IPO前夜凌晨2点20分，安哥拉最大运营商被“放倒”：断网23天全复盘

概述

2026年7月28日凌晨2点20分，安哥拉最大移动运营商Unitel的核心技术基础设施检测到异常活动，数小时内全国语音、移动数据与互联网服务全阻，约2100万用户失联，POS支付、银行转账、税务缴纳一并停摆。而就在24小时后，这家公司要完成安哥拉资本市场历史上最大规模的IPO。本文基于多方公开信源复盘这一事件的时间线、技术侧写与结构性教训，并对照同期智利运营商遭网络渗透调查、俄罗斯Rostelecom遭DDoS两起事件，拆解针对电信网的三种攻击打法，以及一线运维能带走什么。

一、事件全貌：一场掐着秒表发动攻击

先把时间线摆出来。以下信息均来自公开报道，标注不清处已注明信源。

几个细节值得展开。

攻击时机是“教科书级”的坏。 IPO已定价、已超购，上市前夜核心网全国性瘫痪，直接威胁首日估值和交易所信誉。攻击者要么是想在赎金谈判里拿到最大杠杆的勒索团伙，要么就是以“搞臭私有化进程”为目标的政治性动作——公开信息无法区分这两种动机，因为Unitel至今没有披露攻击性质、没有指认责任方，也没有任何团伙宣称负责。

但交易和攻击是“物理隔离”的。 多方报道均指出，没有任何迹象表明IPO流程或交易所交易系统被入侵——攻击打的是运营网络，不是上市本身。

历史包袱让这件事更微妙。 Unitel上世纪90年代末由国家石油公司Sonangol与包括前总统多斯桑托斯之女伊莎贝尔·多斯桑托斯（通过Vidatel持25%）在内的私人投资者合资建立。2022年10月，安哥拉政府以反腐败名义收缴了私人股份，目前由国资机构IGAPE和Sonangol集团持有。2026年7月这次出售15%股份，国家保留控制权。一次掐着私有化里程碑时间的攻击，政治回声远超技术圈。

二、技术侧写：断的不是光缆，是“核心系统”

这是整个事件里对运维人最有价值的一段。据安全厂商Rescana对RIPE NCC与Cloudflare Radar遥测数据的分析：

• Unitel的IP前缀在整个事件期间持续对全球互联网正常宣告。 这一点非常关键——它排除了上游连接中断，也基本排除了体积型DDoS把出口打满的情形。出口还在，路由还在，是“里面”坏了。
• 证据指向内部核心系统被打断，很可能是通过网络管理或业务发放平台的直接访问或漏洞利用达成的。Rescana将其对应到MITRE ATT&CK的T1499（端点拒绝服务）与T1489（服务停止）两类技术。
• 同期安哥拉其他运营商（Africell、Movicel）没有出现类似问题，说明这是一次高度定向的行动，不是漫无目的的扫描撞上了洞。

干了这么多年核心网，看到“前缀正常宣告但业务全阻”，脑子里蹦出的第一反应是：管理面被穿透了。这类故障形态我们在内网演练里叫“业务面看着活着，控制面已经死了”——用户 attachment、鉴权、会话建立链条上的某个关键环节（可能是HSS/UDM的数据、可能是网元本身的软件状态、也可能是批量下发配置被篡改）被人动了手脚。

23天恢复期意味着什么？ 官方没有解释为什么需要23天。但按业内处置此类事件的常规做法，可以合理推测几个因素（注意：以下是分析，不是官方结论）：

1. 取证保全优先于抢通。 核心系统被入侵后，不能直接用快照恢复——快照里可能带着持久化后门。取证团队要先固化证据，这会拖慢一切。
2. “洁净重建”是最贵但最稳的路线。 对被渗透过的网管系统、堡垒机、甚至部分核心网元，做全量重装（clean-slate rebuild）而不是打补丁了事。对一个全国性运营商的核心网来说，这是以周为单位的工作。
3. 每一步恢复都要防二次沦陷。 攻击者初始访问途径未查明之前，任何匆忙恢复都可能是白干。

