BGP劫持，说白了就是有人冒名顶替，在互联网上挂出一块假路牌，把本不属于它的流量全骗走。 打个比方：互联网是一座由几万个小区（专业名叫“自治系统”，即 AS，可以理解为一家运营商、一个大厂的网络）组成的超级城市，小区之间靠一种叫 BGP（边界网关协议）的路牌系统互相指路。这个系统有个天生的“软肋”——路牌不需要验公章，全凭邻居之间互相信任。谁随手挂一块“去某某网站请走我这条路”的牌子，全世界路由器就真信了。这就是 BGP 劫持（BGP Hijacking），也叫路由劫持。
你可能从来没在新闻标题里见过它，但它的“战绩”惊人：2008 年它让全球 YouTube 集体断网两小时；2018 年它几分钟内骗走一个加密钱包网站用户的私钥，卷走约 15 万美元；2021 年 Facebook 一次误操作撤掉自家 BGP 路由，全公司服务从互联网上“人间蒸发”六小时，让“BGP”这个词第一次冲上普通人的热搜。在 AI 时代，流量越来越集中到少数几个云和 AI 服务上，路牌被骗一次的“收益”和“破坏力”都在放大——这就是为什么网络安全的从业者最近几年把 BGP 劫持反复拿出来敲黑板。
先把三个“行话”翻译成人话：
AS（自治系统）：互联网不是一张整网，而是几万张小网拼起来的。每家运营商、云厂商、大厂管自己的那张小网，就叫一个 AS，相当于城市里的一个“小区”。每个小区有个编号，比如 AS15169 是谷歌、AS4134 是中国电信骨干网之一。
IP 前缀：每个小区占有一段 IP 地址，比如“208.65.152.0/22”表示从 208.65.152.0 开始的一段地址，可以理解成“某某小区的辖区范围”。
BGP：小区之间互挂路牌的协议。每个小区向邻居广播：“我这里有这段 IP 的路，要访问它们请把流量送到我门口。”邻居再转告给邻居的邻居，一传十十传百，几万台路由器各自记下一张“去哪儿走哪儿”的地图。
问题来了：BGP 天生没有身份验证。它诞生于 1989 年，那个年代的互联网是大学和研究机构组成的“熟人社会”，默认大家都不撒谎。只要任何人向邻居喊出“我拥有某某 IP 段”，只要这段路牌在别人眼里“足够具体”，就会被接受并传遍全球。
而路由器选路有条铁律，叫最长前缀匹配——路牌越细越优先。比如全世界都知道“208.65.152.0/22 这个辖区归 YouTube”，突然有人喊“208.65.152.0/24 这一小块在我家”，/24 比 /22 更细（范围更小更精确），路由器立刻改道。这就是劫持者的核心套路：冒名 + 挂更细的牌。
它解决（或者说“利用”）的问题是什么？对攻击者来说有三类好处：一是窃听，流量路过我家，我可以偷看未加密的内容；二是仿冒，把用户引到一模一样的假网站骗密码和私钥；三是掐断，让某个网站全球性瘫痪。对整个互联网来说，BGP 劫持暴露的则是“信任体系缺失”这个三十年的老 bug。
第一，历史名场面足够震撼。 2008 年 2 月，巴基斯坦电信（AS17557）为了限制境内用户访问 YouTube，向自家网络宣告了一条更精细的 YouTube 路由，结果配置失误，这条假路牌经由上游电信公司传遍全球——两小时内全世界都访问不了 YouTube，成了 BGP 劫持最经典的教科书案例（RIPE NCC 当年发布了专门的事故分析报告）。
第二，它真的能“抢钱”。 2018 年 4 月，加密货币钱包服务 MyEtherWallet 的用户流量被引到俄罗斯一家网络，配合 DNS（域名解析，即“网址翻译成 IP”的环节）劫持，用户看到的是假钱包网站，输入的私钥当场被盗，几分钟损失约 15 万美元。从那以后，“路由劫持 + 假站钓鱼”成了加密资产世界的经典威胁模型。
第三，大厂事故让它出圈。 2021 年 10 月，Facebook 工程师一次例行维护错误地撤掉了自家 BGP 路由，Facebook、Instagram、WhatsApp 全球断网六小时，连公司内部门禁和工牌都失灵了。虽然这次是“自己撤自己的牌”而非被人劫持，但它让几十亿用户第一次意识到：原来整个互联网的指路系统，脆弱到一条错误命令就能让它失忆。
第四，AI 时代让“路牌”的价值水涨船高。 如今海量流量高度集中在少数云平台、CDN（内容分发网络）和 AI 服务入口上，骗到一块关键路牌，等于在高速枢纽上开了一家“黑店”，收益和影响都被指数级放大。
第五，防御体系正在加速补课。 这是最重要的趋势：业界推出了 RPKI（资源公钥基础设施），相当于给路牌发“房产证”——IP 段的真正主人用密码学签名宣告“这块地确实是 mine”，路由器收到未签名的冒牌路牌可以直接拒收。近几年全球路由表里 RPKI 签名覆盖的比例快速攀升，头部云厂商、CDN 和大型运营商陆续开始“只认有证的路牌”。IETF 还在推进 RFC 9234 等新标准防范路由泄漏。行业的 MANRS（全球路由韧性倡议）每年发布安全报告，统计全球数百起路由事件——正是这些事件数据在持续给行业施压。（注：路由事件的最新统计数字以 MANRS 年度报告和 Cloudflare Radar 公开数据为准，本文不引用未经核实的具体近期事件。）
flowchart TD
A[你在浏览器输入网址] --> B{路由器查路牌}
B -->|正常路牌| C[正确运营商网络]
C --> D[目标网站真服务器]
D --> E[数据完好送达]
B -->|冒牌更细路牌| F[劫持者的网络]
F --> G[假网站或窃听或丢包]
G --> H[密码私钥被盗或断网]
看懂这张图只需要记住一件事：用户和真服务器都没做错任何事，只是中间的路牌被骗了。流量像被假交警引错道的高速车流，一辆辆开进了骗子家门口。
如果你是普通人：BGP 劫持发生时，你的感受通常是“某网站突然打不开”“网速莫名其妙变慢”“明明输入了正确网址却看到不对劲的页面”。你无法阻止路牌被骗，但可以让自己“被骗了也不亏”：重要账户全部开启两步验证（短信或验证器App的第二道密码）；涉及转账、加密钱包的操作，多看一眼证书提示和网址细节；遇到大面积“上不了网”，先别急着卸载重装，多半不是你的问题。
如果你是网络/运维从业者：这是实打实的职业技能点。给你的网络配上出口过滤（RFC 7454 最佳实践）、给自己的 IP 段注册 RPKI ROA（路由起源授权，即“房产证”）、对企业关键前缀用 RIPEstat 或 Cloudflare Radar 配置劫持告警，都是越来越被重视的基本功。一次被劫持事故的公关成本，远高于这些配置的技术成本。
如果你是投资者：BGP 劫持指向的是“互联网底层信任基础设施”这条赛道——PKI 证书体系、路由安全监测、云网络防护、加密资产安全，都是安全预算持续增长的细分方向。反过来看，一家云厂商或交易所若多次卷入路由安全事件，其技术风险管理能力也值得打个问号。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。