概述：2026年7月，《金融时报》与TechCrunch报道，伊朗在当年的冲突中利用SS7信令网漏洞定位在中东的美军人员——一款诞生于上世纪70年代的电话信令协议，至今仍是全球情报机关、银行盗贼与追踪公司共用的“后门”。本文回答三个问题：SS7为什么天然不设防、攻击者用哪几招（定位、呼叫转移、截验证码）、运营商这些年补了哪些墙。全文以公开案卷为轴：2008年25C3演示、2016年挪威Telenor信令异常、2017年德国O2银行盗案、2018年定位出逃公主、2024年美国国土安全部点名四国滥用，以及2026年的最新战例。
要理解SS7为什么成了全球电话网最大的软肋，得先回到它出生的年代。
上世纪70年代，贝尔系统为了解决一个古老难题——呼叫建立信息占用话音信道——搞出了共路信令：把控制信令从话音通道里剥离，走独立的信令链路。1977年，ITU-T（当时的CCITT）定义了第一个国际共路信令协议SS6；1980年的黄皮书中，Q.7XX系列建议正式定义了SS7，取代了28位信号单元、功能受限的SS6。此后SS7通过ITU-T Q.700系列建议实现国际标准化，全球PSTN的呼叫建立、释放、号码翻译、携号转网、预付费计费和短信，全部跑在这套协议上。
关键在于它设计时的世界：能用SS7网络互相说话的，只有少数几家国有电话公司。这是一个俱乐部——会员彼此认识，线路是专线，节点是机房里的物理设备。所以在协议里，一条SS7消息只需要报上自己的信令点码（SPC）和全球码（GT），接收方就无条件相信它的来源。没有证书，没有握手，没有鉴权。这跟三十年后互联网早期“IP地址即身份”的天真如出一辙，唯一的区别是：互联网后来长出了TLS，而SS7的信令网因为兼容包袱太重，至今没有原生的对等鉴权。
移动时代把这个俱乐部拆了。GSM的MAP协议把SS7扩展成全球漫游的骨架——你在异国他乡插卡打电话，拜访地网络就是靠MAP消息向归属地HLR/HSS询问你的鉴权数据和位置。运营商之间通过国际信令转接网（今天的IPX承载，底层是SCTP上的Sigtran，即所谓“伪SS7”）互联，俱乐部门槛从“国有巨头”降到了“任何能租到转接服务的公司”。
GSMA后来专门为“全球码租赁”出台了行为准则（Global Title Leasing Code of Conduct，可在GSMA安全官网查阅），原因就是曾有大量中间商把GT租给根本不该进网的第三方——追踪公司、数据经纪商，乃至情报承包商。俱乐部的大门，就这样被人从里面推开了。
SS7攻击的门槛，说穿了只是“能往信令网里发MAP消息”。行业里公认的核心手法有三类，全部利用了网络“无条件信任”的设计：
第一招：定位（ATI/PSI询问）。 攻击者向受害者归属HLR发送AnyTime Interrogation等询问消息，网络会老老实实返回用户当前登记在哪个VLR/MSC，精度到小区级。2008年12月，德国研究员Tobias Engel在25C3（第25届混沌通信大会）上演示了用SS7定位手机，这是该漏洞第一次公开。据《华盛顿邮报》2014年8月报道，彼时市面上已有商业系统可在全球范围秘密追踪手机用户，成功率约七成。
第二招：改道（呼叫转移与位置搬移）。 通过UpdateLocation把受害者“搬”到攻击者控制的市场，或用InsertSubscriberData等消息直接设置无条件呼叫转移，接续和语音就被改道了。《华盛顿邮报》2014年12月报道，德国研究者Karsten Nohl在31C3上演示：配合先录制、再请求网络释放临时加密密钥的手法，可以实现通话窃听。顺带一提，安卓端的开源工具SnoopSnitch可以在手机侧对部分SS7攻击行为发出告警——终端侧都能察觉，说明信令侧的特征并不隐蔽，缺的只是网络侧的“哨兵”。
第三招：截验证码（SRI-SM劫持短信）。 短信的下发路径是：SMSC向归属HLR发SendRoutingInfo-ForSM，问“这个用户的短信该送到哪个MSC”，然后照地址投递。攻击者伪造这个询问，报上自己控制的地址，银行验证码就改道进了攻击者的口袋。The Hacker News 2016年6月的报道曾演示：只需知道你的手机号，利用SS7就能截获验证码、接管Facebook等社交账号——彼时全球有超过800家运营商在使用这套信令网。
三招的共同根因只有一个：信令消息的“说自己是上帝，网络就当他是上帝”。这也是为什么后来所有防御方案的思路都出奇一致——在俱乐部门口设岗哨，检查每一张“介绍信”。
| 年份 | 事件 | 关键细节 |
|---|---|---|
