台上出售相关数据。

网络安全专家指出，此次事件具有典型的示范意义。作为系统开发运营者，受影响公司违反了《网络安全法》第二十一条和第三十一条的多项规定：未制定内部安全管理制度和操作规程，未落实防范计算机病毒和网络攻击的技术措施；未落实网络日志留存要求，未建立网络安全事件应急预案，防御能力全面丧失，系统在网络空间中处于脆弱状态。

值得注意的是，调查还发现，该公司总体上采取了注重功能开发、忽视安全投入的策略。安全防护投入占年度研发预算的不到1%，远低于行业3-5%的平均水平。该公司技术总监甚至在调查中坦言：“我以为购买一个简单的防火墙就能满足合规要求。”这种对网络安全的片面理解最终导致了数据泄露的惨痛后果。