文章总结： 本文揭示航空业已成为境外情报机构重点攻击目标，国安机关已通报多起APT渗透案件，攻击者长期潜伏窃取旅客信息、业务系统数据及供应链信息。文章指出合规驱动与实战对抗错位等四大矛盾，建议安全负责人开展攻击面梳理与日志审计，业务负责人明确供应商安全责任，并定期开展红队演练验证防护体系有效性。 综合评分： 85 文章分类： 威胁情报,安全建设,红队,安全运营,解决方案

第85篇 AI全栈 · 航空产业已成境外情报机构重点网络攻击目标

原创

陈看山 陈看山

安全诸子

2026年9月23日 09:32 上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

航空数据被窃听、航班系统被植入木马、旅客记录遭批量拖走——这些不是电影情节，而是国安机关已经公开通报的现实案件。如果你负责或参与过任何民航相关系统、机场基础设施、航空制造供应链的数字化建设，过去两年应该频繁感受到合规审计和重保巡查的压力在直线上升。但压力归压力，很多人并不清楚境外情报机构到底是怎么打进来的、偷走了什么、以及为什么航空业成了“头号靶子”。这篇文章不聊宏观威胁论，而是把公开披露的攻击事件、历史APT活动轨迹和可落地的防御思路拆开讲清楚，最后给你一张判断自身防护水平的自检清单。

这不是普通黑客，是国家级情报作业

航空产业之所以被列为重点目标，核心原因在于其数据的“双重高价值”。一方面，航班调度、乘客名单、货运舱单、要客行程属于敏感情报；另一方面，航空信息系统大量采购自国外厂商，供应链复杂、暴露面大，且安全防护水平参差不齐。境外情报机构攻击航空系统，目标从来不是搞瘫网站或者勒索一笔钱，而是长期潜伏、持续窃取。

2021年10月国安机关公布的案件非常典型：2020年1月某航空公司自查发现系统异常，上报后确认多台重要服务器和网络设备被植入特种木马程序，乘客出行记录等数据被窃取。进一步排查发现，另有多家航空公司遭遇同一类型攻击。调查结论是某境外间谍情报机关精心策划，利用了多个技术漏洞，并通过多级跳板设备隐匿踪迹。这次攻击不是单点突破，而是系统性、持续性的情报搜集作业。

从攻击时间线看，航空业被“盯上”至少十年了

把公开的APT报告和国安披露串联起来，能看到一条清晰的时间线。

2019年9月，国安机关披露某境外APT组织利用特种木马，通过控制境外跳板设备对我国航空系统数十台计算机实施高强度攻击。木马平时静默潜伏，收到远程指令才激活，行动非常隐蔽。

2019年12月，卡巴斯基APT年度报告点名前文提到的CIA使用的木马针对中国航空部门发起攻击。奇安信红雨滴团队随后发布报告，将CIA泄露的Vault 7网络武器与实际攻击样本关联，确认相关攻击主要发生在2012年到2017年，部分活动甚至持续到2018年底，目标直指国内航空行业。

把时间线拉长看，攻击者从2012年前后就已开始渗透航空系统。为什么持续这么久没被发现？因为攻击方式与一般黑产完全不在一个维度：针对性极强的系统漏洞利用、定制化的静默木马、多层跳板回传链路、对开发人员和社会工程学信息的深度利用。传统防火墙加杀毒软件的防护思路，在这种对手面前基本是裸奔。

攻击者真正想拿的是哪三类数据

基于公开披露的信息，航空业被窃取的数据可以归纳为三个层次。

第一层是旅客信息与行程数据，包括乘客姓名、证件号、联系方式、航班座位、出行轨迹。这类数据直接关系到要员安全和重要商务行程的保密性，一旦泄露可能被用于精准定位、跟踪或策反。

第二层是航空业务系统运行数据，包括航班控制系统、货运信息服务、结算分销系统、乘客服务系统的内部逻辑和业务数据。攻击者获取这些数据，可以推测系统架构和业务流程，为后续更深层渗透做准备。

第三层是供应链与运维侧信息，包括系统开发人员的代码仓库权限、运维人员的账号体系、第三方服务商的接入链路。360在披露中提到，CIA针对中国航空航天机构的攻击是围绕系统开发人员实施的定向打击，意图掌握航班实时动态、飞行轨迹和货运信息等敏感情报。

航空业网络安全建设的四个核心矛盾

对比民航系统现有防护体系，会发现四个结构性矛盾。

第一个矛盾是“合规驱动”与“实战对抗”的错位。很多航司和机场的安全建设以满足等保和行业合规为上限，但合规检查项并不能覆盖APT的攻击路径。国家级对手根本不在乎你是否过了等保，他们在乎的是你的系统有没有可被利用的0day和可被钓鱼的员工。

