也门胡塞武装民用基础设施 3,817 名工作人员账号数据泄露-全球CTI监控

执行摘要

2026 年 10 月 20 日至 21 日，反胡塞黑客行为体 S4uD1Pwnz 声称泄露”分布于 15 个民兵控制行政区域、总计 3,817 条员工记录”的数据库。列出的字段包括用户识别号、用户名与全名、电话号码、电子邮箱（部分）、省与区、地点/机构、账号状态、角色与权限、账号或记录类型。

20261022173236622-图片

第一，数据规模与宣称值 100% 吻合。 压缩包内 15 个省导出文件共解析出 3,817 条记录，主键（Main ID）3,817 个互不重复，无重复行、无跨文件重叠。省级分布呈自然偏态（荷台达 552 条、达马尔 514 条，索科特拉仅 2 条），不存在合成数据典型的”每省人数近似相等”特征。 20261022173043697-图片

第二，数据来自真实运行的 eDEWS 系统，而非伪造。 决定性证据是 2 条记录（Main ID 3579、4674）的 Lock State 字段中残留了完整的后台管理页 HTML 片段，其中包含 ../cpanel/val_user.php、inval_user.php、active_user.php、editUsers.php、deactive_user.php、reset_password.php 六个后台端点，且参数 rt= 的 Base64 值（MzU3OQ==／NDY3NA==）解码后正好等于该记录自身的主键（3579／4674）。这说明导出者是在已登录的管理后台中逐条打开用户详情页抓取的，HTML 按钮被误采集进字段。此类痕迹极难被伪造。此外，机构编码前两位（13/14/15/16/17/18/20/22/23/26/27/29/30/31）与也门官方省级行政编码逐一对应；15 省共 209 个区名全部为也门真实行政区；阿马纳特阿西玛（10 个区）、赖马（6 个区）、哈杰（31 个区）、达马尔（12 个区）、马赫维特（9 个区）、阿姆兰（20 个区）、荷台达（26 个区）的区级覆盖数量与公开行政区划口径一致；角色体系（HF FP／Dis FP／Gov FP／Gov RRT／Lab FP）与 WHO 支持下的 eDEWS 组织架构（卫生机构联络员—区级快速反应组—省级协调员—中央）完全对应。

综合评估： 该事件是 S4uD1Pwnz 继 2025 年 8 月攻击胡塞控制的红海港务局（宣称获取 33,000 余条航次数据）之后，对胡塞控制区关键民用基础设施的又一次政治动机攻击。数据本身真实度高，泄露主张可信度高；由于 2026 年 9-10 月也门正处于冲突升级与霍乱暴发的叠加期（WHO EMRO 通报截至 10 月 2 日 10 省 959 死、4,207 伤），一线监测人员名录外泄的人身安全风险与账号被接管导致监测数据投毒的风险均不可低估。

目标系统画像：也门 eDEWS

eDEWS（Electronic Disease Early Warning System，电子疾病早期预警系统）由也门公共卫生与人口部（MoPHP）在 WHO 技术支持下运行，2013 年 3 月在亚丁、拉赫季、阿比扬、塔伊兹 4 省 100 家卫生机构启动，监测 16 种优先传染病。
至 2016 年底完成第三轮扩展，覆盖 23 个省、1,186 家卫生机构；WHO 曾培训 2,500 余名机构联络员操作该系统。
报告机制为”24 小时内即报（急性弛缓性麻痹/脊灰、霍乱、出血热等）+ 周报汇总“，数据沿”卫生机构 → 区 → 省 → 中央”逐级上报，中央由国家协调员、数据管理官、数据跟踪官与 IT 官运营。
机构层级角色与本次泄露数据的角色字段一一对应：health facility focal point（HF FP）、district（Dis FP）、governorate（Gov FP/协调员）、RRT（快速反应组）、实验室（Lab FP）。