| 2008 | 25C3大会公开SS7定位漏洞 | Tobias Engel演示"Locating Mobile Phones using SS7"，首次公开实证 |
| 2014 | 31C3演示窃听与全球追踪 | Karsten Nohl发布"Mobile self-defence"；华盛顿邮报报道商用追踪系统成功率约70% |
| 2016.02 | 挪威Telenor网络大面积异常 | 约30%的网络不稳定，官方称源于“另一家欧洲运营商的异常SS7信令”，随后定位并修复 |
| 2016.04 | 美国国会介入 | 众议员Ted Lieu（计算机专业出身）呼吁国会调查，称其威胁“每一部手机” |
| 2017.05 | 德国O2 Telefónica确认银行盗案 | 攻击者利用SS7绕过网银双因素认证盗取资金，运营商公开证实 |
| 2018.03 | 定位出逃迪拜公主 | 卫报与调查新闻局（TBIJ）披露：公主被劫持前一天，定位信令经由泽西岛、根西岛、喀麦隆、以色列、老挝、美国多地网络发出 |
| 2024 | 美国官方系统性质疑 | CISA官员Kevin Briggs向FCC通报SS7与Diameter相关入侵被"多次尝试"用于获取位置、语音短信及投递间谍软件；12月参议员Wyden公布DHS评估，点名中、俄、伊、以四国利用SS7从事情报活动 |
| 2026.07 | 战争中的SS7 | 金融时报与TechCrunch报道：伊朗利用SS7漏洞定位在中东的美军人员 |
这张表读下来有两条线。一条是能力扩散线：2008年还只是黑客大会上的学术演示，2014年就出现了商业化的“定位即服务”，2018年出现在私人恩主委托的追踪行动里，2026年干脆进了战争的情报战序列。另一条是攻防错位线：防护方在2017年前后才开始成体系地部署信令防火墙，而此时攻击早已进入实战——防御永远在追赶第一波案卷。
2026年这起战例值得一提。据TechCrunch 2026年7月14日报道，相关报告显示伊朗方面滥用了移动网络的信令漏洞来定位驻中东美军人员；《金融时报》的报道将其称为“伊朗战争中的手机追踪行动”。TechCrunch在报道中评论：这个协议被情报机构滥用已经有很多年。一颗设计于拨号时代的协议，最终成为国与国对抗的基础设施级武器——这大概是1980年那批标准起草者无论如何想不到的。
SS7安全问题通常被归入“窃密”类，但2016年2月的挪威案卷提醒我们：恶意信令本身也是稳定性事故源。
当时挪威最大的移动运营商Telenor发现，全国约30%的移动网络变得不稳定。运营商随后公告：问题源于“来自另一家欧洲运营商的不寻常SS7信令”——换言之，某种异常的信令流量（无论其初衷是攻击、误配置还是测试）穿过国际信令互联点打进了挪威网络。Telenor在2016年2月21日公告错误已定位并修复，挪威科技媒体digi.no等对此做了跟进报道。
从核心网运维的视角看，这类事故的机理并不神秘。HLR/HSS和STP的信令处理能力是按“正常用户行为模型”规划的，而定位询问、路由询问这类MAP操作在正常话务里占比稳定。一旦某个对端（或借道对端的第三方）发起高强度的定向询问——每条消息本身完全合法——信令平面就会被挤占：HLR查询队列堆积、SRI响应时延飙升，进而拖慢被叫接续、短信下发，用户体验上就是“半瘫”：手机有信号、能登记，但打电话发短信时灵时不灵。
这跟后来很多运营商经历的“信令风暴”事故是同构的，只是元凶从终端侧（例如老的Find My iPhone式疯狂重注册）换成了网间侧。它给行业的教训写在GSMA后续的信令安全要求里：网间互联点必须部署信令监测与速率控制，异常信令要能在互联点被识别、限速、告警乃至阻断，而不是放进来才处理。 值得一提的是，SS7的消息路径通常是点对点可溯的——任何恶意信令都能追到来源运营商，这也是网间协查机制得以运转的基础。但“能溯源”不等于“能拦截”，溯源是事后追责，拦截才是事前防御。
如果说Telenor事件展示了恶意信令的“破坏力”，2017年德国案则完整展示了它的“变现路径”。这是迄今公开披露中链条最清晰的一起SS7金融犯罪：据The Hacker News 2017年5月报道（运营商O2 Telefónica随后证实），攻击者的操作分五步：
flowchart TD
A["受害者电脑<br/>被植入网银木马"] --> B["木马收集网银凭证<br/>与手机号码"]
B --> C["攻击者接入信令网<br/>借道国际转接"]
C --> D["伪造信令<br/>为号码设置改道"]
D --> E["银行确认电话与2FA短信<br/>落到攻击者线路"]
