巴基斯坦移动网络基础设施数据集泄露分析

事件摘要

2026 年 10 月 24 日，黑客声称出售巴基斯坦移动网络数据，内含约 9.2 万条基站记录。经对分析本报告得出以下核心结论：

1. 数据为真，且与卖家描述同源。 卖家在 Telegram 截图中列出的三组数字——27,929、27,027、37,184——与包内三份 Ufone（PTML）文件 2G 工作表的行数逐一精确吻合（合计 92,140，即其”约 92K”），可确认传播样本就是其所售数据，而非”图文不符”的诈骗帖。
2. 卖家严重低估了数据体量与敏感度。 全包有效数据行实为 503,628 行（含重复副本 610,575 行），是其声称的 5 倍以上；”92K”仅统计了三份文件的 2G 单表，且 92K 是小区/扇区记录数，并非基站数（Ufone 物理站址约 9,609 个）。
3. 包内隐藏了本次事件最敏感的部分。 BTS SET QRY.accdb 并非普通”Access 数据库”，而是 2021 年 5 月 27 日拉瓦尔品第 Westridge / Chuhar Chowk 一带、四家运营商的单日 BTS 集合查询结果：125,891 条 CDR，涉及 26,570 个唯一手机号码、25,557 个唯一 IMEI，并附 12 个小区的 LAC/CID 与部分经纬度。帖文对此只字未提。
4. 泄露路径不是核心网入侵。 包内没有 SIM 鉴权密钥、HLR/HSS 签约、通话内容、计费账单或核心网配置；相反，Access 文件带有 Paste Errors、Test_ABIMEI 等人工草稿表，Telenor 的 IMEI 被截断为 14 位，Jazz 的小区/位置列以占位符 CID/LOC 填充。这些特征共同指向一台用于 CDR 分析的工作终端，最可能是执法/情报分析侧工作目录（或其二手流转）外流，其次是运营商内部人员。
5. 风险等级：高。 9,609 个站址及天线方位、下倾、频点、CGI 等参数构成巴基斯坦电信网络的”测绘底图”，覆盖旁遮普、信德、开普、俾路支、AJK、GB、FATA 等全部省区；CDR 则将 2.6 万余名特定时间出现在特定街区的个人暴露于可识别风险，并可能反向暴露 2021 年一次具体调查行动的时间与空间范围。

数据包结构与内容核验

数据分类

Ufone（PTML）工程数据

• 站址规模：2020 与 2021 规划表并集 9,609 个物理站址；2021 年新增 317 个、退网 25 个。
• 厂商结构：华为占比 2G 64.2%、3G 67.3%、4G 79.4%，其余为中兴；即 Ufone 无线接入网 100% 为中国厂商设备。
• 省份分布（2G，37,184 条）：旁遮普 60.1%、信德 22.2%、开普 9.1%、俾路支 2.9%、联邦首都区 2.5%、AJK 1.9%、FATA 1.1%、GB 0.3%。
• 网络元件命名：BSC（如 PSH001H__KohatRd_MGW_1）、RNC（如 UISB208H__RNC_I-10 Building ISB_3）、MME、MSC ID 等内部命名规则完整暴露，可用于推断网元拓扑与厂商版本。
• 数据质量线索：xlsb 含 4,860 个 3G 停用小区、350 个 2G 停用小区，说明其为”全量台账”而非在网清单；这也解释了其站点代码数（13,140）高于规划表站址数（9,609）。

2013 年跨运营商参考库

该库是 CDR 地理化分析的典型”民用底图”，长期在分析圈内流通；本次样本中它被完整打包两份，且恰恰是给 Jazz、Telenor 等非 Ufone 记录定位的关键。

BTS SET QRY.accdb：被隐藏的 CDR

数据库共 8 张表，其中 4 张为运营商 CDR，另有 CallType 映射表、Paste Errors 粘贴错误表、Test_ABIMEI 测试表（空）与空的 BWarid 表。

时间窗口：全部记录日期为 2021-05-27；Jazz、Zong 集中在 06:00–17:59（12 小时），Telenor、Ufone 覆盖 00:00–23:59。各运营商交付窗口不一致，符合”按请求分头导出、再人工汇总”的特征。

地理范围：Ufone 的 6 个小区经反查全部落在拉瓦尔品第 Westridge / Chuhar Chowk 一带，最远两点直线距离约 1.3 km；Telenor 的 2 个站址同样位于 Westridge 与 Peshawar Road。即这是一次约 1.5 平方公里范围内的”人-机-号”筛查，而非全网导出。

业务构成：Telenor 侧 SMS 38,618 条、语音 19,973 条、GPRS 9,349 条；Jazz 侧主叫 6,469、被叫 5,245、短信 17,187；Zong 主叫/被叫基本对半。整体以短信与信令为主，符合”以基站集合筛选在场用户”的查询目的。

真实网络特征：Telenor IMSI 中 67,931 条为 410-06（巴基斯坦 Telenor），另有 9 条境外 IMSI（424-03 阿联酋、242-01 挪威、262-02 德国、505-02 澳大利亚），与真实国际漫游一致；Ufone IMSI 以 410-03 系列为主。此类细节难以伪造。

数据质量异常（重要线索）：

1. Jazz 表的 CID、LOC 两列全部为字面值 CID、LOC，即表头被当作数据粘贴，实际小区与位置缺失；
2. Jazz 的 B 方号码混入十六进制业务标识（如 4A415A5A 即 ASCII “JAZZ”），说明数据经过二次编码/清洗；
3. Telenor 的 IMEI 全部为 14 位（8,029 个），较标准 IMEI 少一位，符合 Excel 数值处理导致的截断；
4. 存在 Paste Errors、Test_ABIMEI 等临时表，以及空的 BWarid 表（Warid 2017 年已并入 Jazz，说明沿用了旧模板）。

上述异常共同说明：这是一份由分析人员在终端上手工汇总的工作文件，而非运营商核心系统直接导出的原始文件。

敏感性与影响分析

敏感度分级

网络与国土安全影响

• 测绘价值：9,609 个站址 + 全量小区参数，可构建巴基斯坦主要城市的射频覆盖模型；对电子战、通信压制、无人机链路规划均具直接价值。
• 战略敏感区：2G 小区中 AJK 699 个、GB 94 个、FATA 402 个、开普 3,368 个；4G 在 AJK 亦有 104 个。这些区域涉及克什米尔实际控制线、北部边境与部落区，基站坐标属典型军事情报要素。
• 时效性折损：数据为 2020–2021 年，LAC/CID 与部分站址可能已调整，但物理站址、铁塔位置、机房地址在 5 年内变动有限，坐标与天线参数仍高度可用；2013 参考库与 2021 数据的一致性（8 年未变）进一步说明其长期有效性。
• 对 2026 年合并的影响：Telenor Pakistan 已于 2026 年 7 月并入 PTML（Ufone 5G），本包中的 Telenor 站址与 CDR 现已归同一法律主体，事件影响面与通知义务相应扩大。

执法与情报行动的次生风险

• 单日 + 单区域 + 四运营商同时取数，本身即暴露了2021 年 5 月 27 日拉瓦尔品第某次调查行动的时间与空间范围。
• 对立方可通过比对自身成员当日的通信记录，反推被监控的小区集合，进而推断行动目的、目标画像与信息来源。
• 若原始工作目录中还存有其他案件材料，本次泄露可能只是”冰山一角”。