新加坡面临前所未有的关键基础设施网络威胁
新加坡目前正面临迄今为止最严重的网络安全危机之一。一个被称为 UNC3886、据专家称与中国有关联的复杂间谍组织，正将目标对准这个城邦国家的关键基础设施。官员称，持续发生的攻击既严重又顽固，在政府、业界和公众中引发警觉，凸显了在日益数字化的世界中，先进网络对手带来的风险不断上升。
目录
新加坡国家安全统筹部长尚穆根公开承认这一威胁，称 UNC3886 对新加坡国家安全构成重大危险。他警告说，该组织的活动可能危及基本服务，扰乱数百万人的日常生活。出于安全考虑，攻击的具体细节仍属机密，但政府罕见地公开点名该组织，凸显了事态的严重性，也反映出东南亚网络战不断变化的态势。
UNC3886 是谁？了解发动攻击的间谍组织
UNC3886 是一个高级持续性威胁（APT）行为体。这一网络安全术语用于描述具备高超技能、资源充足，并开展长期隐蔽网络行动的组织。网络安全公司 Mandiant 于 2022 年首次发现 UNC3886。该组织凭借高超的技术能力，以及对美国和亚洲国防、科技、电信领域高价值目标的关注，迅速声名鹊起。
“UNC”是“未分类”或“未归类”的缩写，表示尽管该组织的活动有充分记录，但尚未被正式认定为某个已知的国家级黑客组织。不过，Mandiant 和其他网络安全专家根据其行动模式、目标选择和技术特征，一直认为 UNC3886 与中国有关联。
UNC3886 以耐心、适应能力强和善用先进技术而闻名。该组织擅长利用所谓的零日漏洞，即软件或硬件中供应商尚不知情、也没有可用补丁的安全缺陷。UNC3886 通过攻击 Juniper Networks、Fortinet 和 VMware 等公司的路由器、防火墙和虚拟化平台等网络设备，能够渗透网络、植入定制恶意软件，并在较长时间内不被发现。这种做法使该组织得以窃取敏感数据、监视通信，并可能扰乱基本服务。
高级持续性威胁（APT）如何运作？
UNC3886 这类 APT 与普通网络犯罪分子有几个关键区别：
- 长期访问：APT 旨在未经授权访问目标系统并维持访问权限数月甚至数年，而且往往不被发现。
- 隐蔽与规避：它们会使用定制恶意软件、受害者系统上已有的合法工具，以及复杂技术来躲避安全软件的检测。
- 战略性目标：APT 不以快速获取经济利益为目的，而是专注于收集情报、从事间谍活动，以及扰乱或破坏关键基础设施的能力。
- 零日漏洞利用：通过利用此前未知的漏洞，APT 能够绕过即使是最新的安全防护措施。
UNC3886 的行动体现了这些特征，即使对网络安全能力最强的国家而言，它也是一个难以对付的对手。
新加坡关键基础设施：哪些方面面临风险？
新加坡关键信息基础设施（CII）构成了该国基本服务的支柱。政府正式认定了 11 个 CII 行业，包括：
- 能源
- 水务
- 银行与金融
- 医疗卫生
- 交通（陆路、海运、航空）
- 政府
- 信息通信
- 媒体
- 安全与紧急服务
其中任何一个行业遭到破坏，都可能对社会和经济产生连锁影响。例如，电网遭到成功攻击可能导致供电中断，进而影响医院、交通系统和金融机构。同样，医疗或政府数据库遭到入侵，可能导致敏感个人信息泄露。2018 年 SingHealth 数据泄露事件就影响了 150 万名患者，其中包括时任总理。
尚穆根部长强调，此类攻击可能造成大范围干扰：
对我们的系统和基础设施发动攻击，将影响我们的业务开展方式、供应商选择以及供应链情况。所有这些都必须重新审视；如果我们认为无法信任相关方面，就可能选择不再使用它们。
除了立即造成服务中断，对 CII 发动网络攻击还会削弱公众信任、损害新加坡作为全球商业枢纽的声誉，并为窃取战略数据或破坏公共服务创造机会。
技术解读：UNC3886 如何渗透并长期潜伏
UNC3886 的行动方式体现出其对网络内部机制的深入了解，并且注重隐蔽性。该组织被发现利用广泛使用的网络设备和虚拟化技术中的零日漏洞。例如，2023 年，UNC3886 利用 Fortinet 防火墙漏洞（CVE-2022-41328）攻击政府机构并部署定制后门。2025 年 3 月，该组织针对 Juniper Networks 的 Junos OS 路由器发动了一场攻击行动，展现出篡改系统日志、并在初次被发现后继续潜伏的能力。
进入网络后，UNC3886 通常会植入被动后门，即能够在不触发警报的情况下提供远程访问权限的恶意软件。该组织还善于使用受害者系统上已有的合法管理工具，使其活动混入正常操作之中。这种做法称为“就地取材”，增加了检测和清除难度。
网络安全公司 Tenable 的高级研究员萨特南·纳朗解释了其中的挑战：
UNC3886 这类 APT 组织耐心十足、善于适应，而且技术高超。它们利用虚拟化平台、防火墙和路由器中的零日漏洞渗透系统、植入恶意软件和 rootkit、窃取凭据，并以难以察觉的方式在网络中横向移动。