E --> F["正常登录网银<br/>凭收到的验证码转账"]
G["网间信令防火墙<br/>异常改道指令拦截"] -.-> D
注意这个组合拳的精妙之处：单靠木马偷不到验证码，单靠SS7偷不到密码。木马负责收集网银登录凭证和受害者的手机号；SS7信令则负责“补最后一块拼图”——把双因素认证的第二因素（发到你手机上的确认电话和短信）改道到攻击者控制的线路。两个看似不相关的攻击面，在银行风控的接缝处完成会师。O2方面确认了漏洞被用于绕过双因素认证实施未授权转账，但受害规模有限、涉及账号分散——这也是SS7金融攻击的典型形态：不追求单笔大额，追求“每笔都不触发风控”。
对银行侧来说，这起案子的启示同样深刻：短信OTP的天花板就在这里——短信的投递路径运行在一个银行完全无法施加安全控制的信令网上。此后几年金融行业推动FIDO2、设备绑定、推送确认等替代方案，包括德国在内的多国银行业明确要求对高风险交易弃用短信验证，背后都有这一案的影子。运营商侧的整改则指向信令防火墙：对“来自网外的改道类指令”建立白名单校验——呼叫转移本该只能由用户在归属网络内合法设置，一条从国际互联点进来的InsertSubscriberData类消息，本身就值得拦下来盘问。
2017年之后，信令安全从“爱好者话题”变成了运营商安全部门的正式KPI。行业补墙分三层：
第一层：技术墙——信令防火墙。 GSMA通过其欺诈与安全规范（业内通称FS.11系列，针对SS7防火墙、监控与安全网关）给出了行业基线，核心机制包括：分级筛查（按互联对象的风险等级执行不同严格度的检查）、GT白名单（只允许注册在案的对端全球码发起特定消息）、消息类型过滤（禁止改道类、位置查询类消息从网外进入）、以及基于统计的异常检测（某对端的SRI询问量突然放大十倍就该告警）。Diameter和5G时代同样的问题延续到了S6a等接口，5G核心网的答案是在漫游边界部署SEPP网关做 protects（3GPP TS 33.501定义）——标准只规定能力框架，允许多种实现，具体行为以各厂家官方文档为准。
第二层：制度墙——把俱乐部重新看管起来。 GSMA安全与欺诈部门（FASG工作组）推动的可核查机制在收紧：前述《全球码租赁行为准则》直指中间商乱租GT的乱象；T-ISAC（电信威胁情报共享社区）让运营商之间能共享恶意信令源情报。逻辑还是那句老话：SS7的世界没有身份体系，只能靠“互相通报坏人名单”来模拟一个身份体系。
第三层：态势墙——年度体检。 GSMA每年发布《Mobile Telecommunications Security Landscape》系列报告，2026年版已是第八期，覆盖2025年的威胁演化。这类报告的价值在于把“SS7还有没有风险”从口水仗变成可度量的行业基线：哪些运营商完成了防火墙部署、哪些互联点还裸奔、哪些消息类型是当前的主要滥用面。美国方面，监管的注意力也在升级——从2016年国会议员呼吁调查，到2024年CISA官员向FCC正式通报、参议员公开DHS评估，SS7已经从技术圈话题升格为国家级行政议题。
但必须诚实地说：墙补得再高，也改变不了协议本身无鉴权的事实。防火墙的本质是“用策略模拟信任”，而策略永远可能被绕过——租到合法GT、攻陷一台转接设备、或者干脆收买一家小运营商，攻击者总有办法让自己“看起来像会员”。这就是为什么十八年过去，案卷上的年份还在继续增加。
最后落点给一线。如果你所在网络还没把信令安全做成日常运维项，这七条是最低配置：
从2008年到2026年，SS7的案卷横跨十八年：黑客大会的演示、挪威三成网络的异常、德国账户里消失的存款、迪拜湾外海的追踪、直到战争里被定位的军人。每一起的主角不同、目的不同，用的却是同一套七十年前设计的、没有身份验证的信令消息。
6G的讨论已经展开，但只要2G/3G回落、CS域语音、国际漫游还活着一天，SS7就还要在网里跑一天——事实上它比很多反对它的人活得更久。行业的现实选择不是推倒重来，而是把它当成一个“永远不可信的对等网络”来设防：互联点设岗、异常必告警、改道必盘查、租赁必核查。
对工程师而言，这件事最大的启示或许在协议设计哲学上：任何“以参与者可信为前提”的协议，寿命一定长于那个前提成立的世界。 1980年如此，今天的IPX如此，将来5G SBA的漫游边界、甚至AI网元之间的接口，同样如此。SS7用十八年的案卷给全行业补了一堂课，学费是无数个银行账户、一位公主的自由，和一些军人的位置。
下一个“SS7”，也许正在某个刚刚定稿的标准里等着我们。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。