文章总结： 报告调研txxx测绘设备数据出境风险，发现五类外联通道致序列号、设备指纹、主机名及邮箱等敏感数据持续传输至m国，构成对境内测绘单位与项目的侧写风险。建议将txxx纳入数据出境审查，建立设备台账、优化出口网关、评估离线激活，并在采购中增加合规条款。
综合评分： 72
文章分类： 数据安全,威胁情报,漏洞分析,安全运营
第16期：TXXXX IXXXXX MXXXX与AXXXX数据出境调研报告
原创
数据安全官
数据安全官
漏洞分析师
2026年9月23日 21:57
广东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
TXXX公司总部位于M国，是全球测绘与地理信息设备巨头，业务覆盖GNSS测量、航空摄影测量、工程建造软件与交通物流导航，配套硬件包括手持控制器、GNSS接收机、全站仪与三维扫描仪，核心外业软件AXXX及安装与许可管理软件经官方渠道分发。M国联邦合同数据显示，近十年TXXX共有约2181份联邦合同、合计约2.41亿美元，其中国F部占58%，三军合计510份、约1.31亿美元，涵盖陆战队测量装备、陆军GPS与激光系统及航空相机，军方是其采购第一大客户，另覆盖农Y部、内Z部、NXXA与NXSX等。
对安装与许可管理软件的PC与Android双端逆向分析并核验外联端点归属后，确认至少存在五类数据外联与出境风险通道，业务数据经CDN或云服务全部落地M国。其一，许可激活与设备注册。软件启动即自动将产品序列号、设备标识及主机名（常含部门、人名或资产编号）经新JP或香G边缘转发至M国源站，全程免登录、无应用内开关。其二，设备指纹采集。安装器采集网卡、磁盘、卷序列号与机器标识，经自定义算法生成设备指纹随许可请求上行，主机序列号以明文链路获取。其三，移动端许可与设备接口。手持控制器将序列号、真实型号、登录邮箱与用户标识上传至M国源站，序列号长期以明文URL参数形式出现在访问链路中。其四，身份认证与埋点。账号登录走M国认证体系，授权码、令牌与登录邮箱出境，运行期间另向G***le上报设备信息与异常事件，无应用内关闭选项。其五，配置面与本地链路。外部存储文件可改写云端地址将数据引向第三方，应用备份默认开启、存在绕过主链路的旁路通道；局域网仪器通道另发现明文传输与硬编码口令。
上述通道叠加后，测绘设备的序列号、设备指纹、主机名与登录邮箱捆绑持续出境——测绘设备多用于基础地理信息采集、地质勘查与工程建设，序列号与主机名可关联到具体单位与人员，设备指纹可长期追踪单台设备，构成对境内测绘作业单位与项目活动的侧写风险。境内公开采购记录显示，TXXX测绘装备广泛部署于测绘科研院所、省级地震局、海事测绘、地质勘查、高校科研与智能驾驶等领域。
TXXX为M军测绘装备第一大供应商，与国F部、N业部、内Z部及NXXA等长期合作，其云基础设施位于M国，构成接收方背景风险。TXXX为全球导航定位行业联盟创始成员并主导多个国际地理信息标准组织，其与RB尼*合资的主体被用于RB市场本地化，核心软件与接收机技术仍来自M方。
建议相关单位将TXXX体系纳入数据出境审查与评估，建立序列号与设备台账（序列号常态出境，需绑定使用人、存放位置登记）；在出口网关仅放行业务必需域名，阻断测试域、失效域与埋点域；已联网存量设备评估改为离线激活与离线许可；采购评审增加数据出境合规条款，要求供应商书面声明传输字段与存储地点、提供离线部署能力与外联端点清单；技术参数避免独家指向，为国产替代保留空间。完整证据链与采购背景，请下载报告全文查看。
数据出境 #数据泄露 #测绘 #地理信息 #敏感数据 #开源情报
注：本报告所有数据均来自公开媒体报道、学术文献及政府公开文件，仅用于学术研究。
相关分析报告（21206字）、《TXXXX IXXXXX MXXXX与AXXXX数据出境调研报告》已进行合规化处理并上传至星球。
扫码获取单篇报告
点这里👇关注我，及时获取开源情报
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：漏洞分析师 数据安全官
数据安全官《第16期：TXXXX IXXXXX MXXXX与AXXXX数据出境调研报告》