内容摘要：网站被黑，最先找上门的往往不是用户，是警察。 去年夏天，江苏一家做跨境电商的小公司发现后台订单数据被人批量导出，客户手机号、地址全挂在境外论坛上卖。老板第一反应是找技术公司修漏洞，第二反应是给客户发道

网站被黑，网站最先找上门的有漏往往不是用户，是什关警察。

去年夏天，网站江苏一家做跨境电商的有漏小公司发现后台订单数据被人批量导出，客户手机号、什关地址全挂在境外论坛上卖。网站老板第一反应是有漏找技术公司修漏洞，第二反应是什关给客户发道歉信。他没想到的网站是，第三天网警就来了，有漏带着调证通知书，什关要求他提供服务器日志、网站数据库访问记录、有漏还有近三个月的什关运维人员名单。

老板当时有点懵：我是受害者，怎么搞得像嫌疑人？

这事得从公安的职责说起。很多人以为网络安全是技术问题，归工信部或者网信办管。实际上，《网络安全法》和《数据安全法》落地之后，公安机关承担了大量网络犯罪的侦查和网络安全监管职能。网站有漏洞，一旦被利用，可能触发的不只是技术告警，而是刑事立案。

《刑法》第285条、286条写得清楚：非法侵入计算机信息系统、非法获取计算机信息系统数据、破坏计算机信息系统，都是犯罪。但这里有个关键点——受害网站本身如果没尽到安全保护义务，也可能被追责。比如漏洞长期不修、日志不存、数据明文裸奔，公安可以依据《网络安全法》第21条、第59条，对运营者进行行政处罚，罚款、警告、甚至责令停业。

我见过一个更具体的例子。浙江某政务网站被植入暗链，跳转到赌博页面。技术团队查了两天才发现是编辑器上传组件的老漏洞。网警介入后，先查攻击者，再查网站方。结果发现这家单位连最基本的入侵检测都没有，服务器密码还是admin123。最后攻击者没抓到，网站负责人先吃了罚单。

公安的办案逻辑很直接：谁的系统，谁负责。漏洞不是你主动留的，但你有义务发现并修补。特别是涉及公民个人信息的系统，一旦泄露，公安会按照“一案双查”机制走——查犯罪，也查责任。

那普通企业怎么判断自己的漏洞会不会招来公安？几个硬指标：有没有存储公民身份证号、手机号、住址；有没有被入侵后造成数据外泄；有没有收到过网警的《网络安全限期整改通知书》。只要沾上一条，基本就进入监管视线了。

还有个容易被忽略的环节：漏洞披露。有些技术爱好者发现漏洞后，直接发到公开社区，甚至附带利用工具。这种行为在公安眼里可能构成“提供侵入、非法控制计算机信息系统程序、工具罪”。哪怕你本意是提醒，方式不对照样违法。正确的路子是走CNVD（国家信息安全漏洞共享平台）或直接联系厂商。

说回开头那个江苏老板。他后来被罚了五万，理由是未履行数据安全保护义务。网警跟他说了一句话，他记到现在：“你省下的安全投入，最后都变成罚款和律师费。”

网站漏洞和公安的关系，不是“会不会管”，是“什么时候管、按什么罪名管”。技术问题一旦踩到法律红线，修漏洞就变成了修笔录。那些觉得“小网站没人盯”的，往往最先收到《调取证据通知书》。

别等警察上门才想起来打补丁。那时候补丁打在哪，由不得你。