等保资讯

文 | 华为技术有限公司网络安全技术专家 李祥军 赵永安 廖勇 王文亮

伴随国际地缘政治冲突、攻防手段演进、新技术的引入等，网络空间对抗持续加剧，全球关键信息基础设施成为网络攻击的重要目标，这给运营商带来了前所未有的挑战。2025年4月，韩国规模最大的运营商SK电讯（SK Telecom）曝出核心网遭受入侵的安全事件，包含用户认证密钥（Ki）在内的敏感信息发生泄露，涉及用户规模超过2300万，导致SK Telecom全网用户的全球用户识别卡（USIM）、嵌入式SIM卡（eSIM）均存在被复制的潜在风险。SK Telecom紧急推出“用户身份识别模块（SIM卡）保护服务”作为主要应急手段，避免了USIM、eSIM复制事件及相关危害发生。该事件充分体现了移动终端管控能力在面临重大安全攻击等极限、应急场景中的关键作用，引发了全球对通信终端管控能力的高度关注。对此，本研究分析了通信终端安全的部分场景及危害，阐述了国际上的通信终端安全管控方式，提出了通信终端安全管控框架，为我国建设移动通信终端安全管控体系提供参考。

   一、

移动通信终端能够引发极端场景风险

5G代际以来，全球多家知名运营商因遭受网络攻击而导致大规模断网。例如，2022年，沃达丰葡萄牙公司因遭受黑客攻击而导致全国4G、5G断网。此类重大网络攻击事件推动全球运营商高度关注5G网络安全防护，尤其是来自互联网、其他运营商以及运维通道等潜在攻击路径的安全防护。而随着移动通信终端性能的迅猛提升、网络速率的持续增加以及eSIM规模化应用，移动通信终端所面临的风险愈发突出。在某些情形下，这将对核心网的安全构成严重威胁，进而成为近期全球移动通信系统协会（GSMA）等国际组织重点关注的研究课题。

当前，全球移动通信网络均遵循第三代合作伙伴计划（3GPP）制定的国际标准，终端的管控能力明显不足。无论何种终端，只要配备合法卡就能接入通信网络，且网络无法依据终端的安全状态进行接入管控。这种管控模式存在巨大的潜在威胁，被恶意攻陷的终端或存在安全漏洞的终端可能会被用于攻击网络。长期以来，移动通信终端的风险被严重低估，网络缺乏针对终端安全的有效检测与管控措施，导致在某些重大安全事件发生时危害程度难以得到有效控制。尤其是在一些极端场景下，更容易对国家安全、经济社会造成重大损害。

（一）USIM卡规模复制风险

韩国SK Telecom核心网被入侵，导致所有用户的USIM卡存在可能被复制的风险。恶意人员使用复制卡可以冒充合法用户的身份打电话、访问手机银行等，导致合法用户面临手机身份被盗用、移动支付欺诈、电信欺诈等风险。SK Telecom事件引发的巨大危害，也引起GSMA对USIM安全的关注。2025年，GSMA下设的反诈和安全工作组（FASG）第32次会议系统分析了USIM、eSIM复制的攻击路径，包括攻击卡厂商、攻击运营商核心网，利用漏洞远程攻击eSIM卡、卡厂商到运营商传输过程的信息窃取等。SKTelecom事件一方面暴露出攻击核心网利用复制卡进行获利的潜在途径；另一方面也充分证明一旦USIM卡被大规模复制，大量手机通信、移动支付等都将变得不可信，并对通信网及社会造成巨大的危害。

（二）通信终端被大规模控制的风险

极端情况下，大规模通信终端被控制会引发全国性断网事件。2016年，美国10万台联网终端被Mirai木马控制用于发起对域名系统（DNS）的攻击，导致美国半个国家断网。进入5G代际，移动通信终端的性能已远远超过Mirai事件发生时的物联网终端，若大规模通信终端被控制发起网络攻击将造成更大危害。近年来，我国发生多起大规模手机被操控用于恶意订购增值业务、接收验证码“薅羊毛”等案件，假如将这些大规模被操控手机用于同时发起呼叫或同时访问某系统，则会导致网络瘫痪等重大危害。

