2023年12月12日，乌克兰最大移动运营商Kyivstar（基辅之星）的核心网在一夜之间被系统性擦除，约2400万用户的语音、短信、数据同时归零——这是人类历史上第一次有国家级运营商的核心网在战争中被黑客成建制摧毁。本文以路透社2024年的系列独家调查与维基百科汇总条目为主线，复盘这场「运营商歼灭战」的完整时间线、攻击链、根因与五天重建过程，并回答一个问题：当战争与网络攻击叠加，我们赖以通话的那张网，到底有多脆弱？
2023年12月12日早晨，无数乌克兰人拿起手机，发现屏幕左上角的信号格空空如也。没有「无服务」的渐变过程，没有降级重选到2G的挣扎——Kyivstar全国性的语音、短信、移动数据在同一时刻集体消失。
对普通用户，这意味着网约车打不了、银行卡转账失败、家人联系不上；对身处战争状态的乌克兰，这意味着更残酷的东西：空袭警报通知、前线军人给家人的电话、地方政府依托移动网络的应急调度，一夜之间全部依赖不上。连 Kyivstar 自己的官网和内部运维系统也一起趴窝——攻击者把「电话公司」和「IT公司」一起端了。
当时我在核心网一线干了十几年，见过光缆被挖断、见过机房起火、见过割接失败回退，但「整个核心网的元数据被人从磁盘上抹掉」这种事，此前只存在于攻防演练的想定里。而这一次，它真实发生了，发生在一家服务全国六成人口的运营商身上。
先上时间线。综合路透社调查、乌克兰国家安全局（SBU）通报与Kyivstar公司声明，事件的关键节点如下（时间为基辅当地时间，个别节点为多方报道的综合表述）：
| 时间 | 事件 | 信息来源 |
|---|---|---|
| 2023年5月或更早 | 攻击者凭被窃员工账号渗入内网，开始潜伏与横向移动 | 路透社2024年调查 |
| 12月12日凌晨 | 攻击者发起批量擦除，数千台服务器与虚拟机数据被清空 | 公司事后复盘 |
| 12月12日早间 | 全国语音、短信、移动数据中断，公司确认遭大规模网络攻击 | 公司通报 |
| 12月12日至13日 | 物理切断对外连接，SBU立案侦查，初步锁定与俄军相关的Sandworm组织 | SBU通报 |
| 12月14日前后 | 在干净环境重建核心网，部分城市率先恢复 | 公司通报 |
| 12月15日至17日 | 移动数据与语音、短信分批全面恢复 | 公司通报 |
| 2024年7月 | 路透社独家报道：攻击者曾借Kyivstar内网试图渗透乌军Delta战场态势系统 | 路透社独家 |
| 2025年8月 | Kyivstar Group登陆纳斯达克（代码KYIV），成为首家在该所上市的乌克兰公司 | VEON公告与媒体 |
需要说明的是：入侵的确切途径与完整细节，官方至今没有全部公布；下文的攻击链是综合路透社调查、SBU通报和多家安全厂商分析的「高置信度还原」，个别环节属合理推断，我会逐一标注。
攻击发生后第二天，SBU就给出了归因判断：这与俄罗斯军方总参情报总局（GRU）下属的Sandworm（第74455部队，业界亦称Seashell Blizzard、Voodoo Bear）高度相关。这个组织的「履历」在攻防圈无人不知：2015、2016年两度攻击乌克兰电网，2017年的NotPetya勒索擦除事件造成全球近百亿美元损失，2022年开战当天攻击Viasat卫星通信网络。
换句话说，这不是普通逐利黑客，而是一支专门执行破坏性网络行动的军事化编队。Kyivstar一战，是他们「作品集」里第一件真正意义上把一个国家级移动网络打瘫的成品。
战损清单同样触目惊心。据Kyivstar总裁Oleksandr Komarov事后对媒体披露：公司数千台服务器和虚拟机被清空，包括核心网元、IT支撑系统和备份在内的基础设施「几乎全部」受影响。对一家运营商来说，这相当于话务路由的「大脑」、用户签约数据的「户口本」、计费与业务开通的「账本」被同时烧掉。