Unitel自己把这件事定性为“针对其技术基础设施、规模与复杂度罕见的蓄意网络攻击”，并委托外部独立专家做取证调查——截至8月22日的说法是，“迄今未发现客户与合作伙伴数据被泄露或被不当访问”。注意这个措辞里的“迄今”（to date）：调查还在继续，外部专家连名字都没公布。没有声明不等于没有发生，2100万人的数据如果被碰过，能摸到核心系统打到业务全阻的攻击者，离用户数据库不会太远。

Unitel承诺自动向用户补偿（短信或邮件通知），金额未公布。损失总额也至今没有官方数字。

三、为什么一家运营商倒下，等于一个国家停摆

这里有一个比攻击手法更值得讨论的结构性问题。

据Telecompaper数据（转引自Breached.Company），安哥拉移动市场2025年约2840万活跃用户，渗透率75%，其中：

一家运营商扛着全国四分之三的连接，剩下的25.5%和2%加起来构不成有意义的容灾。 当“运营商断网”和“国家通信中断”成为同义词，POS刷卡、移动货币、银行交易、纳税、网约车全部随之中断——在现金基础设施薄弱、移动支付渗透率高的市场，运营商就是支付清算的底层通道。23天的不是通信事故，是一次全国性的经济停摆。

这和欧美市场是两种相反的失败形态。美国水务行业那种“几千个没人防的小目标”是碎片化困境；安哥拉这种“一个重兵防守但一倒全倒的大目标”是集中化困境。两者没有哪个更安全，只是死法不同。集中化唯一的理论优势是：加固一家等于加固全国——但前提是这家运营商的核心基础设施真的被加固过。一个攻击者能在凌晨2点20分摸进核心系统并造成全国性全阻的事实，恰恰说明没有。

timeline
    title Unitel 事件关键节点（2026年）
    7月28日 0220 : 网管侧检出核心基础设施异常活动 : 数小时内全国业务全阻
    7月28日 当天 : POS与数字支付停摆 : 银行、税务交易冻结
    7月29日 : IPO按计划挂牌BODIVA : 募资约3.21亿美元 : 网络未恢复
    7月底至8月初 : 攻击手法与责任方均未披露 : 损失无人核算
    8月20日 : 宣布全面恢复 : 累计断网23天 : 取证称未见数据泄露

四、同一时期的另外两种打法：渗透与流量

把Unitel放进2026年的行业坐标系里看，会发现针对电信网的攻击已经分化成三种完全不同的形态，三种形态对应三套完全不同的防御逻辑。

形态一：可用性毁灭型（Unitel模式）。 渗透进管理面，直接杀死业务。特征是效果惊天动地、恢复以周计、攻击者不图钱不图数据（至少目前看是）。

形态二：静默渗透型（智利模式）。 2026年8月，据智利媒体El Dínamo、Emol及路透社报道，智利民事警察在大都会中北部检察院指挥下，对Entel、Movistar、Telmex等主要运营商疑似遭网络渗透立案调查，案件定性为可能的“计算机破坏”（sabotaje informático）。据报道：

• 疑似访问窗口横跨2024年9月至2025年4月——长达7个月的潜在暴露期；
• 线索来自美方外交渠道：2026年初，前美国大使Brandon Judd向智利时任安全部长递交书面警示，随后转交警方；
• 调查方正在核查的疑似攻击组织是"Lilac Typhoon"（丁香台风）——微软对某中国关联威胁组织的命名，智利媒体报道其与解放军存在掩护层面的关联（注意：此为调查方向，无任何一家公司确认被入侵，中方此前对同类指控一贯否认）；
• 目标模式与CrowdStrike对全球电信入侵研究的共性吻合：用户数据、通话元数据、短信内容。

这正是2023-2024年“盐台风”扫荡美国电信业之后该模式的延续——不打瘫你，只住进来。对运营商而言这是最难受的形态：没有告警风暴、没有用户投诉，KPI一切正常，直到两年后别人告诉你。

形态三：体积压制型（Rostelecom模式）。 据Breached.Company报道，2026年4月6日，俄罗斯最大运营商、国家互联网基础设施运营者Rostelecom遭遇大规模DDoS，服务出现数小时级降速——效果有限，但象征意义极大：它证明了连主权互联网的底座运营商也扛得住攻击者的“亮度调节”。