新加坡网络安全局（CSA）报告称，已在该国部分关键信息基础设施中发现 UNC3886 的活动，该局正积极展开调查和监控，并与受影响的机构共享威胁情报。
新加坡的应对：政府采取行动，业界协同动员
新加坡政府以紧迫且透明的方式应对这一威胁。网络安全局正与其他相关部门密切合作，与 CII 所有者共同遏制攻击、评估漏洞并加强防护。官员尚未披露入侵的全部范围或后果，但强调了事态的严重性以及保持警惕的必要性。
CSA 局长高明（David Koh）强调，保护新加坡网络空间需要敏捷应对和坚定投入。他指出，新加坡近 80% 的机构都曾遭遇某种形式的网络攻击，这凸显了威胁的普遍性。政府也在重新审视供应商信任和供应链安全政策，并认识到依赖可能已遭入侵的技术会带来系统性风险。
新加坡采取的措施包括：
- 跨行业持续监控并共享威胁情报
- 与国际网络安全公司及合作伙伴协作
- 定期开展安全审计和事件响应演练
- 开展公众宣传活动，提升网络安全意识
过去的事件也曾促使政府采取类似应对措施，例如 2014 年外交部遭入侵、2017 年本地大学遭攻击，以及 2018 年 SingHealth 数据泄露事件。2024 年，一场全球僵尸网络感染影响了新加坡的 2,700 台设备，但未波及任何 CII。这些经历进一步凸显了建立强大、灵活的防御体系，以及在各行业培育网络安全文化的必要性。
中国的回应与地缘政治背景
中国一贯否认参与网络间谍活动，包括被归咎于 UNC3886 的活动。中国驻新加坡大使馆对媒体报道将该组织与中国联系起来表示强烈不满，并称中国反对一切形式的网络攻击，而且本身也是国际黑客行动的受害者。
尽管中国予以否认，网络安全专家和西方情报机构长期以来一直记录与中国有关联的 APT 组织针对全球各地政府、企业和关键基础设施展开活动。近年来，其他与中国有关联的组织，例如 Volt Typhoon，也被指涉攻击新加坡实体，包括该国最大的移动运营商新加坡电信有限公司。
更广泛的地缘政治背景是网络竞争和间谍活动日趋激烈，尤其是在亚太地区。新加坡致力于打造全球科技和金融枢纽，因此成为国家支持的黑客眼中颇具吸引力的目标。这些黑客寻求战略优势、经济情报，或在外交谈判中获取筹码。
更广泛的影响：网络战浪潮持续升温
针对新加坡关键基础设施的攻击并非孤立事件，而是全球网络冲突不断升级这一大趋势的一部分。2021 年至 2024 年间，针对新加坡的疑似 APT 攻击数量增加了四倍多，与全球网络攻击日益加剧的趋势相呼应。该地区的其他国家和地区，包括台湾、日本、韩国和香港，也报告了针对其战略产业和公共服务的类似行动。
网络安全如今已成为国家安全、经济稳定和公众信任的核心支柱。随着数字技术与日常生活的融合不断加深，网络攻击的潜在影响也呈指数级增长。针对电网、水务系统、医疗网络和金融机构的攻击会对民众生活造成直接而具体的影响；长期间谍活动则可能削弱竞争优势和国家主权。
专家警告说，网络空间中的和平与冲突界限正日益模糊。与传统战争不同，网络攻击可以匿名发起、瞬间跨越国界，并在不开一枪的情况下造成损害。这个“隐形战争”的新时代需要新的战略、国际合作，以及对韧性和备战工作的持续关注。
经验教训与未来之路
新加坡应对 UNC3886 的经历为世界各国政府、企业和个人带来了几项重要启示：
- 保持警惕至关重要：即使是技术最先进的国家，也容易受到复杂网络对手的攻击。持续监控、共享威胁情报和快速响应都至关重要。
- 供应链安全不容忽视：必须持续评估对技术供应商和服务提供商的信任，因为广泛使用的产品中的漏洞可能被大规模利用。
- 公私部门协作：有效的网络安全需要政府机构、私营部门合作伙伴和国际盟友之间协调配合。
- 网络安全意识与基本防护：定期更新软件、使用强密码和开展员工培训等基本安全做法，仍是抵御许多攻击的基础。
- 做好应对中断的准备：机构必须制定稳健的事件响应计划，并具备在遭受攻击时维持基本服务的能力。
新加坡继续调查并应对当前威胁之际，这一事件也为所有在数字化转型和网络风险复杂局面中前行的国家敲响了警钟。
概要
- 新加坡正遭遇 UNC3886 发动的大规模持续性关键基础设施网络攻击。专家认为该组织与中国有关联。
- UNC3886 是一个高级持续性威胁（APT）行为体，以利用零日漏洞和针对高价值行业而闻名。
- 此次攻击凸显能源、水务、医疗卫生和金融等基本服务存在的漏洞，并可能造成大范围干扰。
- 新加坡政府正积极应对，与业界及国际合作伙伴携手遏制威胁、加强防护。
- 中国否认参与，但这一事件反映出亚太地区网络战和间谍活动日益加剧的大趋势。
- 专家强调，面对不断演变的网络威胁，必须保持警惕、加强供应链安全、推动公私部门协作，并做好充分准备。
