墨西哥城行政和财政部长 (CDMX) 数据中心基础设施大规模泄露事件

事件概述

2026年7月5日，黑客在暗网论坛公开泄露了涉及墨西哥城（CDMX）行政和财政部长 的内部数据中心基础设施全量档案。此次泄露并非单一凭证或少量文件的泄露，而是一次高度结构化的基础设施全景图曝光——涵盖内部网络拓扑、全部生产/开发服务器清单、所有数据库和API服务的明文凭证、GitLab完整代码仓库目录、电子邮件账户密码，以及97份交通违法罚单PDF文件。

泄露核心内容涵盖：

• 52个内部系统的完整配置清单（含IP、框架、版本、用途）
• 37台服务器的操作系统、IP、VMware虚拟化信息
• 28个数据库的明文用户名和密码（PostgreSQL/Oracle）
• 92条API服务端点映射（含RENAPO国家人口登记API、eFirma电子签名API等国家级接口凭证）
• 10+个API认证Token和OAuth密钥的完全暴露
• 2个政府电子邮件账户及明文密码
• 44个内部GitLab仓库的完整目录（含开发者姓名和分支结构）
• 26个开发中系统（含测试凭证）
• 97份交通违法罚单PDF（ecoParq停车罚单）
• 内部可访问的国家级敏感服务：CURP（人口唯一注册码）查询API、电子签名（eFirma）API

风险级别：极高 —— 此次泄露将墨西哥城财政部的整个IT基础设施以”运维手册”级别的详细度完全暴露，攻击者可据此构建从外围渗透到内部横向移动的完整攻击链。更重要的是，泄露的API凭证可直接访问墨西哥国家级敏感服务（人口登记、电子签名），影响远超CDMX单个政府机构。

泄露文件清单

泄露数据深度分析

一、数据中心基础设施全景图（XLSX主文件）

1.1 系统清单（sistemas工作表，52行）

暴露了52个内部系统的完整技术栈信息，关键维度包括：

1.2 服务器清单（servidores工作表，37行）

完整暴露了37台物理/虚拟服务器的：

关键发现：暴露了还在运行 Fedora Core 2 (2004年) 和 Ubuntu 12.04 (2012年) 的严重过期操作系统，这些系统早已结束安全支持，存在大量已知漏洞。

1.3 数据库凭证完全暴露（Bases de datos工作表，28行）

这是此次泄露中直接危害性最高的部分——28个数据库的明文用户名和密码全部罗列：

密码模式分析：大量密码遵循 s4F.xxx（或 s4f.xxx）前缀模式——”SAF”是 Secretaría de Administración y Finanzas 的缩写，表明这是机构内部统一的密码策略。此密码模式的暴露使攻击者可推测其他未在列表中系统的潜在凭证。

1.4 API服务端点与Token完全暴露（servicios por IP工作表，92行）

这是此次泄露中影响范围超越CDMX单一机构的关键部分——暴露了可直接访问墨西哥国家级政府服务的API凭证：

最危险暴露：RENAPO CURP查询API的完全访问凭证。CURP（Clave Única de Registro de Población）是墨西哥全国人口的唯一身份注册码——此API可查询任意墨西哥公民的CURP记录，包含个人身份信息。攻击者获取此API凭证后，可以对墨西哥全国人口进行身份信息批量查询。

eFirma API风险：墨西哥的eFirma（电子签名）具有完全的法律效力，等同于手写签名。API Token的暴露意味着攻击者可利用CDMX财政部的eFirma接口伪造电子签名文件。

1.5 电子邮件账户（Cuentas De Correo工作表）

这些邮件账户可用于发送钓鱼邮件（伪装成CDMX财政部官方通信）、密码重置其他关联服务、以及访问关联的Microsoft 365/Google Workspace服务。

1.6 GitLab完整代码仓库目录（Proyectos de Git antiguos工作表，44行）

暴露了内部GitLab服务器（git@10.1.181.70）上的44个代码仓库的完整目录：

暴露的开发者：至少识别出 20+名开发人员的GitLab用户名，可被用于社工攻击、凭证猜测和定向钓鱼。主要开发者包括：jorge.medgal（核心管理员）、noe、nayeli.cuevasr、thcasimiro、pjimenez、lorena.hernandez、margarita.martinez 等。

二、项目/系统清单（Listado de Proyectos.xlsx）

2.1 生产环境系统（Productivos工作表，12行）

2.2 开发中系统（En desarrollo工作表，26行）——包含更多明文凭证

密码强度评估：多个系统仍使用 12345678、123456、123 等弱密码，生产环境亦如此。

三、交通违法罚单（97个PDF文件）

ZIP文件 Lineascapturainfracciones.zip 包含97个PDF文件，全部为墨西哥城 ecoParq 停车罚单。PDF内容特征：

注意：这些PDF中未出现明显的公民个人身份信息（如车牌号、车主姓名）——罚单主要是缴费凭证（línea de captura），包含条形码和金额。但罚单编号和条形码可能可以关联到内部数据库中的车主个人信息。

归因分析

综合归因评估：最可能的场景是CDMX财政部IT部门的内部人员（或近期离职人员）将日常运维工作文档直接导出并泄露。ID “administradorsistemas”（系统管理员）可能是行为者自我身份的暴露而非伪装。与 shadowwo 的PS.docx模板一致可能表明同一组织提供了泄露行动的技术支持和标准操作流程（SOP）。