**概述**：2023年12月12日早晨，乌克兰最大移动运营商Kyivstar的核心网遭破坏性网攻，2400多万用户的短信、移动数据一夜归零，连空袭警报都发不出去。这不是一次配置失误，也不是光缆被挖断，而是有国家背景的黑客组织潜入内网，把虚拟化平台上的核心网元成批「清零」。本文回答四个问题：攻击者是怎么进来的、核心网是怎么被抹掉的、四个昼夜怎么救回来的、换作是你的网，该提前做什么。 ## 目录 - 一、凌晨的短信黑洞 - 二、完整时间线：从失守到归因 - 三、解剖：核心网是怎么被「清零」的 - 四、归因：惯犯Sandworm与它的前科 - 五、六条硬整改：换作是你的网怎么办 - 六、尾声：一年后，它上了纳斯达克 - 参考来源 ## 一、凌晨的短信黑洞 干过核心网运维的人都有一种职业本能：凌晨告警最可怕。凌晨的告警往往不是用户侧抖动，而是底层出了大问题。 2023年12月12日早晨，乌克兰用户发现Kyivstar的短信发不出去了。紧接着，移动数据没了，语音也开始大面积异常。作为乌克兰最大的移动运营商，Kyivstar服务着超过2400万移动用户，占全国人口的一半以上。网络瘫痪的连锁反应迅速显现：银行的短信验证码收不到、移动支付停摆、物流调度失灵，更致命的是——乌克兰民众日常依赖手机接收空袭警报，而Kyivstar的用户恰好收不到。 outage发生之初，很多人第一反应是「又停电了」或者「光缆被炸了」。在战时的乌克兰，这两样都是日常。但这次不一样：基站在工作，光缆没断，用户终端信号正常，就是业务不通。故障点不在无线，不在传输，而在最里头——核心网。 当天，Kyivstar确认：这是一次有组织的破坏性网络攻击，攻击者已经进入内部网络。公司首席执行官Oleksandr Komarov随后对外披露的细节让整个行业倒吸一口凉气：攻击者摧毁了「几乎整个核心网」，数千台虚拟机和数十台工作电脑上的数据被清除。 注意这几个词的组合：**核心网、虚拟化平台、批量清除**。这三个词放在一起，就是本文要讲的全部技术内容——它意味着攻击者拿到的不是一台服务器的root权限，而是整个电信云平台的管理员权限；他们做的不是勒索加密，而是直接删除；他们瞄准的不是IT支撑系统，而是那个承载着HLR/HSS、SMSC、计费、网管的「运营商大脑」。 ## 二、完整时间线：从失守到归因 先把时间线铺开。需要说明的是，下表中部分细节（尤其是入侵起点）来自媒体调查与运营商事后披露，不同信源存在出入，我会在表格里逐条标注信息属性，未经官方证实的内容明确标出。 | 时间 | 事件 | 信息属性 | | --- | --- | --- | | 2023年上半年 | 据后续调查报道，攻击者可能于此期间已获得初步访问通道 | 媒体调查报道，未经官方证实 | | 2023-12-12 早晨 | 短信中断、移动数据不可用，故障面覆盖全国 | 运营商通报 | | 2023-12-12 当天 | 确认为破坏性网攻；核心网虚拟机被批量删除 | 运营商CEO公开披露 | | 2023-12-15 前后 | 移动语音、短信开始分区域恢复 | 运营商通报 | | 2023年12月下旬 | 移动数据与家庭宽带业务基本恢复常态 | 运营商通报 | | 2024年5月 | 乌国家安全局（SBU）正式归因：俄罗斯军事情报总局下属黑客组织Sandworm | 官方通报 | | 2024年至2025年 | 核心网加固、备份体系与监控体系重建 | 运营商及行业披露 | | 2025-08-15 | Kyivstar集团以代码KYIV登陆纳斯达克 | 交易所公告 | ```mermaid timeline title Kyivstar事件时间线 2023年上半年 : 据披露攻击者或已潜伏（未经官方证实） 2023年12月12日 : 核心网遭破坏性攻击 : 短信与移动数据大面积中断 随后72小时 : 核心网元分区重建 : 移动业务分批回归 2023年12月下旬 : 全面恢复 : 转入取证与加固 2024年5月 : SBU归因Sandworm 2025年8月 : Kyivstar集团登陆纳斯达克 ``` 这张时间线里最有信息量的是第一行和最后一行的反差：**攻击者可能在网内潜伏了至少半年才动手**，而运营商用四天左右把一张全国性移动网救了回来。潜伏半年说明边界防御早已被突破且未被察觉；四天恢复说明备份与重建预案没有一起被摧毁。这两件事，一件是失败，一件是成功，都值得每一个网管人员反复琢磨。 ## 三、解剖：核心网是怎么被「清零」的 要理解这次攻击的杀伤力，得先理解现代核心网的物理形态。 十年前，核心网是一排排专用机架：MSC、HLR、SMSC、SGSN各自是独立硬件，爆炸半径天然分散。今天，这些网元绝大多数已经演进为跑在通用服务器虚拟化平台（vSphere/KVM这类电信云）上的虚拟机——这正是NFV/5GC时代的前提。效率提升了，但风险模型也变了：**虚拟化平台的管理面成了整个网络的「单点王」**。拿到vCenter或同级平台的管理员权限，就等于拿到了对HLR、SMSC、计费、网管所有网元的生杀大权。 ```mermaid flowchart TD A[战前数月
边界账号失陷] --> B[进入办公网与运维通道] B --> C[横向移动至虚拟化平台] C --> D[获取平台管理员权限] D --> E[批量删除核心网虚拟机] E --> F[短信中心与用户数据库停摆] F --> G[2400万用户业务中断] H[异地隔离备份] --> I[核心网元逐区重建] I --> J[业务分批恢复] D -.未能波及.-> H ``` 从运营商事后披露与行业分析看，这次攻击的手法链条大致如此：先通过边界（报道提及失陷账号/远程接入通道，具体细节未经官方证实）进入办公网，再横向移动到运维管理面，最终在虚拟化平台层面获得管理员权限，然后对核心网虚拟机执行批量删除。这是一个非常典型的「从IT打穿CT」路径——攻击者没有攻克任何一个电信协议漏洞，他们攻克的是**运维体系**。 用户侧的感知顺序也有讲究。为什么短信最先死？因为SMS是核心网里链路最长、依赖最多的业务：发一条短信要经过SMSC的存储转发，要查归属用户数据库做路由，还要依赖MAP/Diameter信令在网元间穿梭。这条链上任何一环的虚拟机没了，短信整体熄火。语音和数据恢复起来反而可以分区、分批进行——核心网元一台台重建、一个个RNC/基站池重新挂接，这正是Kyivstar后续72小时干的事。 再说说那个决定生死的细节：**备份还在**。攻击者删掉了生产环境里「几乎整个核心网」，但Kyivstar的备份系统存储在攻击路径之外，数据完好。CEO Komarov明确对外讲过：正因为备份得以保留，恢复才成为可能。想象一下相反的情形——如果备份与生产环境在同一管理域、同一存储策略、同一权限体系里，这次攻击就不是「四天恢复」，而是「数据从零开始」。勒索软件时代反复上演的「备份连坐」剧本，在电信核心网差点重演。 还有一层容易被忽略的伤害：短信通道的中断顺带废掉了基于短信的二次验证和各类通知类服务，银行、政务、警报系统全部被波及。这提醒我们，**核心网早已不是「运营商的网」，而是整个社会运行时的底座**——这一判断在[欧盟网络安全局ENISA的年度威胁报告](https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024)中已被反复强调：电信是其他所有关键行业依赖的「母行业」。 ## 四、归因：惯犯Sandworm与它的前科 2024年5月，乌克兰国家安全局（SBU）正式宣布归因：Kyivstar攻击由俄罗斯军事情报总局（GRU）下属的黑客组织Sandworm实施。Sandworm即GRU第74455部队，对这个名字有概念的老网管不会陌生，翻翻[它的履历](https://en.wikipedia.org/wiki/Sandworm_%28hacker_group%29)就知道这是什么级别的对手： - **2015年12月**：攻击乌克兰电网，用BlackEnergy致数十万家庭停电，首次实战证明可以「用键盘拉电闸」； - **2016年12月**：用Industroyer二次攻击基辅电网，该恶意软件能直接说电网工业协议的「方言」； - **2017年6月**：NotPetya勒索清剿，从乌克兰一家财务软件的更新通道扩散至全球，据美国白宫事后评估造成约100亿美元级损失，马士基、默克等巨头的全球IT系统瘫痪数周； - **2022年2月**：俄乌开战前一小时，用AcidRain擦除器攻击Viasat KA-SAT卫星通信系统，数万欧洲用户的宽带终端一夜变砖。 看懂这个履历，就能看懂Kyivstar案的战术连贯性：**战时打电信，不是图钱，是图战场效果**。空袭警报依赖移动网络、动员通知依赖短信、无人机预警依赖数据链路——放倒一个覆盖半个国家的运营商，等于在物理打击之外开辟了一条软杀伤战线。这也是为什么Kyivstar案被业内普遍视为「国家级行动者首次完整抹除一国主要运营商核心网」的标志性事件。 对运营商工程师来说，归因结论还有一层冷酷的推论：你的对手不再是脚本小子和勒索团伙的「交付压力」，而是有情报支撑、有耐心潜伏半年、有现成擦除器军火的军事化团队。防御假设必须从「防住边界」升级为「假设已被突破，如何保住恢复能力」。 ## 五、六条硬整改：换作是你的网怎么办 事故复盘的价值在于迁移。Kyivstar案后，欧洲监管与行业机构把电信关键基础设施的安全要求大幅收紧——[欧盟NIS2指令](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)（Directive (EU) 2022/2555）已将电信运营商列为「基本实体」，违规最高可处全球年营业额2%或一千万欧元的罚款，并明确要求供应链安全、危机管理与业务连续性演练。