漏洞违法

去年冬天，漏洞违法某市一家三甲医院的漏洞违法挂号系统突然瘫痪了四个小时。不是漏洞违法被黑客攻击，也不是漏洞违法服务器宕机——原因说出来有点荒唐：一个后勤人员为了图方便，用默认密码登录了数据库后台，漏洞违法而这个密码是漏洞违法"admin123"。系统里存着几十万患者的漏洞违法姓名、身份证号、漏洞违法就诊记录。漏洞违法四个小时里，漏洞违法这些数据像没锁门的漏洞违法仓库一样敞着。

这事后来被定性为"安全漏洞"，漏洞违法但很少有人注意到另一个词：违法。漏洞违法

漏洞和违法之间，漏洞违法隔着一条很多人假装看不见的漏洞违法线。写代码的人觉得漏洞是技术问题，修修补补就完了；用系统的人觉得漏洞是别人的事，自己只管点鼠标。可法律不这么看。《网络安全法》第二十一条写得清楚，网络运营者得采取技术措施防范攻击、防止数据泄露。没做到，就是违法。不是"技术没到位"，是"法律没遵守"。

我见过一个更典型的例子。某创业公司做了一款儿童在线教育App，为了赶上线时间，把用户密码存在了本地明文里。技术负责人后来跟我说，当时觉得"反正只是测试版，没人会认真攻击"。结果上线第三天，数据库就被拖走了，几万个孩子的姓名、年龄、家长手机号全在暗网上挂着卖。公司被罚了八十万，负责人个人被罚了五万。他挺委屈，说"我又不是故意的"。可法律里有个词叫"应知"——你该知道明文存密码会出事，没做就是过失。

漏洞违法的逻辑其实不复杂。你开一家餐馆，地面有油渍导致顾客滑倒，不能只说"我没想到有人会踩上去"。同理，你运营一个系统，有已知漏洞没修，导致数据泄露，也不能只说"我技术不行"。法律把安全义务分配给了离风险最近的人，也就是系统的运营者。这不是苛责，是常识。

但现实里，很多公司把漏洞当成了"技术债"，觉得可以慢慢还。安全审计报告堆在角落里落灰，渗透测试报告里标红的高危漏洞，过了半年还在那儿。问起来就说"排期紧""人手不够"。这种心态在中小企业尤其普遍。我认识一个做电商的老板，他的技术团队只有三个人，每天忙着加功能、修bug，安全的事儿永远排在最后。直到有一天，有人利用他网站上的一个SQL注入漏洞，把用户订单里的收货地址全爬走了。他接到用户投诉电话的时候，还以为是快递出了问题。

更麻烦的是，漏洞违法这件事，追责链条往往很长。写代码的程序员、做架构的设计师、管服务器的运维、拍板上线的产品经理，甚至批预算的老板，都可能被卷进来。但真出了事，第一个被推出去的通常是那个最底层的程序员。这不公平，但很常见。所以有些程序员开始留证据——聊天记录、邮件、代码提交日志，证明自己提过安全风险，是上面没批。这听起来挺荒诞的，但这就是现实。

法律在收紧。去年出台的《数据安全法》和《个人信息保护法》，把处罚力度提了一个量级。以前泄露数据可能罚个几万块，现在最高能到五千万或者上一年度营业额的百分之五。这不是闹着玩的。有些公司开始慌了，临时抱佛脚做安全加固。但安全这事儿，临时抱佛脚往往没用——漏洞是长期积累的，不是突击能补上的。

说到底，漏洞违法这个事，核心不是技术，是态度。你把用户数据当回事，就会在写代码的时候多想一步，在上线之前多测一轮，在收到安全报告的时候多看一眼。你不当回事，法律就会帮你当回事。代价可能是罚款，可能是停业，也可能是某个普通人的一生被毁掉——比如那些被泄露了就诊记录的病人，他们的病历可能出现在保险公司的拒保名单里。

那个医院的后勤人员后来被开除了。但系统里的默认密码，据说又过了两周才改掉。