概述：2023年12月12日早晨，乌克兰最大移动运营商Kyivstar的核心网遭破坏性网攻，2400多万用户的短信、移动数据一夜归零，连空袭警报都发不出去。这不是一次配置失误，也不是光缆被挖断，而是有国家背景的黑客组织潜入内网，把虚拟化平台上的核心网元成批「清零」。本文回答四个问题：攻击者是怎么进来的、核心网是怎么被抹掉的、四个昼夜怎么救回来的、换作是你的网，该提前做什么。
干过核心网运维的人都有一种职业本能：凌晨告警最可怕。凌晨的告警往往不是用户侧抖动，而是底层出了大问题。
2023年12月12日早晨，乌克兰用户发现Kyivstar的短信发不出去了。紧接着，移动数据没了，语音也开始大面积异常。作为乌克兰最大的移动运营商，Kyivstar服务着超过2400万移动用户，占全国人口的一半以上。网络瘫痪的连锁反应迅速显现：银行的短信验证码收不到、移动支付停摆、物流调度失灵，更致命的是——乌克兰民众日常依赖手机接收空袭警报，而Kyivstar的用户恰好收不到。
outage发生之初，很多人第一反应是「又停电了」或者「光缆被炸了」。在战时的乌克兰，这两样都是日常。但这次不一样：基站在工作，光缆没断，用户终端信号正常，就是业务不通。故障点不在无线，不在传输，而在最里头——核心网。
当天，Kyivstar确认：这是一次有组织的破坏性网络攻击，攻击者已经进入内部网络。公司首席执行官Oleksandr Komarov随后对外披露的细节让整个行业倒吸一口凉气：攻击者摧毁了「几乎整个核心网」，数千台虚拟机和数十台工作电脑上的数据被清除。
注意这几个词的组合：核心网、虚拟化平台、批量清除。这三个词放在一起，就是本文要讲的全部技术内容——它意味着攻击者拿到的不是一台服务器的root权限，而是整个电信云平台的管理员权限；他们做的不是勒索加密，而是直接删除；他们瞄准的不是IT支撑系统，而是那个承载着HLR/HSS、SMSC、计费、网管的「运营商大脑」。
先把时间线铺开。需要说明的是，下表中部分细节（尤其是入侵起点）来自媒体调查与运营商事后披露，不同信源存在出入，我会在表格里逐条标注信息属性，未经官方证实的内容明确标出。
| 时间 | 事件 | 信息属性 |
|---|---|---|
| 2023年上半年 | 据后续调查报道，攻击者可能于此期间已获得初步访问通道 | 媒体调查报道，未经官方证实 |
| 2023-12-12 早晨 | 短信中断、移动数据不可用，故障面覆盖全国 | 运营商通报 |
| 2023-12-12 当天 | 确认为破坏性网攻；核心网虚拟机被批量删除 | 运营商CEO公开披露 |
| 2023-12-15 前后 | 移动语音、短信开始分区域恢复 | 运营商通报 |
| 2023年12月下旬 | 移动数据与家庭宽带业务基本恢复常态 | 运营商通报 |
| 2024年5月 | 乌国家安全局（SBU）正式归因：俄罗斯军事情报总局下属黑客组织Sandworm | 官方通报 |
| 2024年至2025年 | 核心网加固、备份体系与监控体系重建 | 运营商及行业披露 |
| 2025-08-15 | Kyivstar集团以代码KYIV登陆纳斯达克 | 交易所公告 |
timeline
title Kyivstar事件时间线
2023年上半年 : 据披露攻击者或已潜伏（未经官方证实）
2023年12月12日 : 核心网遭破坏性攻击 : 短信与移动数据大面积中断
随后72小时 : 核心网元分区重建 : 移动业务分批回归
2023年12月下旬 : 全面恢复 : 转入取证与加固
2024年5月 : SBU归因Sandworm
2025年8月 : Kyivstar集团登陆纳斯达克
这张时间线里最有信息量的是第一行和最后一行的反差：攻击者可能在网内潜伏了至少半年才动手，而运营商用四天左右把一张全国性移动网救了回来。潜伏半年说明边界防御早已被突破且未被察觉；四天恢复说明备份与重建预案没有一起被摧毁。这两件事，一件是失败，一件是成功，都值得每一个网管人员反复琢磨。