结合这次事故的教训，我把它整理成六条可落地的硬整改： | 层面 | 整改措施 | 参照依据 | | --- | --- | --- | | 边界 | 运维VPN、特权账号强制MFA；收缩对外暴露面，远程运维口按最小化原则收敛 | NIS2基本安全要求 | | 虚拟化平台 | 电信云管理面（vCenter/同级平台）管理员权限拆分；堡垒机全程录像；管理网与业务网物理隔离 | 行业通行实践 | | 核心网 | 网元分域分Trust Zone隔离，网元间启用IPsec等传输保护，防止单域失守全域裸奔 | 3GPP TS 33.210（NDS/IP） | | 数据 | 落实3-2-1-1-0备份：三副本、两种介质、一份异地、一份离线不可变、零恢复错误；核心网备份的恢复演练常态化 | 行业通行实践 | | 流程 | 每年至少一次「核心网从零重建」桌面推演：假设生产环境全毁，靠备份+冷备件+安装手册拉起全网 | ENISA业务连续性建议 | | 业务连续性 | 与异网运营商预签应急互备/漫游协议，关键用户（警报、政务）具备跨网冗余通道 | 战时应急实践 | 三条最容易被低估的，展开说一下。 **第一，虚拟化平台管理面就是新核心**。很多运营商的安全预算还按「网元」分配，但Kyivstar案证明，单点杠杆在平台层。管理面账号必须做到：双人授权、会话录像、操作白名单、高危操作（批量删除、存储卸载）二次确认与延时执行。这些控制在割接审批体系里大家都不陌生，思路完全可以平移到云管平台。 **第二，备份的验收标准是「恢复演练成功」，不是「备份任务成功」**。备份任务每天绿勾不算数——攻击者摧毁的恰恰是你以为绿勾就够的幻觉。离线副本必须与生产网络存在物理或权限层面的「不可达性」，并且要定期把备份真正拉起来跑通。3GPP在[NDS/IP（TS 33.210）](https://www.3gpp.org/dynareport/33210.htm)里定义了网元间传输层安全，它解决的是「网上传输被窃听篡改」，而Kyivstar案暴露的是「平台层被整体清空」——两件事都要做，不能互相替代。 **第三，恢复的组织问题大于技术问题**。Kyivstar能在战时、空袭中四天分批拉回一张全网，靠的不只是备份，还有：网元即代码化的安装基线、冷备件库、以及一套清晰的分区恢复优先级（先语音短信、后数据家宽，先警报相关区域、后普通区域）。这套东西写进预案容易，真正做到需要每年真刀真枪演练。标准允许多种实现方式，具体架构选型以各运营商自身网络与厂家官方文档为准，但「演练过」和「没演练过」的差距，在12月12日那样的早晨就是天壤之别。 ## 六、尾声：一年后，它上了纳斯达克 这个故事的尾声颇具象征意义。遭受核心网级抹除攻击仅一年半之后，2025年8月15日，Kyivstar集团以代码KYIV登陆纳斯达克，成为第一家在纳斯达克上市的乌克兰公司。市场给出的叙事里，韧性的价值被明确计入估值——一家在被战争对手清剿核心网后快速恢复并完成加固的运营商，反而证明了其工程与治理能力。 对全球两三百万电信运维人而言，Kyivstar案值得钉在墙上记住的点可以浓缩成三句话： 1. **最大的单点不再是某台HLR，而是跑着所有HLR的云平台管理面**——特权管控的优先级要重新排队； 2. **备份的对手是权限体系，不是硬盘故障**——离线、不可变、可演练，三个词缺一不可； 3. **电信网的可用性已经是国家安全变量**——空袭警报发不出去的那一刻，故障等级的定义就变了。 我们已经习惯了为光缆被挖断、电源闪断、升级回滚做预案。Kyivstar案补上了最后一课：**假设有一天生产环境被整体清零，你的网还能不能在第四天早晨发出第一条短信？**这个问题的答案，不取决于攻击者，取决于你今天下午排进日程表的那次恢复演练。 ## 参考来源 1. [Kyivstar — Wikipedia](https://en.wikipedia.org/wiki/Kyivstar) — 运营商背景、用户规模与本次事件的基础记载 2. [Sandworm (hacker group) — Wikipedia](https://en.wikipedia.org/wiki/Sandworm_%28hacker_group%29) — 攻击组织沿革及其历次标志性攻击 3. [ENISA Threat Landscape 2024](https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024) — 欧盟网络安全局年度威胁研判，电信关键基础设施章节 4. [3GPP TS 33.210: Network Domain Security / IP](https://www.3gpp.org/dynareport/33210.htm) — 核心网网元间传输安全（NDS/IP）标准页 5. [Directive (EU) 2022/2555 (NIS2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) — 欧盟对电信等关键实体的安全义务与罚则原文 文中事件细节主要来自Kyivstar管理层公开披露、乌克兰国家安全局（SBU）通报及国际媒体调查报道；入侵起点等部分细节各信源存在出入，已在文中以「未经官方证实」标注。 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。