**概述**：过去两年，勒索软件团伙完成了一次“客户升级”——从医院、学校转向了电信运营商。法国第二大运营商Free、美国老牌固网商Frontier、欧洲巨头Orange先后中招，乌克兰Kyivstar更是被直接“抹盘”。本文回答三个问题：勒索团伙为什么盯上运营商、他们的攻击链长什么样、一张电信网到底该怎么设防。文中案例细节均来自监管通报与安全媒体公开报道，数据以官方口径为准。 ## 目录 - 一、为什么勒索团伙盯上了电信商 - 二、案例一：法国Free，一块管理后台的失守 - 三、案例二：美国Frontier，RansomHub锁喉72小时 - 四、案例三：Orange，一年两中的巨头 - 五、勒索之外的最坏情形：Kyivstar被“抹盘” - 六、电信网勒索攻击链拆解 - 七、运营商防御手册：七道闸门 - 八、监管收紧：从通报时限到天价罚单 - 九、老兵的三条经验 ## 一、为什么勒索团伙盯上了电信商 干了这么多年核心网，我对勒索软件的目标变迁有个直观感受：早几年抓到样本，加密的是医院病历和学校教务库；这两年研判的案例，十有六七开始围绕运营商的BSS/OSS转。原因不复杂，四个字——**又肥又脆**。 先说“肥”。运营商手里的数据密度是所有行业里最高的：一个省级运营商的CRM里躺着千万级用户的姓名、证件号、住址、缴费账户，这些数据在黑产市场按条计价，比单张信用卡值钱得多，因为它是电信诈骗、开户洗钱的上游原料。更别提计费系统、HLR/HSS里的签约数据——这些数据泄露一次，团伙可以反复变现。 再说“脆”。电信网的特点是老系统多、集成多、第三方接入多。计费系统和CRM往往是一二十年攒出来的老平台，补丁不敢打（怕影响出账）、端口不敢关（怕影响对接）；OSS要对接几十家设备商的网元，本来就有一堆维护通道；再加上代理商、外包代维、集成商手里的管理后台——每一个第三方入口都是潜在突破口。Verizon每年发布的《数据泄露调查报告》（DBIR）连续多年把“凭证滥用+勒索软件”列为对电信与公用事业类关键基础设施最主流的威胁组合，佐证的就是这个判断：攻击者很少硬凿边界，多数时候是拿一组失窃凭证从正门走进来。 最后还有一条，是勒索经济学：运营商停不起网。7×24的SLA摆在那里，企业专线、政企云、国际漫游结算，停一天就是违约金加客户流失的双重损失。攻击者算得明白——对停不起网的受害者，赎金要价可以更高。这就是“锁喉”逻辑：不追求摧毁你，只追求让你动弹不得。 ## 二、案例一：法国Free，一块管理后台的失守 2025年2月初，法国第二大运营商Free（Iliad集团旗下，移动+宽带用户合计数千万）确认遭遇网络入侵。据TechCrunch、BleepingComputer等媒体当时的报道，事件的大致脉络是：攻击者声称窃取了数千万条订户记录——包括姓名、出生日期、住址，以及相当数量的银行IBAN账号——并直接在地下论坛挂样本出售；而Free的官方口径相对克制，承认存在“经由第三方管理后台的未授权访问”，但强调泄露规模远小于攻击者宣称，且不含密码和通信内容。 无论最终规模几何，这个案例对电信运维人的刺痛点非常具体：**入口是一块管理后台**。不是核心网网元，不是HSS，而是一套内部管理系统。这意味着攻击者可能只是买到了一组泄露凭证，或者钓到了一个运维外包人员的账号，然后从“合法入口”大摇大摆把数据库导走了。法国数据保护机构CNIL随后介入调查，巴黎检察院的反网络犯罪部门也立案——因为在GDPR框架下，这可能是一起超大规模个人数据泄露事件。 我给团队复盘这个案子时说过一句狠话：**攻你的人根本不在乎你引以为傲的电信级冗余**。你双路由、双归属、异地多活做得再漂亮，人家从CRM后台拖库，那些高可用设计一个都用不上。电信运营商的安全投入历史上高度集中在网元和网络层（信令安全、边界防护、DDoS清洗），而勒索时代的主战场恰恰在IT侧——BSS、CRM、工单、后台管理系统。这是攻防的错位。 ## 三、案例二：美国Frontier，RansomHub锁喉72小时 第二个案例更“经典”。