这场攻击最值得复盘的，不是擦除那一夜，而是此前半年的耐心。据路透社2024年6月的独家调查，攻击者至少在2023年5月就已进入Kyivstar内网——也就是说，擦除开始前，对方已经在网内潜伏、侦察、横移了半年以上，而公司毫无察觉。
攻击链可以抽象成六步：
flowchart TD
A["窃取员工凭据"] --> B["远程接入内网"]
B --> C["潜伏半年横向移动"]
C --> D["提权掌控管理平台"]
D --> E["拿下统一鉴权域"]
E --> F["下发批量擦除任务"]
F --> G["数千虚拟机被清空"]
G --> H["核心网整体瘫痪"]
几个值得一线工程师注意的细节：
入口是「人」，不是漏洞。 多方分析指向被窃的内部员工账号凭据，其中涉及缺乏多因子认证（MFA）保护的远程访问通道。官方未公布全部细节，但「人」再次成为最短的攻击路径——VPN一通，等于把内网大门的钥匙交了出去。
IT网与核心网之间没有真正的墙。 现代运营商的核心网元大量虚拟化，跑在通用服务器和云管理平台上，而管理这些平台的运维跳板、编排系统，往往与办公IT网存在千丝万缕的连接。攻击者横移到虚拟化管理层后，一台一台手动部署擦除工具的活，可以变成「下发一个任务」的活。统一鉴权体系（AD域控类设施）失守后，数千台虚拟机的「开门权限」其实是同一把钥匙。
擦除是最后一步，也是最从容的一步。 半年里攻击者摸清了备份在哪、恢复流程怎么走、运维人员几点上班。破坏动作选择在凌晨发起，争的不是速度，是「在有人反应过来之前，让一切无法回滚」。
把攻击链翻译成运维语言，Kyivstar的沦陷可以归结为三个根因：
根因一：信任边界形同虚设。 核心网生产区、运维管理区、办公IT区之间应有严格的分区与最小可达。现实中，虚拟化改造和云化让「管理面」成为一张大网，一台被攻陷的运维终端足以触达全网网元。3GPP在5G安全标准里对网络切片隔离、网元认证有明确要求（如SCAS安全规范族），但标准落实到现网的分区策略，各家差异很大，一旦管理面失守，隔离只剩纸面意义。
根因二：特权账号是单点故障。 半年潜伏期内，攻击者的横移大量依赖高权限账号。缺乏MFA、特权账号长期不轮换、运维会话无审计，意味着「一个账号」就是「整张网」。
根因三：备份可被触达，等于没有备份。 事后复盘显示，在线可达的备份同样被擦。真正的容灾前提是「攻击者拿不到」——物理隔离、离线、不可变存储，缺一样，备份就是下一个目标。这也是为什么这次重建不能靠「恢复备份一键回滚」，而是要在干净环境里重搭。
比攻击本身更值得写进教科书的，是Kyivstar的重建。一家核心网被整体抹掉的运营商，五天左右把全国服务拉了回来，这个过程可以概括为四步：
timeline
title 重建五天关键节点
12月12日 : 凌晨开始抹数据 : 早间全国断网 : 启动重大事故响应
12月13日 : 物理切断外部链路 : 保护现场配合取证
12月14日 : 干净环境重建核心网 : 部分城市率先恢复
12月15日至17日 : 移动数据率先回归 : 语音短信全面恢复
第一步：止血，物理断连。 确认攻击后，公司果断切断了内外部连接——包括与合作伙伴的互联链路。这一步牺牲了远程运维能力，换来的是「擦除动作无法继续」。很多事故处置翻车就翻在舍不得断：怕影响业务、怕影响取证，结果攻击者借残存通道二次渗透。
第二步：取证与定性。 SBU与公司联合取证，把事件定性为国家级破坏性攻击而非一般安全事件，这一步决定了后续资源投入级别——这不再是「IT部门的事故」，而是国家级基础设施保卫战，国际厂商、政府应急力量全部进场。
第三步：假设一切已污染，白纸重建。 处置团队没有赌「哪台机器还干净」，而是按「全量失陷」假设，在干净环境重装系统、重发证书、重建鉴权域，再分批迁移业务。慢，但确定性高。对核心网工程师来说，这相当于把整张EPC/IMS当新工程入网：重新做数据配置核查、重新跑拨测、分区域放话务。
第四步：分批恢复，先数据后语音。 移动数据业务先恢复（12月15日前后大面积回归），语音与短信随后在16日至17日全面恢复。恢复顺序体现了对网络依赖度的清醒认知：数据通了，大部分民生应用就能转起来；语音放号放在配置与信令路由验证充分之后，避免二次事故。
