通过对数百个Telegram频道、网络犯罪论坛及其他开源信息的梳理，2025年共发现针对航天领域的网络行动共计407起，日均发生超1次攻击。

这类攻击的发生并非随机。网络活动的数量随地缘政治危机同步攀升，在乌克兰与美国局势紧张、印巴危机、以色列-伊朗战争期间出现明显峰值。

在已识别的407起行动中，共有46个国家的183个不同航天相关实体成为攻击目标，其中不少实体多次遭到攻击。最常被针对的实体包括埃尔比特系统公司、拉斐尔先进防御系统公司、安东诺夫公司、美国国家航空航天局（NASA）、乌克兰国家航天局（Ukrkosmos）以及以色列航空工业公司。其他已确认的目标还包括太空探索技术公司（SpaceX）、空客集团、莱昂纳多公司、欧洲通信卫星组织（Eutelsat）、吉莱特卫星网络公司（Gilat）、欧洲空间局（ESA）、GMV公司等。

在这407起已识别的网络行动中，61%为分布式拒绝服务（DDoS/分布式拒绝服务）攻击，13%为勒索软件攻击，5%为数据窃取，4%为数据泄露，4%为数据售卖，3%为未授权访问，剩余1%为未授权访问权限售卖、恶意软件攻击、凭证窃取、网站篡改、漏洞利用等类型。

更值得关注的是，威胁的影响范围正在不断扩大。攻击者的目标越来越多地指向本身并非航天企业，但依赖航天系统、或处于航天供应链某个环节的组织。例如针对GuraLP公司的攻击导致全球导航卫星系统（GNSS/全球导航卫星系统）接收机被未授权访问，影响了意大利的地震监测工作。同样，某航天企业使用的线上会议工具Dooble Digital Solutions遭到攻击，很可能对该航天企业的正常运营造成了影响。

与往年不同的一点是，针对航天系统的网络攻击正在产生越来越切实的运营后果。在南非，针对国家气象部门的勒索软件攻击导致其IT环境与气象站的连接中断近一个月。即便在服务部分恢复后，该机构仍只能以缩减的产能运营，不得不向终端用户提供推算数据和分辨率更低的影像。据报道，包括农业领域在内的大量用户虽然受到了服务质量下降的影响，却对此次中断毫不知情。该事件也给气象部门自身造成了经济损失。同样，一起针对两家伊朗航运企业卫星通信系统的网络攻击导致其整个船队的卫星通信调制解调器瘫痪，攻击者还得以访问企业数据，包括每艘船舶的卫星通信凭证。

针对航天生态系统的网络攻击不再仅仅是导致网站下线，它们已经开始干扰现实世界的服务、运营连续性，以及多个行业所依赖的底层系统。

冰山一角

我们目前观测到的远不是航天网络威胁的全貌，而只是露出水面的极小一部分。

首先，就连界定何为航天网络攻击都存在难度：针对波音公司的每一起攻击都属于航天网络攻击吗？入侵北大西洋公约组织（NATO）导致航天机构相关信息泄露的事件算吗？针对依赖卫星数据的企业的攻击又是否属于？划定的边界不同，得到的威胁图景也截然不同。

数据存在缺陷还有另一个原因：大量事件从未被公开。研究人员可能会发现恶意意图、攻击能力、学术演示或是威胁参与者的声明，但仍无法将其与某一起已确认的攻击行动关联起来。原始信息的获取并不均衡，长期持续追踪同一攻击者的难度很高，尤其是网络犯罪论坛和Telegram频道经常被关停，迫使威胁参与者转入非公开渠道活动。

公开报告又进一步造成了信息扭曲。网络安全公司只能报告其传感器能够捕捉到的内容，而绝大多数传感器部署在地面IT系统而非卫星上。最终公开的内容还会受到商业动机、客户立场、地缘政治倾向以及市场需求的影响。目前专用航天网络情报产品数量稀少，全球网络威胁情报（CTI/网络威胁情报）市场碎片化严重，公众对相关威胁的了解仍然十分有限。

即便是已经确认的事件，信息也并非一成不变。事件发生数月后可能会出现新的披露信息，从根本上改变我们对事件经过、责任方以及实际影响严重程度的认知。针对俄罗斯卫星通信公司Dozor-Teleport的攻击就是典型案例，该攻击导致连接中断超过16小时，最初瓦格纳集团宣布对事件负责，之后乌克兰网络联盟又宣称是其所为。

大量干扰信息也进一步模糊了航天网络威胁的全貌。威胁参与者经常夸大甚至编造攻击声明，而受害方则保持沉默，导致研究人员只能在证据极少的情况下判断事件真伪。不过即便是虚假声明也有其价值：它们表明攻击者对将航天领域作为目标抱有兴趣。

为何我们至今无法识别针对在轨卫星的攻击？

2025年识别到的407起网络行动中，没有一起能够被确认是针对航天段本身的攻击。这并不意味着卫星没有遭受攻击，更有可能的情况是，我们对卫星上发生的事件仍然处于失明状态。

我们无法可靠地识别我们没有监测的内容。在地面，网络安全团队依靠传感器、日志和监测工具记录系统内部发生的所有事件，这些记录可以让分析人员还原攻击过程、识别恶意行为并提升未来的检测能力。

卫星并没有享受到同等的监测条件。绝大多数卫星在设计时没有配备专用的网络安全传感器，且不少卫星的在轨运行时间长达数年甚至数十年，发射后很难甚至根本无法进行升级。这就形成了一个“先有鸡还是先有蛋”的问题：要搭建有效的检测系统，我们需要知道针对卫星的攻击是什么样的；但如果没有能够观测这类攻击的传感器，我们就缺少确定要检测什么内容所需的证据。

地面网络安全用了数十年时间积累事件数据，逐步在互联网和IT架构中部署传感器，才逐步解决了这个问题。航天网络安全领域正试图在短得多的时间内走完这一学习曲线。

这意味着要开发一套专门适配航天器的全新检测生态系统：通过卫星遥测数据识别可疑行为，训练系统区分正常和异常活动，将异常情况与SPARTA、欧洲空间局SHIELD等航天专属威胁框架对应，定义适用于卫星而非地面IT系统的检测指标。

目前相关工作已经启动，但在这些能力得到普及之前，公众所了解到的航天段网络威胁图景天生就是不完整的。

填补航天网络威胁情报的缺口

长期以来，航天行业都依赖“隐式安全”模式：信息被严格管控，软件是专有的，硬件高度专业化，外部人员很难访问或理解系统的运行逻辑。现在这种模式已经难以为继。

商业化、商用现货组件的广泛使用以及大数据的应用，让航天系统更容易被外部人员访问和了解，最终造成了“透明带来的不安全”。我们应当默认威胁参与者有能力找到所需的技术信息，用于研究、瞄准甚至潜在入侵航天系统。但目前防御方手中的航天专属网络威胁情报仍然有限，信息共享机制薄弱，对卫星上的情况以及威胁参与者社群内部的动态了解极少。

我们没有回到“隐式安全”的可行路径。唯一可行的应对方案是让透明性转而服务于防御方，转向“透明安全”模式：开发航天专属威胁情报，部署星上检测能力，在全行业范围内更系统地共享信息。如果攻击者越来越了解航天系统的运行逻辑，防御方也需要同等高效地了解这些系统正在面临怎样的攻击。

本文作者克莱芒丝·普瓦里耶是瑞士苏黎世安全研究中心（CSS）高级网络防御研究员，也是《航天网络威胁情报：2025年航天网络威胁图景》报告的作者。