要理解这次攻击的杀伤力，得先理解现代核心网的物理形态。
十年前，核心网是一排排专用机架：MSC、HLR、SMSC、SGSN各自是独立硬件，爆炸半径天然分散。今天，这些网元绝大多数已经演进为跑在通用服务器虚拟化平台（vSphere/KVM这类电信云）上的虚拟机——这正是NFV/5GC时代的前提。效率提升了，但风险模型也变了：虚拟化平台的管理面成了整个网络的「单点王」。拿到vCenter或同级平台的管理员权限，就等于拿到了对HLR、SMSC、计费、网管所有网元的生杀大权。
flowchart TD
A[战前数月<br/>边界账号失陷] --> B[进入办公网与运维通道]
B --> C[横向移动至虚拟化平台]
C --> D[获取平台管理员权限]
D --> E[批量删除核心网虚拟机]
E --> F[短信中心与用户数据库停摆]
F --> G[2400万用户业务中断]
H[异地隔离备份] --> I[核心网元逐区重建]
I --> J[业务分批恢复]
D -.未能波及.-> H
从运营商事后披露与行业分析看，这次攻击的手法链条大致如此：先通过边界（报道提及失陷账号/远程接入通道，具体细节未经官方证实）进入办公网，再横向移动到运维管理面，最终在虚拟化平台层面获得管理员权限，然后对核心网虚拟机执行批量删除。这是一个非常典型的「从IT打穿CT」路径——攻击者没有攻克任何一个电信协议漏洞，他们攻克的是运维体系。
用户侧的感知顺序也有讲究。为什么短信最先死？因为SMS是核心网里链路最长、依赖最多的业务：发一条短信要经过SMSC的存储转发，要查归属用户数据库做路由，还要依赖MAP/Diameter信令在网元间穿梭。这条链上任何一环的虚拟机没了，短信整体熄火。语音和数据恢复起来反而可以分区、分批进行——核心网元一台台重建、一个个RNC/基站池重新挂接，这正是Kyivstar后续72小时干的事。
再说说那个决定生死的细节：备份还在。攻击者删掉了生产环境里「几乎整个核心网」，但Kyivstar的备份系统存储在攻击路径之外，数据完好。CEO Komarov明确对外讲过：正因为备份得以保留，恢复才成为可能。想象一下相反的情形——如果备份与生产环境在同一管理域、同一存储策略、同一权限体系里，这次攻击就不是「四天恢复」，而是「数据从零开始」。勒索软件时代反复上演的「备份连坐」剧本，在电信核心网差点重演。
还有一层容易被忽略的伤害：短信通道的中断顺带废掉了基于短信的二次验证和各类通知类服务，银行、政务、警报系统全部被波及。这提醒我们，核心网早已不是「运营商的网」，而是整个社会运行时的底座——这一判断在欧盟网络安全局ENISA的年度威胁报告中已被反复强调：电信是其他所有关键行业依赖的「母行业」。
2024年5月，乌克兰国家安全局（SBU）正式宣布归因：Kyivstar攻击由俄罗斯军事情报总局（GRU）下属的黑客组织Sandworm实施。Sandworm即GRU第74455部队，对这个名字有概念的老网管不会陌生，翻翻它的履历就知道这是什么级别的对手：
看懂这个履历，就能看懂Kyivstar案的战术连贯性：战时打电信，不是图钱，是图战场效果。空袭警报依赖移动网络、动员通知依赖短信、无人机预警依赖数据链路——放倒一个覆盖半个国家的运营商，等于在物理打击之外开辟了一条软杀伤战线。这也是为什么Kyivstar案被业内普遍视为「国家级行动者首次完整抹除一国主要运营商核心网」的标志性事件。
对运营商工程师来说，归因结论还有一层冷酷的推论：你的对手不再是脚本小子和勒索团伙的「交付压力」，而是有情报支撑、有耐心潜伏半年、有现成擦除器军火的军事化团队。防御假设必须从「防住边界」升级为「假设已被突破，如何保住恢复能力」。