2024年4月4日，美国大型光纤宽带运营商Frontier Communications向美国证监会（SEC）提交8-K文件，披露检测到“未经授权的活动”，并称为了遏制影响，主动关闭了部分IT系统。 熟悉勒索事件处置的人一看就知道这意味着什么：关闭部分系统，通常意味着先切断域控或关键服务器，防止勒索软件横向加密扩大战果——代价就是内部的计费、客服、开通流程一起停摆。后续据媒体报道，勒索组织RansomHub宣称对事件负责并把窃取的数据挂上暗网；而监管披露文件显示，受影响的客户数量在数十万级别（约75万）。对一家靠宽带订阅吃饭的固网商来说，除了数据泄露本身，开新户、装机派单、账单出不了这些“业务性瘫痪”才是最烧钱的——每多停一天，客户流失就多一层。 Frontier这个案子还有一个值得记住的细节：它是先向SEC报备，再慢慢向公众解释。这是2023年底SEC新规生效后的常态——美国上市公司发现重大网络安全事件后，须在判定重要性后的较短时间内提交8-K。对运营商来说，现在的勒索事件已经是“资本市场事件”，不只是IT事件。PR一慢，股价先给你上一课。 ## 四、案例三：Orange，一年两中的巨头 如果说Free和Frontier暴露的是中型运营商的软肋，那Orange的中招说明一件事：**规模不是护身符，有时反而是靶子**。 2024年12月，Orange在罗马尼亚的子公司披露遭受网络攻击，部分系统被隔离下线；据BleepingComputer等媒体报道，勒索组织Inc Ransom宣称负责。虽然影响范围被控制在支持性系统，未波及核心通信服务，但事件暴露的问题和所有案例一样——集团内任何一国子公司的一块薄弱系统，都会让整个集团的名字出现在勒索组织的“战绩墙”上。而到2025年年中，据公开报道，Orange集团层面又确认了一起针对企业客户平台的入侵，数十量级的万级客户资料外泄，法国国家信息系统安全局（ANSSI）介入调查。 一年两中，而且是欧洲最大的电信集团之一。我常拿这个案例提醒同行两件事：第一，大型集团的攻击面是子公司的并集，安全水位取决于最弱的那一块木板——东欧某国的共享IT系统、某个收购来的小平台，都可能成为整个集团信誉的漏点；第二，攻击者如今很懂“品牌杠杆”，打Orange比打一家无名小运营商的传播价值高得多，勒索谈判筹码也大得多。 ## 五、勒索之外的最坏情形：Kyivstar被“抹盘” 上面三个案例都是“要钱”的逻辑，但电信网还面临一种更糟的情形：不要钱，就要你瘫。2023年12月12日，乌克兰最大移动运营商Kyivstar（用户2000多万）遭遇破坏性网络攻击，移动数据和短信服务大面积瘫痪，修复持续数日。与勒索攻击不同，这次攻击者在内网里做的是清除与破坏——虚拟化基础设施、部分核心系统被毁，连运营商自己的内部通信都受到冲击。据VEON披露与乌克兰安全部门（SBU）的归因结论，攻击组织指向俄罗斯的Sandworm部队，而且攻击者早在事发前数月就已借助失窃凭证潜伏在内网。 Kyivstar案给全球电信业的教训，比任何一起勒索案都深：**攻击者可以提前几个月就待在你的网里**。潜伏期里他们摸清了拓扑、拿到了足够权限、准备好了破坏工具——等你的防线发现异常时，为时已晚。运营商的“电信级可靠性”在国家级对手面前需要重新定义：不只是设备冗余和四备份，还包括“假设内网已被潜伏”的对抗式防御。Kyivstar灾后恢复阶段甚至借助卫星链路维持指挥通信——连运营商自己都得考虑“自己断网时怎么办公”，这就是那个时代给运维人的现实考题。 ## 六、电信网勒索攻击链拆解 把这几年的电信勒索案例摆在一起看，攻击链高度相似。我把典型路径画成一张图： ```mermaid flowchart TD A["初始入口
钓鱼邮件与失窃凭证"] --> B["第三方管理后台
VPN无MFA直连"] B --> C["攻陷IT堡垒机
提权拿域控"] C --> D["横向进入BSS区
CRM与计费库"] C --> E["横向进入OSS区
网管与工单系统"] D --> F["静默窃密
导出订户数据库"] E --> G["摸清备份