直接影响的量化并不难：约2400万用户断网五天上下，涉及语音、短信、数据全业务。但这次事件的真正影响在三个更深的层面。
其一，战争形态变了。 这是第一次有明确国家背景的网络行动，在热战期间把一个国家级移动核心网成建制摧毁。它证明「网络攻击可以造成与动能打击同级别的通信瘫痪」，而且成本更低、门槛更隐蔽。此后乌克兰全网运营商、电力、能源企业全面升级了安全基线。
其二，第二跳比第一跳更危险。 据路透社2024年7月独家报道，调查发现攻击者曾试图借助Kyivstar内网，渗透乌军用于战场态势感知的Delta系统——也就是说，运营商网络不只是目标，还可能被当作跳板去打军事系统。SBU后续通报亦显示攻击者曾窃取部分用户数据；关于短信内容与位置数据被接触的程度，公司早期口径与后续各方披露存在出入，未经官方完全证实，此处不做定论。但「运营商是情报富矿」这一点，已经无需再证明。
其三，行业心理账户被改写。 此前运营商安全投入的逻辑是「防逐利攻击：勒索、DDoS、数据窃取」，恢复目标多为小时级。Kyivstar事件把威胁模型改写为「国家级破坏：目标是让你无法恢复」。这直接影响了此后两年全球运营商在容灾架构、离线备份、攻防演练上的预算分配——ENISA等机构的年度威胁报告，也把这一事件列为关键基础设施破坏性攻击的标志性案例。
给一线同行的八条可落地建议，按优先级排序：
| 优先级 | 教训 | 落地动作 |
|---|---|---|
| P0 | 备份必须攻击者够不着 | 核心网签约数据、配置数据保留物理离线副本，定期演练从零重建 |
| P0 | 远程访问强制MFA | VPN、运维跳板、云管理面全部多因子认证，清理共享账号 |
| P1 | 管理面与生产面强隔离 | IT办公网到核心网管理面只留受控窄通道，默认全断、按需开通 |
| P1 | 特权账号最小化+审计 | PAM管控、会话录像、高危操作双人复核 |
| P1 | 断网也要断得赢 | 预设「熔断预案」：哪些链路出现什么指标就物理切断，提前授权到人 |
| P2 | 假设失陷做红蓝对抗 | 每年至少一次以「擦除型攻击」为想定的恢复演练，考核恢复时长 |
| P2 | 供应链口子收紧 | 合作伙伴互联链路纳入边界管控，防止借道横移 |
| P2 | 应急通信兜底 | 与监管、政府共建断网场景下的广播/卫星兜底通知机制 |
其中最容易被忽视的是「熔断预案」。Kyivstar处置中最关键的决策就是物理断连，而断连的勇气来自事前授权——如果每切一条链路都要层层请示，黄花菜都凉了。标准的「标准允许多种实现，具体策略以各厂家官方文档为准」，但「谁有权在什么条件下断什么」这件事，必须写在预案第一页。
这个故事的结尾，意外地光明。
被抹掉核心网的Kyivstar没有倒下。2024年，它在持续空袭中保持了网络运行，完成安全体系重构，并把「韧性」做成了对外输出能力，组建了面向政企的网络安全与技术服务板块。2025年8月，Kyivstar Group通过SPAC合并登陆纳斯达克，交易代码KYIV，成为第一家在纳斯达克上市的乌克兰公司——一家核心网曾被敌人从磁盘上抹掉的运营商，两年后站上了全球资本市场的舞台。据VEON公告，公司还在2025年底与Starlink合作推出面向欧洲市场的手机直连卫星短信服务，把「断网兜底」从预案变成了产品。
回头看，这场「歼灭战」留给通信行业的遗产可以浓缩成一句话：这个时代，运营商的对手名单里，已经有拿着军饷、打了一年半持久战、专攻「让你无法恢复」的对手。 满足于「小时级恢复」的容灾指标，满足于「备份有做」的检查表，在真正的破坏性攻击面前都是自我安慰。网络韧性不再是运维KPI，而是国家能力。
下一次凌晨的静默，希望你我不在现场。但如果在场，愿我们手里握着的，是一份演练过、授权过、离线保存着的重建手册。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。