网站或 App 里的用户信息泄露了，马上补救，通知用户和主管部门，被人攻击的去公安报案

不花钱。要提前写好一份出事时的处置预案：谁拍板，先堵哪个口子，通知用户的话怎么写。难在出事那一刻的本能是捂住，不想让用户知道

个人信息保护法原话是「发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人」。通知要写三样：泄露了哪类信息、原因和可能的危害；你做了什么补救、用户自己能做什么来减轻危害；你的联系方式。你的补救确实能避免危害的，可以不通知用户。但主管部门认为可能造成危害的，有权要求你通知。网络数据安全管理条例说，通知可以用「电话、短信、即时通信工具、电子邮件或者公告等方式」。处置时发现涉嫌犯罪线索的，要向公安机关、国家安全机关报案。不履行这些义务的，责令改正、警告、没收违法所得，违法的 App 可以被责令暂停或者终止服务。拒不改正的，罚 100 万元以下，直接负责的人罚 1 万到 10 万元。情节严重的，罚 5000 万元以下或者上一年营业额 5% 以下，负责人罚 10 万到 100 万元。民事上，用户因此受了损害，你「不能证明自己没有过错的，应当承担损害赔偿等侵权责任」。泄露规模大的还要按时报告。国家网信办的办法规定，泄露 100 万人以上个人信息算「较大网络安全事件」。这类事件，一般网站和 App 要向所在省的网信部门报告，「最迟不得超过4小时」，渠道之一是 12387 热线。处置结束后 30 日内还要交一份总结报告。迟报、漏报、谎报、瞒报造成重大危害后果的，从重处罚。反过来，已经采取合理必要的防护、按预案处置、并且及时报告的，「可视情从轻或不予追究」（全国，报告办法 2025 年 11 月起）

A　有具体数字可查，出处是荟萃分析、大型队列或随机对照试验

全国人大常委会 (2021). 个人信息保护法（第五十七、六十六、六十九条）. spp.gov.cn/spp/fl/202108/t20210820_527244.sh… ; 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十七、四十四、七十一条；2016 年文本为第二十五、四十二条）. cac.gov.cn/2025-12/29/c_1768735112911946.htm ; 国务院 (2024). 网络数据安全管理条例（国务院令第 790 号，第十一条）. gov.cn/gongbao/2024/issue_11646/202410/c… ; 国家互联网信息办公室 (2025). 国家网络安全事件报告管理办法（第四、八、九、十、十一条，附件《网络安全事件分级指南》）. cac.gov.cn/2025-09/15/c_1759583017717009.htm

小站泄露几百、几千人，也要按个人信息保护法补救和通知，只是达不到 4 小时报告那道门槛。通知用户时，把能做的事写具体：改哪个密码，提防冒充客服打来的电话。日志留够 6 个月，出事时才查得清是从哪里漏的，见第 11 节第 16 条（按等级保护要求留日志）。用户被泄露之后自己怎么防，见第 14 节