基辅之星：被打瘫的一周

2023年12月12日清晨，乌克兰的空袭警报没有照常响起。不是安全了，而是全国最大的移动运营商基辅之星（Kyivstar）的核心网在一夜之间被整个抹掉——2400万用户看着满格信号变成「无服务」，空袭预警、ATM、刷卡支付跟着一起哑火。这是俄乌开战以来对电信基础设施破坏性最大的一次攻击，攻击者在网内潜伏了七个月，用合法的管理工具把数千台服务器清成白纸。本文依据路透社当日报道、Cyber Breaches 事件档案与 VEON 官方公告，按时间线、根因、影响面、处置、整改五段，把这次「战时断网」完整复盘一遍，最后给出六条能带回自己网上的运维清单。

目录

• 一、事发：十二月十二日的静默
• 二、影响面：半个国家跟着失联
• 三、根因：在内网住了七个月的客人
• 四、处置：一场没有网管的恢复战
• 五、整改与后续：从废墟到纳斯达克
• 六、经验教训：给运维人的六道题

一、事发：十二月十二日的静默

基辅之星是 VEON 集团旗下的乌克兰最大电信运营商，移动用户约2430万，另有超过110万家庭宽带用户——按战前人口折算，全国差不多每两部手机里就有一张是它的卡。

12月12日凌晨，网络出现大面积异常；天亮之后，语音、短信、移动数据全面中断。这不是一次「网络拥塞」，也不是光缆被炸断——基站塔还立在原地，天馈、射频都是好的。坏的是更上层的东西：承载核心网元和网管系统的那一层通用服务器，被批量擦除了。

理解这件事，要先用今天核心网的实际形态说话。现代移动核心网早已不是机架上一台台专用机框，而是跑在 x86 虚拟化平台上的软件——MME、HSS、IMS、短信中心，本质上都是一堆虚拟机加配置数据。把虚拟化底座和网管平面一起擦掉，物理上等于把交换中心、HLR、网管台同时炸了一遍，而攻击者没有发射一枚火箭弹。

路透社在当天的报道里称其为「开战以来针对电信网的最大网络攻击」；Cyber Breaches 事件档案给出的直接损失估算约9500万美元。乌克兰国家安全局（SBU）随后立案，并最终以战争罪罪名推进追诉——据 The Record 报道，乌方明确将这起针对民用通信设施的攻击纳入战争罪起诉范围。

更讽刺的一幕是：断网当天，首都的空袭警报响了，但很多人是在警报响过之后、通过口口相传才知道「该进掩体了」。因为基辅和苏梅等地的空袭预警系统，正是靠插着基辅之星 SIM 卡的终端把警报送达社区——网一断，警报就聋了。

二、影响面：半个国家跟着失联

一次核心网停摆，波及的远不止「打不出电话」。电信网是整个社会数字业务的最底层管道，下面这张表按公开信息梳理了影响面与恢复节奏：

有三点值得逐条咀嚼。

第一，移动数据比语音恢复得慢。语音是这家公司定的第一优先级——CEO 科马罗夫对外明确说，恢复顺序是先语音、再数据、再短信。语音在战斗环境下意味着什么，不用解释：征召令、家属互报平安、指挥协同，全靠通话。

第二，「恢复」这个词有很多档位。12月15日晚公司就宣布了全国性恢复，12月19日 VEON 的官方公告说所有业务类别恢复、99%的移动网络重新入网，12月20日路透社才确认含国际漫游在内的全量恢复。从「能打通电话」到「敢说完全恢复」，中间隔了整整一周。做过度故障恢复的工程师都懂：拉起业务只是及格线，把边界网关、漫游协议、计费话单这些外围全部校验干净，才算交卷。

第三，级联损失是估不出来的那一部分。9500万美元是可列支的账，而 POS 机刷不出款、商户收不了钱、预警系统失灵造成的社会成本，不会出现在任何一张财务报表里。

三、根因：在内网住了七个月的客人

把攻击链摊开看，你会发现真正可怕的不是12月12日凌晨那几个小时，而是之前的七个月。以下时间与手法依据 Cyber Breaches 事件档案及 Cybernews 的梳理：