顺便说一句行业背景：据deepstrike.io 2026年7月的电信安全统计文章，各国监管数据里重大事故的主因仍然是光缆中断、错误的软件变更、软件缺陷和第三方故障——但网络攻击类事件的占比在持续上升，且三张下表的边界正在模糊（勒索团伙开始“先打瘫再谈判”，APT开始窃密顺手留后门）。

flowchart LR
    subgraph P1[形态一 可用性毁灭]
        A1[渗透管理面<br/>网管/堡垒机/编排器] --> A2[核心网元<br/>批量异常/停服] --> A3[全国性全阻<br/>恢复以周计]
    end
    subgraph P2[形态二 静默渗透]
        B1[供应链/凭据/边界漏洞] --> B2[潜伏于信令面与数据面<br/>HSS/UDM/话单/CRM] --> B3[元数据与用户数据外泄<br/>用户无感知]
    end
    subgraph P3[形态三 体积压制]
        C1[僵尸网络/租用攻击流量] --> C2[互联出口/CGNAT/DNS<br/>过载拥塞] --> C3[降速与抖动<br/>恢复以小时计]
    end
    A3 --- UNITEL[Unitel 安哥拉]
    B3 --- CHILE[智利三家运营商]
    C3 --- ROS[俄罗斯Rostelecom]

五、给一线运维的清单：三个案例各带走一条命

从Unitel带走：管理面是新的“核心机房门禁”。 老一代运维的核心网安全模型是“物理隔离+专网接入”，云化和虚拟化把EMS/OMC、编排器、自动化平台塞进了数据中心之后，很多运营商的管理面实际上长成了一个横跨全网的、有全域权限的平坦网络。Unitel事件（结合Rescana的分析路径）提示的清单：

1. 管理平面与业务平面物理或强逻辑隔离，网管北向接口绝不暴露在业务网可达路径上；
2. 堡垒机、jump host的会话录制与异常时段双人复核——凌晨2点的运维操作，要么是事故，要么是入侵；
3. 核心网元具备从洁净镜像重建的自动化能力并定期演练——不是备份恢复演练，是“假设备份也不可信”的重建演练；
4. 对重大企业事件（IPO、并购、大客户割接）设立变更净空期（change freeze）的同时，也要设安全戒备期——提高登录告警阈值、收紧外部访问。

从智利带走：潜伏期按“月”算，狩猎就要按“周”跑。 7个月的疑似访问窗口意味着常规的日志留存期（很多运营商只有90天）根本覆盖不了回溯需求。信令面（Diameter/SS7漫游接口）、HSS/UDM批量数据查询、CRM的大批量导出，这几类操作要有独立的基线模型——攻击者查用户数据的动作模式，和客服查用户数据的动作模式，在数据里是分得开的。

从Rostelecom带走：DDoS没死，只是不再上头条。 出口清洗、DNS分层防护这些老三样该买还得买；真正的新课是5G时代CGNAT、AMF、NRF这些控制面网元成了新的放大目标和单点——信令面的洪水攻击和传统的体积攻击防法不一样。

最后一句话总结这场23天事故的行业含义：过去我们演练“网元挂了怎么办”，接下来要演练“网管不可信了怎么办”。 Unitel用了23天回答了这个问题；这个问题下一次出现在哪个国家、哪家运营商，取决于他们有没有提前演练过。

参考来源

1. Angola's Largest Telecom Went Down Hours Before Its IPO — Unitel事件详报：时间线、IPO背景、市场集中度数据（引Telecompaper）
2. Unitel Angola Cyberattack Disrupts Telecom Services Nationwide Hours Before Record IPO — Rescana技术分析：RIPE/Cloudflare Radar遥测、MITRE ATT&CK映射
3. Angola's Biggest Phone Network Is Back After 23 Days Offline — 恢复确认、取证结论、补偿措施
4. Chile Probes China-Linked Telecom Espionage — 智利调查：Lilac Typhoon、时间窗口、Law 21.663监管框架（引El Dínamo、Emol、Reuters）
5. Rostelecom Under Fire: The DDoS Attack That Exposed the Fragile Core — 2026年4月Rostelecom DDoS事件
6. Unitel Cyberattack Exposes Angola's Strategic Vulnerabilities — 安哥拉本地视角：断网两天后的社会影响

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。