概述：2023年12月12日凌晨，乌克兰最大移动运营商Kyivstar遭到国家级黑客组织「沙虫」（Sandworm，关联俄军总参情报总局GRU）的毁灭性网络攻击：潜伏至少7个月的攻击者引爆零日wiper恶意软件，清空数百台服务器、数千台电脑，2430万移动用户的语音、短信、移动上网同时瘫痪，首都基辅和苏梅州的空袭警报系统也受波及。它不是又一次“配置敲错了”，而是一场针对运营商核心基础设施的军事化破坏行动。本文以Recorded Future News（The Record）发布的CEO与SBU网安负责人公开复盘为主轴，结合路透社、Interfax-Ukraine等报道，还原从潜伏、引爆到四天复活的完整时间线，并拆解9000万美元修复账单背后的整改清单。
2023年12月12日凌晨，Kyivstar网络出现全国性业务中断。乌克兰人早上醒来发现：电话打不出去、短信发不出去、移动数据没有信号。这不是光缆被挖断，也不是某台HLR宕机——攻击在几小时内同时摧毁了分布式的虚拟化基础设施，任何单一网元的故障排查思路在这里都不适用。
先交代背景：Kyivstar是乌克兰最大的电信运营商，拥有约2430万移动用户和超过110万家庭宽带用户，母公司是在阿姆斯特丹注册的跨国电信集团VEON（据维基百科词条）。作为参照，乌克兰战前人口约4400万——这家公司承载了全国一半以上的移动通信。
更残酷的是时间点的选择：据美联社（AP News）2023年12月12日报道，就在同一天，俄军对乌克兰发动了大规模物理空袭。天上是导弹，网上是wiper。对乌克兰而言，通信网络是空袭警报的生命线，攻击者掐断它，等于让防空警报哑火——这也是国际刑事法院（ICC）后来把针对乌克兰民用基础设施的网络攻击作为战争罪行线索调查的原因之一（据路透社2024年6月独家报道）。
timeline
title Kyivstar事件与恢复时间线
2023年3月 : 开始尝试渗透（据SBU）
2023年5月 : 进入内网潜伏
2023年11月 : 拿到全网访问权限
12月12日凌晨 : 零日wiper引爆 : 语音短信上网全瘫
12月13日晚 : 语音业务开始恢复
12月14日 : 部分州恢复移动上网
12月15日晚 : 全国业务基本恢复
12月18日 : 短信业务恢复
2024年2月 : CEO公开复盘
本文最重要的信源，是2024年2月基辅国际网络韧性论坛上Kyivstar CEO奥历山大·康帕罗夫（Oleksandr Komarov）与SBU网络安全部门负责人伊利亚·维蒂乌克（Illia Vitiuk）接受Recorded Future News（The Record）采访时的公开复盘。
初始访问：一个被窃的员工账号。 据康帕罗夫描述，攻击者很可能先搞到了一名员工的账号，然后用它在内网里慢慢收集其他账号，逐步爬到管理员权限，最终控制了Active Directory域控。他的原话是：拿下域控之后，「他们可以从那里为所欲为」。维蒂乌克则排除了内鬼作案的可能：「我们看过他们在网络里的移动轨迹和提权过程。如果有内鬼，早就一击而入了。」
潜伏时间线。 据维蒂乌克向The Record披露：攻击者2023年3月或更早就开始尝试渗透，最迟5月已经进入系统，11月拿到全网访问权。也就是说，从进入系统到引爆，攻击者在网内安静地待了至少半年。
引爆：零日wiper，两波攻击。 康帕罗夫解释了为什么几周都没检测到：攻击使用的是零日wiper恶意软件，Kyivstar的防护体系根本无法识别其特征。攻击计划分两波：第一波摧毁虚拟化基础设施（成功），第二波打击物理设备（失败）。
