盗取明星出行轨迹，售卖“开盒”教程

买卖都违法，追星应守法律底线

案情
　　一档有黄晓明、王鹤棣、黄子韬、刘耀文、邵子恒、于洋等明星参与的真人秀节目在乐山录制，在他们入驻的酒店外，大量粉丝提前聚集。这一异常行为引发警方怀疑，一个售卖明星行程的犯罪团伙浮出水面
说法
　　非法窃取明星、网红行程信息，并公开售卖“开盒”教程，该团伙成员同时触犯侵犯公民个人信息罪和传授犯罪方法罪，可能被数罪并罚
治理
　　公安机关、司法机关要持续高压打击犯罪链条的各个环节；监管部门要建立数据安全评级，对安全防护缺位的平台依法追责，倒逼平台加大安全投入

　　花150元至220元就能买到明星出行轨迹，这并非网络传闻，而是乐山警方近期侦破的一起真实刑事案件。经查，犯罪团伙利用票务App系统漏洞，盗取明星、网红身份、出行轨迹等敏感公民个人信息共计5万余条，还将非法获取信息的作案手段整理成“开盒”教程，面向粉丝群体兜售，累计非法获利220万元。目前，嫌疑人已被抓获，案件将进入公诉程序。
　　该案的曝光，解开了一条售卖个人信息黑灰产业链。犯罪团伙盗信息、卖教程如何定性？平台漏洞被犯罪团伙钻了空子，是否要担责？粉丝只是购买教程、私下查询偶像行程，算不算违法？围绕案件暴露出的多重法律争议，本报记者采访两名刑事领域律师，他们就大众关心的焦点问题展开法律分析。

案情
粉丝提前蹲点，警方挖出售卖明星出行轨迹产业链
　　9月14日，乐山警方公布今年以来侦破的20起涉网络典型违法犯罪案例。当林某某等人侵犯公民个人信息案出现时，不少人的目光停留了。案情简介只有几行，背后却是一条完整的犯罪链条。
　　2025年12月7日，一档有黄晓明、王鹤棣、黄子韬、刘耀文、邵子恒、于洋等明星参与的真人秀节目在乐山录制，在他们入驻的酒店外，粉丝如云，当他们在双层巴士上露面时，大量粉丝在路上骑车追逐。
　　大量粉丝提前在酒店聚集引起警方怀疑，办案民警说：“明星的行程没有提前泄露的话，按理说不会有那么多粉丝聚集。”警方初步调查发现，是有人将明星及同行人员的航班、住宿等行程信息出售给粉丝，粉丝随即赶到现场等候。
　　乐山警方顺藤摸瓜，一个售卖明星行程的犯罪团伙浮出水面。经查，以林某某为首的犯罪团伙，利用部分航空公司、高铁购票App、网站的校验审核机制漏洞，非法查询、获取大量明星、网红等公众人物身份资料和航班、高铁出行票务等信息，每条明星行程信息售价150元至220元不等。此外，该团伙还向粉丝群体售卖“开盒”教程，累计非法获利220万元。
　　目前，该案抓获犯罪嫌疑人38名，其中34人被采取刑事强制措施，查获公民个人信息5万余条。

说法
盗信息卖教程，犯罪嫌疑人或被数罪并罚
　　本案中，该团伙一边非法窃取明星、网红行程信息，一边公开售卖“开盒”教程，这两类行为是否属于同一个犯罪？
　　北京首信（成都）律师事务所执行主任、刑事部主任尚响军解释，两个行为属于同一犯罪链条上的不同环节，但侵害的法律权益并不一样，不能简单按一罪处理。“利用App漏洞获取行程信息，属于刑法规定的‘以其他方法非法获取公民个人信息’，构成侵犯公民个人信息罪。航班、高铁记录属于行踪轨迹类敏感信息，即便绕过系统校验漏洞获取，法律评价等同于窃取信息。”
　　四川发现律师事务所高级合伙人、刑事辩护专业委员会主任甘哲楚补充，售卖“开盒”教程，本质是向外传授非法获取他人信息的技术，该行为在共同犯罪评价中，可认定为侵犯公民个人信息罪的共犯；但该行为同时也独立构成传授犯罪方法罪，可能数罪并罚。
　　尚响军提出，侵犯公民个人信息罪保护的是公民个人信息权益，传授犯罪方法罪是维护社会管理秩序，两个罪名对应的法益不同，实践中大概率会数罪并罚。
　　在量刑层面，非法获取、出售或者提供行踪轨迹信息50条即达到侵犯公民个人信息罪“情节严重”入罪标准，售卖500条以上或者违法所得5万元以上就属于“情节特别严重”。本案查获5万余条信息、220万元违法所得，已经远超该标准。
　　尚响军表示，主犯侵犯公民个人信息罪可处3年至7年有期徒刑并处罚金；售卖教程面向不特定粉丝群体，社会影响恶劣，传授犯罪方法罪也可能被认定情节严重，两罪叠加后，主犯有可能面临10年以上有期徒刑。