（三）卡或终端安全漏洞带来的风险

USIM卡、eSIM卡自身操作系统（OS）存在的安全漏洞或终端OS存在的安全漏洞都可能被恶意利用，导致复制卡或大量终端被控制，从而引发上述两类风险。2025年7月，GSMA通报某知名提供商的eSIM卡OS存在严重安全漏洞，可以利用恶意移动应用程序（App）直接读取用户配置信息实现复制eSIM卡。我国运营商及沃达丰、法国电信、AT&T等部分国际知名运营商的eSIM卡都受到了影响。更为重要的是，eSIM卡在投入使用后其OS的底层漏洞极难修复，大量的eSIM卡将会长期“带病运行”。同样，2024年7月，安卓系统（Android）的切片功能和某互联网企业知名App冲突，安装该App的手机终端不断循环发起会话建立、会话删除请求，导致信令流量急剧增长，严重影响了我国及东南亚多家运营商5G网络的稳定运行。

   二、

移动通信终端管控现状分析

在移动通信网络的发展过程中，SIM卡由于存在破解风险而被替换为难以破解的USIM卡，大幅提升了终端安全。长期以来，由于传统方法难以破解USIM卡密钥，而GSMA FASG总结的四种攻击路径在现网中发生案例较少，这也导致了移动通信终端安全的重要性在业界长期被低估。

同时，移动通信发展初期，通信终端大多仅具备语音等有限的基本功能，终端对核心网安全影响较小。传统上，每一代际的移动通信网络在设计时，关于终端对核心网的安全影响考虑并不多。随着移动通信终端性能更强、规模更大、功能更丰富，终端OS的功能越来越通用化，系统漏洞、木马等常见安全威胁越来越多地影响通信终端，进而影响到核心网。因此，移动通信终端对核心网安全的影响越来越大，甚至在某些场景下能够造成核心网瘫痪。

（一）我国移动通信终端管控能力相对不足

在基础的通信终端管控方面，我国行业普遍缺乏对存在安全隐患的通信终端的识别与管控能力。韩国SK Telecom大规模泄露Ki事件发生后，全球关于韩国大规模复制卡及电信诈骗的担忧急剧上升，最终SK Telecom基于终端管控能力有效控制了这起号称通信网络最严重入侵事件的危害。我国通信行业相对缺乏基础的终端管控能力，在安全事件发生时甚至要通过暂停业务来规避风险。2023年，我国部分电话手表的eSIM模块可被拆除用于电信诈骗、流量欺骗，但是运营商缺乏识别检测此类eSIM滥用的能力，也缺乏相应的终端管控能力，导致电话手表eSIM业务被紧急叫停。

在通信终端被大规模控制的风险管控方面，我国行业的能力短板较为明显。2023年，四川警方破获一起“上千万部手机被木马程序控制私自扣费牟利亿元”的案件。恶意团伙与供应商合作将木马植入手机主板，控制了1400万部手机，通过远程控制手机发送短信订购增值业务，能够自动删除收发短信记录让用户无从察觉，其间通信运营商也没有任何发现、处置的能力。近年来，上海、北京、浙江等地警方也侦破多起大规模木马植入手机、大规模恶意App控制手机案件。若不法人员利用大规模被控制的手机同时发起呼叫或访问某系统，可能导致大规模网络瘫痪（典型案例如Mirai事件导致美国大面积断网）。当前，我国通信行业对此类威胁的检测以及处置能力相对不足，在极端场景下会严重危害我国通信安全。

（二）国际上移动通信终端管控能力分析

当前，全球几百家运营商已经构建起基础的通信终端管控能力，其中135家运营商已接入全球移动通信系统协会国际移动设备识别码数据库（GSMA IMEI DB）服务，能够全球共享恶意终端情报，实现对全球恶意终端的协同拦截。国际上，运营商通信终端安全管控手段主要基于3GPP制定的国际标准化设备管控能力，同时又进行了检测、分析等能力的增强和扩展。根据GSMA FASG的案例分享，近几年沃达丰、法国电信等国外知名运营商也发生过大量利用eSIM补卡、换卡进行恶意复制eSIM卡事件，国外运营商大多基于通信终端管控能力对使用复制卡的恶意终端进行拦截。

美国、英国等国家对通信终端普遍实行进网许可制度，通信终端必须获得国家颁发的进网许可证才允许接入通信网络。此外，国外运营商的终端管控体系大致可以分为以下两类。

一是技管结合，主动防护。在通信终端使用管理方面，部分国家要求手机终端先注册、后使用。例如，印度、阿根廷、印尼等国家要求用户使用通信业务前，先注册手机终端硬件编号国际移动设备识别码（IMEI）、USIM卡对应的用户身份编号国际移动用户识别码（IMSI）。在通信终端技术管控方面，运营商通信网络对未注册的手机终端进行控制，即使在有合法卡的情况下也禁止接入通信网络。通信终端强制注册模式可为通信终端提供主动防护功能，运营商能够对复制卡手机或丢失手机接入网络的行为实施管控，确保不会因复制卡问题导致身份盗用或话费损失。