战果与「两个幸运」。 据SBU统计，数百台服务器被毁、数千台电脑被清空，取证难度极大。而第二波攻击失败的原因，按康帕罗夫的说法有三条：一是公司响应迅速，及时断开了相关设备；二是两波攻击互相干扰，一波阻碍了另一波的展开；三是攻击者低估了Kyivstar物理基础设施的厂商多样性——不同厂商的设备难以用同一套手法批量打穿。
归因方面：乌克兰官方将攻击归因于Sandworm（与Seashell Blizzard、UAC-0082存在重叠）；一个自称Solntsepek的组织公开认领，声称摧毁了Kyivstar的计算机、服务器和云基础设施（据Wired记者Andy Greenberg报道）。
flowchart TD
A["窃取员工账号"] --> B["横向移动<br/>批量收集账号"]
B --> C["拿到管理员权限"]
C --> D["接管AD域控"]
D --> E["第一波引爆<br/>零日wiper清空虚拟机"]
D --> F["第二波瞄准<br/>物理网元设备"]
E --> G["语音短信上网全瘫"]
F --> H["第二波被挫败"]
G --> I["紧急切断受损设备"]
I --> J["分域重建与验证"]
J --> K["服务分批恢复"]
这里有一个值得所有通信工程师警醒的事实（作者分析）：核心网全面云化之后，虚拟机就是核心网本身。IMS、EPC、HSS、计费、网管，全都跑在共享的虚拟化层上。传统上我们说「IT网」和「网络网」要分离，可当核心网变成NFV，IT侧的域控失守就等于OT侧的核心网失守——域控是所有网元虚拟机的「母体钥匙」。这次攻击实际上是把一场典型的企业网AD入侵，直接升级成了全国性通信中断。
直接冲击是2430万移动用户同时失去语音、短信和数据服务，外加110万家庭宽带用户断网。但真正的杀伤在公共安全层面：据AP报道，基辅州和苏梅州的空袭警报系统因这次攻击受到影响。乌克兰大量民众依赖手机App推送和短信接收空袭通知，运营商网络一瘫，警报链路就断了一环。
连带效应同样致命：短信通道中断近一周（详见下节），意味着所有依赖短信验证码的银行转账、政务通知、网约车、外卖服务一并失灵——运营商断网从来不只是运营商自己的事，它是整个数字社会的底层依赖（此为业务连锁推理，短信恢复时间有据，第三方具体受损情况据乌克兰媒体综合报道）。
还有一笔后账：据RBC-Ukraine报道，乌方官员表示黑客在长达半年的潜伏期内可能已经窃走了用户数据。断网可以修复，数据外带出去了就收不回来。这也是「潜伏期」最容易被低估的地方——破坏只是最后的显性动作，前面的静默期才是情报收割期。
恢复节奏有公开的、可交叉验证的记录。综合Interfax-Ukraine、Ukrainska Pravda与路透社的报道：
| 时间 | 进展 | 来源 |
|---|---|---|
| 12月12日凌晨 | 大规模网络攻击导致全国业务中断 | Interfax-Ukraine |
| 12月13日晚 | 语音业务开始恢复（中断约一天半） | Interfax-Ukraine / Pravda |
| 12月14日 | 部分州移动上网恢复 | Pravda |
| 12月15日晚 | 宣布全国恢复移动上网与国际漫游 | 路透社 |
| 12月18日早 | 短信业务恢复，宣告100%恢复 | Pravda / Interfax-Ukraine |
移动上网中断约三天半，短信中断约六天。对一个核心基础设施被wiper清空的运营商来说，这个速度不算慢——但要注意，它远远好于「最坏情况」。
最坏情况是CEO自己算过的：如果第二波物理攻击得手，受影响的基站收发设备接近10万台（康帕罗夫原话，据The Record报道），且只能人工逐台修复，恢复通信要以月为单位计。这就是本次事件里决定性的一个岔路口——虚拟化层可以靠重建镜像快速拉起，物理设备被wiper打穿则只能上山爬塔。