App被钻漏洞，平台不能推卸责任
　　案件当中，犯罪人员是通过票务App的漏洞获取的个人信息。不少网友提出疑问：平台被黑客攻击，自身也是受害方，还需要承担法律责任吗？
　　“平台不能拿技术漏洞作为‘挡箭牌’推卸责任。”尚响军表示，根据网络安全法、个人信息保护法相关条款，网络运营者有义务保障收集到的用户个人信息安全，要落实等级保护、加密防护、风险应急处置等义务。如果校验机制长期存在明显缺陷，被犯罪人员批量抓取数据而未能及时发现并修复，就属于未尽安全保障义务。
　　甘哲楚也提到，平台一旦发生或者可能发生信息泄露，要第一时间补救，告知用户并且上报主管部门。未尽义务的平台，会面临警告、罚款，情节严重可责令停业整顿；在民事责任层面，被侵权人有权向平台索赔，平台赔付之后，可以向犯罪人员追偿。
　　两名律师表示，平台在技术上要做好接口加密、AI异常行为监测，拦截批量查询、异常登录；在制度上落实数据分级保护，对行程、身份信息做最高等级防护；在管理层面管控内部人员权限，敏感数据访问设置多人审批，完整留存操作日志，做到全程可追溯。尚响军表示，平台应当定期开展漏洞扫描和渗透测试，敏感查询增加二次核验，对查询结果进行信息脱敏，不能等到泄露事件爆发再补救。

粉丝购买“开盒”教程同样违法
　　很多粉丝存在侥幸心理：花钱买来“开盒”教程，只要不去对外传播，只是私下查询偶像行程，难道也算违法？
　　“购买、使用‘开盒’教程本身就存在法律风险，不存在‘只看不传播就安全’的说法。”甘哲楚提醒，粉丝单纯购买教程的行为，并不直接构成刑事犯罪，但购买教程之后，如果按照教程方法实际操作，非法获取他人个人信息，就属于刑法规定的非法获取公民个人信息，收集行踪轨迹信息达到50条，就构成侵犯公民个人信息罪。
　　尚响军告诉记者，即便使用“开盒”教程没有达到刑事立案门槛，行为依旧违法。个人信息保护法明确禁止个人非法收集、获取他人信息。未触及刑法的，会面临治安处罚；若是把查到的信息在网络公开，还要承担民事侵权赔偿责任；如果附带侮辱诽谤言论，还可能触犯侮辱、诽谤罪、寻衅滋事罪等。
　　尚响军接触过多起“私生粉”相关案件，很多年轻粉丝法律意识淡薄，误以为明星作为公众人物，私人行程就可以随意打探，但应切记，追星不能凌驾于他人合法权益之上。

治理
斩断犯罪链条，需打击监管普法齐发力
　　售卖个人信息乱象不是单一犯罪人员造成，背后是一条完整的黑灰产业链。甘哲楚认为，治理不能只盯着个案，要实现全链条治理。司法机关要对入侵者、倒卖信息者、教程卖家，还有实施非法查询的终端用户一体追责，形成震慑。
　　尚响军对此也深有感触，如今犯罪已经走向“教程化、产品化”，犯罪门槛被大幅降低，普通人花钱就可以学到作案手法，危害会持续扩散。他提出，治理要打出“两头打击”组合拳：公安机关、司法机关要持续高压打击犯罪链条的各个环节；监管部门要建立数据安全评级，对安全防护缺位的平台依法追责，倒逼平台加大安全投入。
　　除此之外，跨部门协同机制必不可少，监管、公安、网信互通黑灰产动态，推动行业统一安全标准。两名律师均提到，社会层面的普法教育同样关键，要面向粉丝群体普及个人信息保护法律知识，明确追星应当守住法律底线。
　　四川法治报全媒体记者 王焰 李欣璐