去年秋天，一家做跨境电商的涉及小公司收到一张罚单：因网站存在SQL注入漏洞，被属地网信办罚款8万元。漏洞老板懵了——网站刚上线三个月，罚款还没怎么盈利，网站先赔进去一辆代步车。涉及这事不是漏洞孤例。我翻过近两年公开的罚款行政处罚记录，因网站漏洞被罚款的网站案例至少几十起，金额从几千到几十万不等。涉及漏洞本身不新鲜，漏洞罚款才是罚款新常态。

很多人以为网站被黑是受害者，怎么还要挨罚？逻辑在这儿：法律把“不设防”本身当成过错。《网络安全法》第21条要求网络运营者采取防范病毒、网络攻击的技术措施。第59条写得很直白——不履行义务，警告+整改，拒不改正或导致危害，罚款一万到十万，直接责任人罚五千到五万。漏洞不是罚你的理由，“没修漏洞”才是。

我见过一个更冤的。某地方论坛，用的是十年前的开源CMS，官方早停止维护了。管理员觉得“小破站没人盯”，结果被挂马跳转到博彩页面。网安大队上门，罚款2万。管理员争辩：“我又没干坏事。”执法人员回了一句：“你连个WAF都不装，跟把保险柜扔大街上有什么区别？”这话糙，但理不糙。

罚款的触发点往往很随机。有的地方搞“护网行动”，批量扫描IP段，发现漏洞就发整改通知书，逾期不改就处罚。有的因为用户数据泄露被举报，倒查发现漏洞。还有的纯粹是运气差——同一台服务器上另一个网站违规，连带被查。去年江苏某企业就是被邻居站点牵连，自家官网存在XSS漏洞，罚了1.5万。老板事后跟我说：“早知道花两千块找个安全公司扫一遍。”

但别以为只有小公司中招。某省级事业单位的门户网站，用的是外包公司五年前交付的系统，Struts2漏洞一直没打补丁。2022年攻防演练期间被拿下，虽然没造成实际数据泄露，依然被通报并罚款10万。外包合同里没写安全维护条款，单位自己又不懂技术，最后钱照罚，锅自己背。

罚款金额怎么定？我观察下来，主要看三点：漏洞危险等级、是否造成数据泄露、整改态度。一个高危漏洞（比如远程代码执行）没造成泄露，初犯且及时修复，通常罚1-3万。如果泄露了用户信息，哪怕只有几百条，5万起步。要是被境外IP利用，或者涉及关键信息基础设施，直接顶格罚。有个做在线教育的朋友，数据库未授权访问，泄露了2万条学生姓名和手机号，罚了20万。他说：“每条信息十块钱，比卖课利润高。”

更麻烦的是“双罚制”。除了罚公司，直接负责人也要掏钱。我见过一个技术总监，因为没及时修复漏洞导致数据泄露，个人被罚2万。他月薪才3万，等于白干大半个月。所以现在有些公司的安全负责人，入职前会要求公司买网络安全保险，或者把“漏洞修复预算”写进KPI——修一个高危漏洞奖两千，不修被罚自己担。

怎么避免？说几个实在的。第一，别用默认密码，admin/admin这种组合等于开门揖盗。第二，开源CMS和框架定期看官方更新，别懒。第三，花几百块买个云WAF，能挡掉八成自动化扫描。第四，如果网站有用户数据，做个等保测评，虽然要花钱，但比罚款便宜。第五，外包开发的系统，合同里必须写“交付前提供安全测试报告”和“漏洞修复响应时间”。

最后说个真事。某地网安大队搞培训，问在场企业IT：“你们网站上次做漏洞扫描是什么时候？”三十多个人，只有两个举手。其中一个说：“上个月，因为收到整改通知了。”另一个说：“我们被罚过，现在每月扫。”你看，罚款确实能让人长记性。只是这记性，代价有点贵。