先删影子副本"] F --> H["双重勒索
不给钱就挂网卖数据"] G --> H H --> I["运营商决策链
隔离止损与恢复"] I --> J["监管通报
24小时预警72小时评估"] I --> K["离线备份重建
逐系统拉起"] I --> L["客户沟通
换卡赔付与舆情"] ``` 这张图里有三个电信行业特有的环节，值得逐个说透。 **第一，“先删备份再加密”。** 勒索软件在运营商内网里的第一步重活往往不是加密生产库，而是寻找并清除备份——快照、影子副本、备份服务器的目录权限。很多运营商的备份系统恰恰和生产网共用目录服务，域控一丢，备份跟着裸奔。这也是为什么我反复强调备份的“离线性”：备份通道如果依赖内网统一认证，那它就是纸糊的。 **第二，“BSS比网元好打”。** 网元（核心网、无线）长期按电信级标准建设，协议栈封闭、接口收敛；而BSS是一堆Web应用+数据库+集成接口的大杂烩，漏洞面大得多。攻击者进入内网后，从CRM拖库的性价比远高于去碰HLR。这就是为什么近年电信数据泄露几乎都发生在IT侧而非网络侧。 **第三，“双重勒索改变了博弈”。** 过去勒索是“交钱解密”的单次博弈，运营商只要备份在手就可以硬扛；现在变成了“交钱删除数据”的泄露博弈——就算你备份齐全、半天恢复业务，几千万条订户记录在对方手里，监管罚款、集体诉讼、客户流失一样跑不掉。数据不可赎回，这是电信运营商在勒索时代最根本的被动局面。 ## 七、运营商防御手册：七道闸门 结合上述案例和国际上CISA、英国NCSC等机构发布的勒索软件防护指南，我把电信运营商的防线归纳成七道闸门，按投入产出比排序： | 序号 | 闸门 | 针对的攻击环节 | 关键动作 | |---|---|---|---| | 1 | 凭证与MFA | 初始入口 | 所有后台/VPN强制MFA，清理长期不换的服务账号 | | 2 | 第三方接入治理 | 初始入口 | 代理商/代维后台收敛，最小权限+按需开通（JIT） | | 3 | 网络分区 | 横向移动 | IT/BSS/OSS/核心网控制面强隔离，堡垒机审计 | | 4 | 备份离线化 | 删除备份 | 3-2-1-1-0：一份离线或不可变副本，定期演练恢复 | | 5 | 出口与外发监控 | 数据窃密 | 对大流量数据库导出、异常外联做基线告警 | | 6 | 潜伏检测 | 长期驻留 | 假设已被入侵，查长期失联账号、异常提权、新任务计划 | | 7 | 事件演练 | 决策与恢复 | 72小时决策脚本：通报、赎金、恢复、客户沟通四条线 | 重点展开三条。 **闸门1和2是性价比最高的。** Free案的入口是管理后台，Kyivstar案的入口是失窃凭证——两个案子只要后台强制MFA、凭证泄露即熔断，都可能根本发生不了。电信运维的现实是后台系统太多太老，MFA改造欠账严重，但这个欠账必须还，而且优先级应该排在任何网络安全设备采购之前。 **闸门4要看“恢复速度”而不只是“有没有备份”。** 运营商计费数据的备份恢复有个行业性难点：数据一致性和出账准确性。拉起一套CRM容易，让几千万用户的账单状态自洽很难。所以恢复演练必须按“天”计时——Frontier的业务性瘫痪持续了数日，每多一天都是真金白银。我会要求关键BSS系统做到“RTO以小时计”的演练验证，而不是停留在纸面预案。 **闸门7是最容易被忽略的。** 真出事那天，摆在管理层面前的不是技术问题而是决策问题：赎金付不付（法务和监管口径）？通报发不发（GDPR要求72小时内向监管报告，NIS2把电信列为关键实体后还要24小时早期预警）？要不要主动断网止损（等于自我制造一次“断网事故”）？这些问题没有预案，现场一定会乱。建议每半年做一次桌面推演，把监管通报的24小时、72小时时限当成切换演练一样考核。 ## 八、监管收紧：从通报时限到天价罚单 勒索浪潮之下，全球监管正在同步收紧，运营商面对的合规压力已经不亚于攻击本身。 欧盟是走得最前的。