乌克兰官方将攻击归因于俄军总参情报总局（GRU）下属的「沙虫」（Sandworm）组织——这个代号对安全圈不陌生：2015、2016年两次乌克兰电网攻击、2017年的 NotPetya、2022年开战前一小时瘫痪 Viasat 卫星宽带终端的 AcidRain，都出自其手。这次，它把目标换成了全国最大的核心网。

从核心网工程师的视角，这个攻击链条暴露了三件事。

其一，IT 与 CT 的墙已经不存在了。虚拟化核心网意味着网元就是虚拟机，网管就是一套 IT 系统，域控就是所有网元的钥匙串。攻击者只要吃掉身份体系，就等于拿到了全网设备的管理员权限。传统「信令网与办公网物理隔离」的安全假设，在网元云化之后只剩下一半成立。

其二，入口大概率只是一个账号。事件档案对初始访问的判断是「可能经由一个被攻陷的账号」。一个账号，七个月，数千台服务器——攻防两端投入完全不成比例。

其三，擦除用的是「钥匙」而不是「撬棍」。攻击者调用的是管理工具自身的合法能力，安全设备看着每一次操作都有合法凭据、合法通道，像在看自己的运维同事干活。

flowchart TD
    A["钓鱼与窃取<br/>一个账号失守"] --> B["跳板进内网<br/>2023年5月起潜伏"]
    B --> C["横向移动<br/>摸清网管与权限"]
    C --> D["2023年11月<br/>拿到全网控制权"]
    D --> E["12月12日凌晨<br/>合法工具下发擦除"]
    E --> F["虚拟化平台清空<br/>核心网元与网管同殁"]
    F --> G["2400万用户无服务<br/>警报与支付级联受累"]
    G --> H["离线备份重建底座<br/>语音先行逐业务拉起"]
    H --> I["一周后全量恢复<br/>转入战时加固架构"]

四、处置：一场没有网管的恢复战

如果说攻击面体现了对手的耐心，那么恢复战体现的是这家公司工程体系的底子。CEO 科马罗夫称这是「全球电信基础设施遭到的最大网络攻击」，而恢复工作有数百名专家、数十家机构参与——相当于在战时状态下，把一个全国运营商的 IT 底座和核心网同时重装一遍。

恢复的技术路径，说穿了不复杂，但每一步都是在战火里做的：

timeline
    title 基辅之星事件时间线
    section 潜伏
        2023年5月 : 借一个账号潜入内网
        2023年11月 : 拿到全网控制权
    section 引爆
        12月12日凌晨 : 擦除数千台服务器
        12月12日白天 : 2400万用户无服务
    section 恢复
        12月13日 : 傍晚开始恢复语音
        12月14日 : 语音全网恢复数据重启
        12月15日 : 移动数据大面积恢复
        12月18日 : 短信与家宽恢复
        12月19日 : 99%移动网络重新入网
        12月20日 : 全业务恢复含国际漫游

第一步是重建地基。虚拟化底座被清空，就要先有可用的计算节点和 hypervisor，网元软件才有地方落脚。第二步是配置数据的找回——网元可以重装，但号段规划、用户签约数据（HSS/HLR 里的 IMSI、鉴权键、业务开通关系）不能凭空重建，这决定了备份副本的「清洁度」和「新鲜度」直接决定恢复速度。第三步是按业务优先级逐层拉起：语音最先，其次是数据，短信随后——这与科马罗夫对外公布的顺序完全一致。

有个细节值得所有运维同行划重点：恢复不是「一键回滚」。被擦除的环境里，攻击者已经在内网驻留了七个月，直接从在线备份恢复等于把后门一起搬回来。合理的做法是重建身份体系、更换全部凭据、确认备份快照早于入侵窗口，再逐层回灌。基辅之星用一周完成全量恢复，在「底座全毁+战时环境+不能引入二次入侵」三重约束下，这个速度放在和平年代的同行里也算第一梯队。