第二个矛盾是“边界防御”与“内部潜伏”的错位。传统安全模型假设内网是可信的，但前述攻击案例中木马程序一旦植入，就长期存在于内网服务器上，等待指令激活。没有主机层面的深度检测和异常行为分析，边界防火墙再强也无法发现已经在内部的敌人。

第三个矛盾是“业务连续性优先”与“安全检测滞后”的矛盾。航空系统对可用性要求极高，停机窗口极短，导致很多安全补丁无法及时上线。而攻击者恰恰利用这一点，针对已知漏洞进行低成本攻击。

第四个矛盾是“外部攻击”与“供应链风险”的混淆。航空信息系统高度依赖外部供应商，包括核心系统开发商、运维服务商、云服务商。攻击者不需要直接打航司，只要打穿某个供应商的开发环境，就能获得通往航司内部的合法通道。

能力拆解：航空业网络防御需要补哪些课

| 能力点 | 适合场景 | 接入成本 | 主要限制 | | — | — | — | — | | 网络流量全量审计与回溯 | 发现潜伏期木马外联行为 | 中高，需要流量采集和存储设备 | 加密流量检测能力有限 | | 主机层EDR与行为基线 | 检测服务器异常进程和敏感文件访问 | 中，需覆盖全部关键服务器 | 误报率需要长期调优 | | 供应链安全审查与隔离 | 管控第三方开发/运维人员接入 | 中，需建立供应商分级管理制度 | 供应商配合度影响落地效果 | | 红队演练与攻击模拟 | 验证现有检测和响应体系有效性 | 高，需专业团队或外部服务商 | 演练期间可能影响业务运行 | | 威胁情报关联分析 | 识别已知APT组织TTP和基础设施 | 低至中，需采购或对接情报源 | 情报时效性和质量直接影响效果 |

这张表的重点不是让你照单全收，而是根据自身资源情况做取舍。例如小型航司或机场可以先做威胁情报关联和主机行为监控，而大型航空集团则必须投入流量审计和供应链隔离体系建设。

真实限制：为什么堆安全设备也挡不住APT

必须说清楚一个现实：即使上述能力全部部署到位，航空业依然面临三个难以回避的限制。

第一，系统国产化替代尚未完成，大量核心系统运行在Windows和旧版本Linux上，操作系统层面的后门即使被检测到，也无法轻易重装或迁移。第二，航空系统之间的互联互通要求极高，中航信、机场、航司、空管之间的数据交换协议复杂，隔离措施往往会影响业务协同效率。第三，专业安全人才短缺问题在航空行业尤其严重——既懂航空业务系统架构、又熟悉APT攻击手法的复合型人才，在市场上一将难求。

给读者的实践建议

基于当前可见信息，航空业网络安全防护不能只靠安全部门单打独斗，建议从三个层面推进。

如果你是安全负责人，先做一次针对性的攻击面梳理，重点排查与外部供应商的接口、开发测试环境与生产环境的隔离情况、运维人员远程接入通道。然后选择一到两个核心系统做深度日志审计，看是否存在异常计划任务、可疑的DLL加载或长时间静默的通信连接。不需要全套高级工具，先把手头已有的安全设备日志用起来，很多APT痕迹其实已经记录在案，只是没人去看。

如果你是业务负责人，需要认识到网络安全不是IT部门的事，而是业务连续性的一部分。建议在采购新系统或与供应商续约时，明确要求安全责任边界、数据访问审计权限和应急响应配合义务。一位曾在航司工作过的朋友告诉过我一个真实教训：某供应商的运维人员因个人电脑中毒，导致航司内网被横向渗透，事后调查发现合同中根本没有约定供应商终端的接入安全标准。

如果你所在企业还没发生过安全事件，不要庆幸，更不要觉得距离很远。参照美国空军和运输部对波音飞机进行安全测试的做法，建议每年至少做一次针对核心业务系统的红队演练或攻击模拟，让安全团队和设备真正接受实战检验。成本可以控制，不一定要请顶级外部团队，先从内部模拟钓鱼邮件和已知漏洞利用路径开始，逐步提升检测响应能力。

航空业的安全防护没有终点，对手在不断升级手段，防御方必须保持持续投入和迭代。希望下一次公开披露的攻击事件，不再是从国安机关通报中才知道自己已经被渗透了多年。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全诸子 陈看山 陈看山《第85篇 AI全栈 · 航空产业已成境外情报机构重点网络攻击目标》