二是检测分析，被动防护。部分国家并不要求对手机终端强制注册，但运营商会构建针对通信终端的管控分析机制，对接入网络的终端进行分析与管控。常见的分析能力涵盖复制卡分析、被盗终端分析等方面。美国、英国、法国等国家均搭建了终端管控系统，对终端IMEI、IMSI等信息进行检测、分析，主动管控通信终端的安全风险。

   三、

完善移动通信终端管控体系

为了更好地对通信终端进行管控，提升管控效率与成效，需要构建国家协同、行业统一的通信终端管控体系，从而避免某一终端在被某运营商拦截后，通过更换SIM卡仍可接入其他运营商网络的情况。同时，还需在国际层面共享终端情报库，实现全球范围内对存在安全隐患通信终端的统一拦截。运营商对通信终端的管控能力及其优势，体现在对通信终端码号的管控。因此，需将对恶意通信终端的管控转变为对通信终端码号的管控，消除卡、OS、App等终端各层级的安全威胁。

（一）行业统一的终端管控体系

美国等部分国家建设了统一的终端管控体系，对涉及电信诈骗、盗窃的终端进行拦截，同时开展复制卡的检测与管控。美国的通信管控体系也与GSMA IMEI DB进行情报共享，实现对存在安全问题的终端全球联动处置。

基于我国监管体系以及运营商运营体系，本研究提出构建通信终端安全管控体系。对于通信终端安全管控体系而言，建议监管部门或行业协会构建并运营行业统一的通信终端管控国家平台。该国家平台负责维护基础的终端黑（白）名单、策略等，确保恶意终端能够被各运营商进行统一拦截。

目前，在移动通信网络的国际标准中，已针对IMEI构建了通信设备拦截机制。然而，在用户码号拦截、安全检测分析、安全处置等通信终端管控能力方面仍存在缺失。为此，运营商既需要构建基于国际标准的通信终端设备拦截能力，又需要围绕卡、OS、App等终端各层级，打造通信终端安全检测、分析与处置能力。其中，针对移动通信终端被大规模控制的安全检测场景，既可以利用通信网络中已有的木马检测系统结果，也可以在通信网络中专门构建恶意App分析能力。

（二）对eSIM进行主动安全防护

2025年，我国开启了手机eSIM的规模化商用，标志着我国eSIM应用从以往的穿戴类设备领域正式进入手机主流消费市场。从近几年国际运营商的eSIM安全形势来看，沃达丰、德国电信、法国电信等运营商均遭遇过大量针对eSIM的盗卡攻击，这表明eSIM安全防护形势不容乐观。2023年，电话手表eSIM业务被叫停事件，进一步暴露出我国在通信终端领域仍存在管控能力短板。

eSIM规模应用等全球业务发展趋势、eSIM安全事件及漏洞等，对我国移动通信终端的管控构成了战略倒逼态势。我国监管部门施行的审慎应对举措，难以有效管控eSIM卡的安全风险。当前，运营商的管理要求与技术手段主要集中在eSIM开卡环节，而使用环节的风险仍处于未管控状态。需特别关注类似韩国SK Telecom事件、我国警方破获的“上千万部手机被木马程序控制私自扣费牟利亿元”等案件，在极端场景下对我国通信网络的破坏。因此，我国需要从技术层面系统性地重构通信终端管控系统，严守安全底线，防范系统性风险。建议以手机eSIM商用为契机，逐步建立通信终端管控体系与系统。构建针对eSIM的主动安全防护能力，对eSIM手机及eSIM卡进行主动防护，确保eSIM安全。当用户进行eSIM开卡操作时，会将eSIM及终端的IMSI、IMEI等信息同步到终端管控平台。此后，若eSIM在使用过程中出现窃取、复制等安全问题，当恶意终端接入通信网络时，管控平台即可完成对恶意终端的身份识别与接入拦截。

（三）国际协同与安全信息共享

国家通信终端管控平台可以代表我国通信行业接入GSMA IMEI DB服务。一方面，采集共享的全球通信终端安全情报，将其下发到各运营商的通信终端安全管控平台；另一方面，将我国境内检测到的恶意通信终端信息，汇总发送到GSMA IMEI DB服务，从而实现该类信息的全球共享。

我国通信终端管控平台与GSMA IMEI DB服务共享终端情报库，能够对涉及电信诈骗、盗窃的恶意终端实施全球协同拦截，同时能够解决电信诈骗团伙通过变更接入的运营商网络以逃避打击的问题，进而提高我国电信诈骗治理、打击手机盗窃及贩卖等领域的工作效能。

（本文刊登于《中国信息安全》杂志2026年第8期）