美国国家安全局相关文件泄露

2026年1月8日，【暗网威胁情报监测系统发现】美国国家安全局相关文件泄露，文件似乎包含从数据库表 [dbo].[ActivityPerson] 中提取的 SQL INSERT 语句。该数据包括大约 100 名与美国政府机构相关个人的个人信息和职业细节，这些机构主要涉及国家安全、反恐、执法和外交活动。暴露的关键字段包括姓名、电子邮件地址、办公室和电话号码，这些与特定活动 ID 相关联。

此次泄露构成重大风险，包括针对性网络钓鱼、社会工程攻击、间谍活动或对海外美国人员的物理威胁。受影响的实体涵盖司法部 (DOJ)、国务院 (State)、联邦调查局 (FBI)、海关与边境保护局 (CBP) 等，重点关注非洲、中东、南亚和欧洲等地区的国际行动。敌对势力如国家赞助的行动者、网络犯罪集团或恐怖组织可能利用这些信息进行情报收集或破坏性行动。

背景

数据集以 SQL INSERT 查询的形式提供，似乎是从开发或生产数据库中导出的（例如，引用为“copyRecordFromDev_083016.sql”）。它记录了参与各种“活动”的个人，这些活动可能对应培训项目、外交互动、反恐举措或执法合作。

• 来源指标：文件名和内容表明其源于美国政府或相关系统，用于跟踪国际援助和安全项目。引用如 DOJ/OPDAT（海外检察开发、援助和培训办公室）、FBI 法律专员办公室以及国务院区域安全办公室 (RSO)，表明重点在于海外能力建设和反恐。
• 范围：条目覆盖 ActivityID 从 1944 到 2114，时间戳或文件引用暗示数据来自 2016 年左右（例如，“083016”可能为 2016 年 8 月 30 日）。然而，本分析将此视为潜在活跃或具有持续相关性的历史数据。
• 泄露背景：提供的资料中没有具体的泄露归属，但内容与针对美国国家安全数据库的入侵一致。类似事件（例如，过去的 OPM 或国务院系统泄露）已使人员暴露于来自敌对势力的风险。

数据分析

为了处理原始 SQL 插入语句，对数据进行了解析，以提取独特实体、分类归属并识别模式。主要指标：

find.txt:copyRecordFromDev_083016.sql:INSERT INTO [dbo].[ActivityPerson] ([ActivityPersonID], [ActivityID], [Email], [FirstName], [LastName], [Office], [Phone]) VALUES (18951, 2032, N'amy.chang.lee@usdoj.gov', N'Amy', N'Lee', N'DOJ OPDAT', N'202-514-6882')[/align]
find.txt:copyRecordFromDev_083016.sql:INSERT INTO [dbo].[ActivityPerson] ([ActivityPersonID], [ActivityID], [Email], [FirstName], [LastName], [Office], [Phone]) VALUES (18954, 2032, N'KennyKX@state.gov', N'Karyn', N'Kenny', N'DOJ OPDAT', NULL)
find.txt:copyRecordFromDev_083016.sql:INSERT INTO [dbo].[ActivityPerson] ([ActivityPersonID], [ActivityID], [Email], [FirstName], [LastName], [Office], [Phone]) VALUES (18955, 2033, N'amy.chang.lee@usdoj.gov', N'Amy', N'Lee', N'DOJ OPDAT', N'202-514-6882')
find.txt:copyRecordFromDev_083016.sql:INSERT INTO [dbo].[ActivityPerson] ([ActivityPersonID], [ActivityID], [Email], [FirstName], [LastName], [Office], [Phone]) VALUES (18956, 2034, N'amy.chang.lee@usdoj.gov', N'Amy', N'Chang Lee', N'DOJ/OPDAT', N'(202) 514-6882')
find.txt:copyRecordFromDev_083016.sql:INSERT INTO [dbo].[ActivityPerson] ([ActivityPersonID], [ActivityID], [Email], [FirstName], [LastName], [Office], [Phone]) VALUES (18957, 2033, N'TaylorRR@state.gov', N'Robin', N'Taylor', N'DOJ OPDAT', NULL)