官方并未发布完整的技术复盘。公开信息可以确认的是：恢复采取分域、分批推进，先语音后数据再短信；物理无线接入网基本完好，用户无需换机换卡；整个修复与安全加固累计投入约9000万美元（据The Cyber Express报道，转引自维基百科词条）。
（作者分析）从运维视角看，这个恢复顺序本身就说明问题：语音先行的选择符合战时优先级——通话是应急联络的最小可用集；短信压后，是因为短消息中心与信令链路的重建验证更复杂。把「核心网从零重建」当成预案来演练，而不是当成故事来听，是这份时间线给全行业最大的提醒。
复盘里最扎心的，是康帕罗夫承认问题出在架构上。他的原话：Kyivstar的基础设施过于集中化，攻击者进来之后横向移动畅通无阻——「这不是Kyivstar的错误，这是行业通行做法（industrial approach）」。这家公司在战前按国际最佳实践建设安全体系，网络安全团队有50人，累计投入数百万美元——然后照样被端了。预算和人数不是护身符，架构才是。
整改方向在采访里说得非常具体，我把它整理成清单：
| 教训 | Kyivstar的实际动作 | 对一般运营商的通用启示 |
|---|---|---|
| 基础设施过度集中 | 重组系统，从「有分段」走向「微分段」 | 网络分区按爆炸半径设计，而非按工程便利 |
| 内部横向移动无阻隔 | 仿机场多道安检：外部边界内再设多道内部边界 | 特权通道逐级鉴权，跨域访问默认拒绝 |
| 员工账号成为最初突破口 | 调查初始访问路径，强化账号安全 | 特权账号治理、MFA全覆盖、异常登录行为分析 |
| 零日wiper无法被识别 | 加固检测与响应体系 | 日志异地留存、离线备份、带外管理通道 |
| 虚拟化层与核心网深度耦合 | 重构后的架构强调分域控制 | 核心网虚拟化层的失陷演练纳入应急预案 |
两点补充背景：其一，国际刑事法院已开始将俄军对乌克兰民用基础设施的网络攻击作为可能的战争罪行进行调查（据路透社2024年6月独家报道，SBU已提交Kyivstar案证据）；其二，这次攻击并未终结交火——乌方此后继续指控Sandworm对该国关键基础设施保持攻击态势。对活在战时的运营商来说，安全不是项目，是常态战争。
以下是我作为网络运维老兵的私货，与前述信源事实相区分。
第一，把AD域控当成核心网网元来管。这次事件最反直觉的地方在于：打瘫一个全国移动网络，攻击者没有碰一个MSC、没有碰一个HSS的进程，他们只是拿下了域控。核心网云化之后，你的「IT管理员」就是你的「网络管理员」，权限边界要重新画。
第二，wiper的检测思路和木马完全不同。木马要外联、要回传，wiper只求一次性毁灭，行为窗口可能只有几分钟。能救命的往往是：日志实时异地化（攻击者抹不掉）、配置与镜像的离线备份（攻击者删不到）、以及带外管理通道（管理网被毁时你还剩一条路）。
第三，恢复预案要按最坏情况写。绝大多数运营商的应急预案假设的是「进程挂了重启」「单板坏了换板」，没有人演练过「虚拟化层整体被清空，从备份拉起全网核心网要多久」。Kyivstar用三天半交了卷，这个数字应该进每个运营商的预案参考基线。
第四，同构性是隐形风险。这次物理网幸存的部分原因，是攻击者搞不定多家厂商的设备生态。全栈单一供应商省下的是运维人力，付出的是攻击面同构——一套手法通吃全网。这不是要求你拆掉任何一家厂商，而是在架构设计时保留异构冗余的选项。标准允许多种实现，具体选型以各厂家官方文档和自身风险评估为准。
第五，别把「我们按最佳实践建的」当成免疫证明。50人团队、数百万美元投入、国际标准合规——Kyivstar战前这几样全占。网络攻击的对决里，防守方只需要错一次，攻击方只需要对一次。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。