项目管理中有一条基本原则，无论是在工程领域还是公共政策领域，都很少会失败：一个坏主意加上糟糕的执行，就是灾难的完美配方。
我们现在在墨西哥2026年初所经历的，不是一次偶然的意外，也不是一件无法预测的惊喜；这是一场早已被预言的灾难。就在几个月前，在国家安全和打击勒索的旗帜下，通过了一项许多人警告可能是有毒的改革。我指的是2025年7月16日公布的新电信和广播法，该法案创造了一个新的强制性手机用户注册制度。
政府的前提在纸面上很诱人，但在实践中却是严酷的：建立一个全面性的注册系统，将我们的生物身份和法律身份与我们的电话号码绑定在一起。然而，很多问题仍然悬而未决：谁将保护包含我们生活元数据的这个数据库？它将如何被真正使用？谁将能够访问？最令人不安的问题是：我，作为一个公民，如何知道谁和如何使用我的数据？
今天，不幸的是，我们已经得到了答案。这些答案令人恐惧。
历史上的固执和公民反对
在墨西哥拥有一个手机用户注册系统的想法并不是新鲜的；这是国家的一种周期性痴迷。我们已经在2009年菲利佩·卡尔德隆政府的失败的RENAUT计划中遇到了这种情况，最终数据库在特皮托的黑市上被以几分钱的价格出售，而当时的总统本人也被注册了数千条电话线。我们在2021年又遇到了PANAUT，这是一个更加激进的尝试，要求生物识别数据，并且幸运的是，它在2022年被最高法院宣布为违宪。
2026年这个新尝试中，人口的低参与率并不是冷漠；这是自我防御的一种行为。这是对公民隐私侵入性监管的反映。人们直觉地认为，将数据交给国家（或由国家强制执行的特许经营者）不能保证安全，而是将他们置于一个橱窗中，以便被监视或更糟糕的是被商业化。
Telcel 的执行：“情绪编码”和疏忽
但是，如果立法思想已经因为其侵入性质而很糟糕，那么2026年1月我们所看到的技术执行则可以说是“犯罪性地”粗心大意。
为了“使事情更加糟糕”，Telcel——拥有超过8000万条电话线的主导运营商——为生成这个注册系统所采用的实施方式，是对最基本的网络安全实践的侮辱。2026年1月9日，即注册的第一天，他们的数字基础设施不因饱和而崩溃，而是因无能而崩溃。
我必须承认一件事：由于我个人对这条法律不太关心，所以最初没有太在意。然而，我积极参与了几个网络安全和技术论坛——其中一些由高素质的人员、道德黑客和其他有大量空闲时间的爱好者组成。看到这些空间的内容令我感到震惊。
不需要国家安全局的工具或俄罗斯黑客来利用这个漏洞。只要有一点意愿和基本的网络开发知识，任何人都可以利用这个漏洞。新闻报道和独立的法医分析揭示了一个仓促拼凑的软件架构，这是开发人员术语中所谓的“情绪编码”：凭直觉编程，没有压力测试，没有安全审计，并希望“好情绪”能保持服务器的安全。
泄密的解剖：暴露的“主密钥”
错误如此基本，以至于解释起来很痛苦。漏洞存在于资格API中。当用户（或攻击者）在网页表单中输入手机号码以查询是否需要注册时，服务器没有简单地用“是”或“否”来响应。
相反，服务器（后端）返回了一个包含完整客户信息的JSON对象（一种用于数据交换的纯文本格式）。
任何人只要知道如何打开浏览器的开发者控制台，就可以看到：
这不仅仅是电话号码的简单泄露。通过暴露RFC和CURP以及姓名和电话号码，Telcel交出了身份盗用的“主密钥”。有了这些数据，犯罪者可以以受害者的名义进行银行业务，申请信用，访问政府门户（如SAT），或以惊人的容易程度执行SIM Swapping（电话线劫持）攻击。
最讽刺和悲惨的是，这条法律被宣传为一种防止勒索的工具。结果却与预期完全相反：现在勒索者有了一个经过验证、更新和免费的目录，可以用来进行“手术般精确”的电话勒索，提及受害者的全名和税务数据，以此来播下恐惧的种子。
即使在社交媒体和独立媒体上爆出丑闻之后，技术回应只是在视觉界面（前端）上打了一个补丁，几个小时内都没有解决服务器的漏洞。这是一种持续的疏忽。
冰山一角：谁来监督守护者？
Telcel 的这个事件应该在国家的控制面板上触发所有红色警报。我们不能把它看作是一家私营公司的孤立事件；这是墨西哥国家数字基础设施和其特许经营者系统性问题的冰山一角。
如果拉丁美洲最大的、最富有的电信运营商，拥有理论上无限的资源，无法在法律规定的第一天保护一个基本的API，那么我们对直接由政府管理的项目又能期待什么？
我指的是已经实施或计划中的更加敏感的项目：
2026年电话注册的残酷教训是，国家要求数据的监管能力与其保护数据的技术能力成反比。我们正在构建信息仓库（“蜜罐”），这些仓库对于网络犯罪来说是不可抗拒的，却没有必要的锁。
谁来监督我们的监督者？
在数字民主中，基本的问题是：谁来监督那些监视和监管我们的？
今天，答案似乎是“没有人”。或者更糟糕，“只有我们自己，当为时已晚的时候”。原本应该作为制衡的独立机构，如INAI（现在其职能被反腐败秘书处吸收），面临着削弱其立即对抗企业或政府巨头的制裁能力的政治挑战。
Telcel 的泄密事件证明了“数字死亡”——未注册就断网的威胁——这是一个将公民置于剑锋和墙壁之间的胁迫：要么你交出你的隐私给一个不安全的系统，要么你就失去联系。
作为技术人员、分析师和公民，我们不能让无能成为常态。一个坏主意（无差别的大规模注册）加上糟糕的执行（基本的API漏洞），这不是“数字转型”，这是系统性的疏忽。
如果我们不要求进行外部、真实和公开的审计，如果没有让企业和官员为泄露我们的数据承担严重的法律后果，那么我们就不是生活在一个信息社会，而是生活在一个暴露社会。
2026年注册已经失败了，其承诺的安全性也已经破灭。它唯一成功做到的事情是证明，当国家决定监视我们而不知道如何保护我们时，我们是多么脆弱。
Larry