事故复盘的价值在于迁移。Kyivstar案后，欧洲监管与行业机构把电信关键基础设施的安全要求大幅收紧——欧盟NIS2指令（Directive (EU) 2022/2555）已将电信运营商列为「基本实体」，违规最高可处全球年营业额2%或一千万欧元的罚款，并明确要求供应链安全、危机管理与业务连续性演练。结合这次事故的教训，我把它整理成六条可落地的硬整改：
| 层面 | 整改措施 | 参照依据 |
|---|---|---|
| 边界 | 运维VPN、特权账号强制MFA；收缩对外暴露面，远程运维口按最小化原则收敛 | NIS2基本安全要求 |
| 虚拟化平台 | 电信云管理面（vCenter/同级平台）管理员权限拆分；堡垒机全程录像；管理网与业务网物理隔离 | 行业通行实践 |
| 核心网 | 网元分域分Trust Zone隔离，网元间启用IPsec等传输保护，防止单域失守全域裸奔 | 3GPP TS 33.210（NDS/IP） |
| 数据 | 落实3-2-1-1-0备份：三副本、两种介质、一份异地、一份离线不可变、零恢复错误；核心网备份的恢复演练常态化 | 行业通行实践 |
| 流程 | 每年至少一次「核心网从零重建」桌面推演：假设生产环境全毁，靠备份+冷备件+安装手册拉起全网 | ENISA业务连续性建议 |
| 业务连续性 | 与异网运营商预签应急互备/漫游协议，关键用户（警报、政务）具备跨网冗余通道 | 战时应急实践 |
三条最容易被低估的，展开说一下。
第一，虚拟化平台管理面就是新核心。很多运营商的安全预算还按「网元」分配，但Kyivstar案证明，单点杠杆在平台层。管理面账号必须做到：双人授权、会话录像、操作白名单、高危操作（批量删除、存储卸载）二次确认与延时执行。这些控制在割接审批体系里大家都不陌生，思路完全可以平移到云管平台。
第二，备份的验收标准是「恢复演练成功」，不是「备份任务成功」。备份任务每天绿勾不算数——攻击者摧毁的恰恰是你以为绿勾就够的幻觉。离线副本必须与生产网络存在物理或权限层面的「不可达性」，并且要定期把备份真正拉起来跑通。3GPP在NDS/IP（TS 33.210）里定义了网元间传输层安全，它解决的是「网上传输被窃听篡改」，而Kyivstar案暴露的是「平台层被整体清空」——两件事都要做，不能互相替代。
第三，恢复的组织问题大于技术问题。Kyivstar能在战时、空袭中四天分批拉回一张全网，靠的不只是备份，还有：网元即代码化的安装基线、冷备件库、以及一套清晰的分区恢复优先级（先语音短信、后数据家宽，先警报相关区域、后普通区域）。这套东西写进预案容易，真正做到需要每年真刀真枪演练。标准允许多种实现方式，具体架构选型以各运营商自身网络与厂家官方文档为准，但「演练过」和「没演练过」的差距，在12月12日那样的早晨就是天壤之别。
这个故事的尾声颇具象征意义。遭受核心网级抹除攻击仅一年半之后，2025年8月15日，Kyivstar集团以代码KYIV登陆纳斯达克，成为第一家在纳斯达克上市的乌克兰公司。市场给出的叙事里，韧性的价值被明确计入估值——一家在被战争对手清剿核心网后快速恢复并完成加固的运营商，反而证明了其工程与治理能力。
对全球两三百万电信运维人而言，Kyivstar案值得钉在墙上记住的点可以浓缩成三句话：
我们已经习惯了为光缆被挖断、电源闪断、升级回滚做预案。Kyivstar案补上了最后一课：假设有一天生产环境被整体清零，你的网还能不能在第四天早晨发出第一条短信？这个问题的答案，不取决于攻击者，取决于你今天下午排进日程表的那次恢复演练。
文中事件细节主要来自Kyivstar管理层公开披露、乌克兰国家安全局（SBU）通报及国际媒体调查报道；入侵起点等部分细节各信源存在出入，已在文中以「未经官方证实」标注。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。