• 总条目：100+ 记录（某些活动间有重复）。
• 独特个人：大约 80 名独特人士（基于姓名和电子邮件组合；某些命名变体，例如“Amy Chang Lee” vs. “Amy Lee”）。
• 暴露字段：

  • ActivityPersonID：独特标识符（18951–19072）。
  • ActivityID：链接到特定事件或项目（例如，2032–2114）。
  • Email：主要为 @state.gov、@usdoj.gov、@ic.fbi.gov、@cbp.dhs.gov，某些为 @usaid.gov。
  • FirstName/LastName：人员全名。
  • Office：角色如“DOJ OPDAT”、“Legal Attache”、“RSO”、“CT/P”（反恐/项目）。
  • Phone：直拨号码，包括国际号码（例如，+251-11-130-6490 用于埃塞俄比亚）。

按类别的主要发现

1. 关联机构和角色

• 国务院(State)：主导机构（超过 50% 的条目）。角色包括区域安全官员 (RSO)、公共事务部门 (PAS)、反恐/项目 (CT/P) 以及反恐/CVE（对抗暴力极端主义）。

  • 示例：Ivan Parkinson (CT/P, +202-663-1445), Irfan Saeed (CT/CVE, +202-736-4860)。
• 司法部 (DOJ)：重点关注 OPDAT 和 ICITAP（国际刑事调查培训援助项目）。

  • 示例：Amy Chang Lee (DOJ/OPDAT, +202-514-6882), Samuel Colon (ICITAP 副助理主任, +202-353-8228)。
• 联邦调查局 (FBI)：法律专员办公室和全球培训单位 (GTU)。

  • 示例：Jennifer DeSantis (GTU/FBIHQ, +202-323-9641), Naydja Bell (FBI/IOD/GTU, +202-324-7521)。
• 海关与边境保护局 (CBP)：国际事务以及欧洲/非洲部门。

  • 示例：Richard Quinn (欧洲部门, +(00-) 3-9-06 x-4674-2814), Sequoia Forrest (CBP – 国际事务, +202-344-1647)。
• 其他：USAID（例如，Jason Smith 在孟加拉国），财政部 (Carol Kelley, 技术援助办公室)。

2. 地理重点

• 数据揭示了美国人员驻扎或活跃于高风险地区，通常在大使馆或领事馆。

  • 非洲：埃塞俄比亚（亚的斯亚贝巴）、肯尼亚（内罗毕）、突尼斯（突尼斯）、阿尔及利亚（阿尔及尔）、布基纳法索（瓦加杜古）、喀麦隆（雅温得）、摩洛哥（拉巴特）。
  • 中东：约旦（安曼）、黎巴嫩（贝鲁特）、以色列（耶路撒冷）。
  • 南亚：印度（新德里）、孟加拉国（达卡）。
  • 欧洲：斯洛伐克（布拉迪斯拉发）、波斯尼亚（萨拉热窝）、奥地利（维也纳/UNVIE）。
  • 其他：马来西亚（吉隆坡）、泰国（曼谷）、墨西哥（墨西哥城）、阿根廷（布宜诺斯艾利斯）。
• 模式：许多活动涉及高威胁地区的反恐培训或法律援助（例如，非洲的基地组织附属机构、中东的 ISIS）。

3. 模式和重复

• 重复个人：Jennifer DeSantis 出现在多个活动中（例如，2045、2048、2049、2053、2054、2091），表明她在 FBI 培训协调中的核心角色。
• 活动集群：较高的 ActivityID（例如，2100+）重点关注欧洲和联合国相关角色；较低的关注非洲。
• 数据年龄：电话号码和电子邮件可能已过时（来自 2016 年），但许多域名（@state.gov 等）仍活跃，增加了验证需求。

结论

此次泄露数据集代表了对美国国家安全人员的中等到高严重性暴露，可能使敌对势力破坏外交和反恐行动。尽管数据似乎已过时，但其详细程度在持久威胁时代加剧了风险。