五、整改与后续：从废墟到纳斯达克

事后盘账，这件事的长尾比断网本身更耐读。

追责层面，SBU 将案件按战争罪推进，这是全球首例把「对民用电信网的破坏性网络攻击」明确纳入战争罪追诉框架的标志性案件；据 CyberScoop 报道，乌方还披露攻击者试图窃取短信数据、目标包括军政人员号码——断网可能只是这次行动的「显性目标」，数据窃取才是「隐性目标」。

数据长尾仍在发酵。据 Dark Web Intelligence 2026年9月的监测报道，有威胁行为者声称再次出售所谓基辅之星用户数据库（约1510万条）——该数据真实性未经核实，但它提醒我们：核心网被擦掉可以一周重建，被拖走的用户数据会在暗网里流窜很多年。

资本层面的走向则近乎黑色幽默。2025年8月15日，基辅之星集团以股票代码 KYIV 登陆纳斯达克，成为第一家在美国交易所上市的乌克兰公司——两年前被抹成白纸的那张网，如今在华尔街敲钟。首月股价从14美元回落到11美元上下，市场对「战时电信资产」的定价保持谨慎，但至少证明了一件事：一张被打瘫过又重新站起来的网，依然是可交易、可估值的资产。

行业层面，这次事件成了全球电信业安全预算的分水岭。此前的安全叙事里，运营商防的是拖库、防的是 DDoS；基辅之星之后，「假设核心网底座会被整层抹掉」进入了各国监管的情景推演清单。欧盟NIS2指令落地节奏加快、多国监管把「核心网虚拟化基础设施纳入关键基础设施保护范围」，背后都有这次事件的影子——这一段是行业趋势判断，属笔者观察，供读者批判性参考。

六、经验教训：给运维人的六道题

最后把这次事件翻译成能在自己网上落地的动作。前四条有事件事实直接支撑，后两条是笔者18年运维一线经验的延伸：

1. 把网管域当生产域来管。网元云化之后，虚拟化平台、域控、备份系统就是「第二个核心网」。它们的补丁水平、账号治理、堡垒机审计，不能停留在「IT 的事」这个层级。
2. 一个账号就是一条护城河的缺口。承包商账号、共享账号、长期有效的特权凭据，是最常见的初始入口。最小权限、按时回收、全程录像，是三件必须做的小事。
3. 备份要「够远、够孤、够旧」。够远：异地；够孤：与生产域隔离、不可在线篡改；够旧：快照时间早于入侵窗口。本次事件里，恢复速度的一切差异都藏在备份体系的质量里。
4. 恢复预案要排好「业务优先级」并演练过。语音先于数据、数据先于短信，这个顺序不该在断网当天才想。核心网级 RTO 要按「底座全毁」的假想演过，而不是按「单网元宕机」。
5. 降级通道要有多归属。空袭警报靠单一运营商 SIM 卡送达，是这次事件里最扎眼的结构性缺陷。任何「网断了会出人命」的业务，都应该跨网、跨介质（广播、卫星、专网）多路径兜底。
6. 把断网当社会事件来复盘。ATM、POS、警报、政务热线全部挂在电信网上。故障定级时，除了掉话率和流量损失，还应把下游级联影响纳入——这才是「网络是基础设施」的完整含义。

没有导弹命中的塔，会在一个凌晨被一行下发的指令整层抹掉；而被认真复盘过的网，会在废墟上重建得比原来更硬。基辅之星这一周，值得写进每一个网络运维团队的案例库。

参考来源

1. Ukraine's top mobile operator hit by biggest cyberattack of war — Reuters — 事发当日路透社现场报道
2. Kyivstar wiper attack 事件档案 — Cyber Breaches — 入侵时间线、损失估算与恢复节点汇总
3. Kyivstar restores voice services across Ukraine — VEON 官方公告 — 运营商第一手恢复进展通报
4. Russian hackers wiped thousands of systems in Kyivstar attack — BleepingComputer — 擦除范围与手法技术细节
5. 「KYIV」 Ticker Goes Live on Nasdaq — VEON 官方公告 — 2025年8月纳斯达克上市官方通稿

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。