GDPR框架下，个人数据泄露须在知悉后72小时内报告监管机构，违规最高可罚2000万欧元或全球年营业额的4%；而2024年10月完成转化期、2025年起全面落地的NIS2指令，把电信运营商明确列为“重要/关键实体”，要求重大事件按“24小时早期预警—72小时事件评估—一个月内最终报告”三段式上报，管理层还要对安全失职承担个人责任——注意，是个人责任，不是只有公司挨罚。 美国方向则是FCC的运营商数据泄露通报新规：运营商在发现泄露后须在30天内通报用户与执法机构，取代了旧规中冗长的等待期。加上SEC对上市公司的8-K重大事件披露要求，一次勒索事件现在要同时面对三张考卷：监管通报、证券披露、客户诉讼。 这些监管变化对运维人的实际影响就一条：**事件处置的时间刻度被监管钉死了**。以前出事可以先闷头修，修好再写报告；现在24小时、72小时的通报时钟在你发现异常那一刻就开始走。应急流程必须把“法务与监管通报”编进第一时间线，否则技术处置再漂亮，通报迟了照样是违规。 ## 九、老兵的三条经验 最后，把这一轮梳理沉淀成三句话。 **第一句：电信级冗余防不了勒索，IT侧才是新前线。** 我们这代人入行时练的是双路由、四备份、5个9，这套功力在勒索时代依然必要，但已经不充分。真正的战场在CRM、计费、后台管理系统——那些我们历史上投入最少的“普通IT系统”。防线建设请先从后台MFA和第三方账号收敛做起，见效最快。 **第二句：按“已被入侵”来设计防御。** Kyivstar潜伏数月、Free从合法后台拖库，这些案例证明边界防御挡不住有耐心和凭证的对手。检测体系的假设条件要改：不是“拦住外面的攻击者”，而是“尽快发现已经进来的那个人”——异常提权、长期休眠账号、数据库批量导出，这些信号要接到7×24的监控里去。 **第三句：恢复能力就是谈判筹码，监管时限就是处置节拍。** 双重勒索时代，数据被偷几乎无法挽回，你能控制的只有恢复速度和合规质量。备份恢复按小时演练、通报流程按24/72小时排演，把这两件事做扎实，才是一个运营商在勒索时代真正的底气。 勒索团伙猎杀运营商的故事，短期内不会结束。Free、Frontier、Orange之后，一定还有下一个名字。希望下一个名字不是你我的网。 ## 参考来源 1. [Verizon Data Breach Investigations Report (DBIR)](https://www.verizon.com/business/resources/reports/dbir/) — Verizon年度数据泄露调查报告，长期将凭证滥用与勒索软件列为电信及关键基础设施行业的主流威胁组合 2. [ENISA Threat Landscape](https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024) — 欧盟网络安全局年度威胁全景报告，对电信行业勒索威胁与NIS2合规要求有系统分析 3. [CISA #StopRansomware](https://www.cisa.gov/stopransomware) — 美国网络安全与基础设施安全局勒索软件防护官方指南与技术资源 4. [UK NCSC: Incident Management](https://www.ncsc.gov.uk/collection/incident-management) — 英国国家网络安全中心网络事件管理指南，含勒索事件处置与演练建议 5. [VEON Newsroom](https://www.veon.com/media/newsrooms/) — Kyivstar母公司VEON官方新闻室，2023年12月Kyivstar事件的官方披露与后续安全整改通报 *注：Free、Frontier、Orange等案例细节综合自TechCrunch、BleepingComputer、The Register等媒体2024—2025年公开报道及涉事公司监管文件，文中数字为约数，精确口径以各公司官方通报与监管披露为准。* --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。