粉圈“开盒”黑产曝光:购票App漏洞扒明星航班,38人落网、社工库3亿条

2026年9月14日，在“国家网络安全宣传周”主题通气会上，四川省乐山市公安局向社会公布今年以来侦破的20起涉网典型违法犯罪案例。其中最刺眼的，是一组围绕“开盒”展开的黑色产业链：有人利用航空、高铁购票App的审核漏洞，批量扒取明星网红的身份与航班票务信息，再兜售“开盒”教程牟利；有人以收徒为名，组建所谓“集团”，靠有偿“开盒”“挂人”实施网络暴力。

“开盒”二字，正在从网络亚文化黑话，变成摆在刑法面前的真实罪名。

乐山警方披露的两类典型案件，勾勒出“开盒”黑产的两种形态。

第一类是林某某等人侵犯公民个人信息案。该团伙利用部分航空公司、高铁购票App及网站的校验、审核机制漏洞，非法查询、获取大量明星、网红等公众人物的身份资料、航班与高铁出行票务信息，同时通过互联网平台宣传推广、出售“开盒”教程，向粉丝群体兜售，累计非法获利220万元。该案抓获犯罪嫌疑人38人，其中34人被采取刑事强制措施，查获公民个人信息5万余条；公安机关还同步梳理出同类团伙70余个、涉案人员612名。

第二类是徐某某“某某集团”案。犯罪嫌疑人长年化身“开盒”从业者，以招收“徒弟”名义收取财物，成立非法网络组织，以有偿“开盒”“挂人”等方式实施网络暴力、牟取非法利益。警方打掉该团伙时，查获用于“开盒网暴”的社工库信息3亿余条、涉案资金6万余元，一举斩断集信息窃取、网络霸凌、黑灰产牟利于一体的犯罪链条。

值得注意的是，乐山全市2026年以来的网安战果相当惊人：主侦案件148起、采取强制措施625人，同比分别上升198%、363%，办理谣言、网暴等行政案件40起、打处62人。

“开盒”在刑法上的核心落点，是《刑法》第二百五十三条之一的侵犯公民个人信息罪。

该条规定，向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。非法获取、出售、提供行踪轨迹信息、通信内容、财产信息等内容，或者数量达到法定标准，即构成“情节严重”。

本案中，明星网红的身份资料、航班票务属于高度敏感的个人信息，一旦被批量获取并用于“开盒”，不仅侵犯隐私权，还极易诱发跟踪、滋扰、敲诈等下游犯罪。利用平台漏洞批量爬取再售卖教程，兼具“非法获取”与“出售提供”双重违法性，量刑会向“情节特别严重”靠。

此外，“开盒”后的“挂人”、网暴行为，还可能单独或同时触犯侮辱罪、诽谤罪，以及在信息网络上造谣滋事涉嫌寻衅滋事。若以“开盒”为业、组织化运作，组织者还可能被认定为共同犯罪的主犯，承担更重的责任。

误区一：“我买的，又不是我偷的，不犯法。” 错。无论是非法获取、购买，还是出售、提供公民个人信息，都在这条罪的打击范围内。买和卖都是共犯的一环。

误区二：“平台有漏洞，怪不了我。” 平台漏洞是安全管理问题，不能成为个人非法获取、牟利的免责理由。恰恰相反，利用漏洞批量窃取，往往被认定为“情节严重”的加重情节。

误区三：“只是粉丝好奇，看看偶像行程而已。” 将他人行踪信息当作商品兜售，已经越过好奇边界，进入黑产交易。粉丝群体尤其要提高警惕，所谓“开盒教程”本身就是犯罪证据。

对普通人：不要购买、查询、传播他人隐私信息；发现有人兜售“开盒”服务，应保留证据并举报。对个人信息的保护，从拒绝参与开始。

对平台企业：购票、出行类App掌握海量敏感信息，必须压实安全保护义务，及时修补校验漏洞、加强异常查询监测。根据网络安全法、个人信息保护法，不履行保护义务本身也要承担行政乃至民事责任。黑产线索暴露后，平台应主动向监管部门和公安机关移交，这既是合规要求，也是阻断犯罪链条的关键一环。

“开盒”不是网络江湖的恩怨游戏，而是一条踩在刑法红线上的黑色生意。乐山这20起案例敲响警钟：网络从不是法外之地，个人信息也绝不允许被明码标价。

守护自己的隐私，也要尊重他人的边界。当我们远离“开盒”，清朗的网络空间才真正有可能建立。

END