2026 年 10 月，国家互联网应急中心（CNCERT）公布了一起域名解析被篡改事件的调查结果，工业和信息化部网络安全威胁和漏洞信息共享平台（CSTIS）同步发布安全提示。事件中，境外攻击组织通过 BGP 路由劫持，篡改了对我国部分域名的解析结果，导致多个省份的用户在访问个别域名时被异常跳转至赌博网站。官方将其定性为“通过路由劫持手段实施域名投毒攻击”。

这起事件的特殊之处在于：受害网站的域名未到期，注册商账号未被盗，权威 DNS 解析记录也未被修改，服务器运行正常。攻击者绕开了域名安全防护体系中最常被强调的所有环节，直接作用于更底层的互联网路由。

本文梳理事件经过与攻击原理，分析其对企业域名安全体系的启示，并给出可落地的防护建议。

一、事件经过与处置情况

根据 CNCERT 公布的调查信息，本次攻击的链条如下：

攻击入口：境外攻击组织使用自治域 AS402425，在 Equinix 新加坡互联网交换中心等节点发布 BGP 路由劫持。

攻击目标：对我国部分跨境流量实施恶意引流。

攻击结果：篡改正常的域名解析结果，用户访问被跳转至赌博站点，或被引导至恶意 DNS 服务器。

资源归属：AS402425 由美国公司 Qorexa Labs 于 2026 年 4 月在 ARIN 注册，CNCERT 报告中列出的恶意 IP 段包括 112.121.185.x、117.55.193.x 和 43.230.161.x。

需要区分的是，测量结果定位了篡改行为发生在该网络内，但这本身并不直接等同于对该公司主观意图的认定。

处置措施：相关部门联合网络运营者，采取封堵劫持路由、明细路由广播、刷新域名缓存等手段，恢复了域名在境内的正常解析；同时与为该境外网络提供互联网接入的国际运营商 Cogent、HE 以及 Equinix 新加坡交换中心沟通交涉，要求阻断劫持路由的全球扩散传播。目前攻击影响已基本消除。

遗留风险：攻击源头位于境外，攻击组织仍在通过更换接入网络、变更劫持手法等方式尝试继续实施路由劫持和域名篡改，潜在风险依然存在。

二、攻击原理：为什么解析记录没被改，结果却是错的

要理解这类攻击，需要把 DNS 与 BGP 两个层面分开。

DNS 解决的是“域名对应哪个 IP”，BGP 解决的是“去这个 IP 走哪条路”。企业的域名安全建设通常集中在 DNS 层：账号安全、域名锁、解析记录、DNSSEC。而本次攻击作用于路由层，攻击者没有修改电话簿的内容，而是篡改了路牌，让查询流量根本到不了真正的权威服务器。

具体手法利用了 BGP 的一条核心选路规则：最长前缀匹配（longest-prefix match）。BGP 在选择路由时，更具体的网段宣告优先于更宽泛的宣告，一个 /24 的宣告会压过 /23。攻击者通过宣告更细粒度的前缀，即可将原本发往目标 DNS 服务器的查询流量，引流至其控制的基础设施。流量经过攻击者网络后，DNS 应答内容可被任意替换。

这一攻击路径的关键特征是三个“不需要”：

不需要获取目标域名的注册商账号权限。

不需要修改权威 DNS 中的解析记录。

不需要入侵目标网站服务器。

因此在事件初期，受害方自行排查往往看不到任何异常：域名解析记录完整、权威服务器记录正确、服务器状态正常，问题存在于用户到权威服务器之间的链路。

跨境解析链路风险更高。一次跨境查询需要经过更多自治域、更多中间节点，任一环节的路由被劫持均可能改写最终结果。CSTIS 给出的建议中，第一条即「尽可能减少非必要的域名跨境解析」，正是基于这一判断。

三、事件揭示的三个认知盲区

盲区一：域名安全不只是账号安全

过往的域名安全实践集中在防账号被盗、防未授权转移，主要手段包括账号双重验证、域名锁、注册局锁。这些措施防范的是「解析记录被他人修改」。当攻击发生在路由层时，上述措施无法提供保护。

盲区二：DNSSEC 有效，但作用机制与直觉不同

DNSSEC 的核心是签名验证。攻击者将查询引流至伪造的权威服务器后，该服务器不具备真实域名的签名私钥，无法生成有效的 RRSIG 签名，因此开启验证的递归解析器会返回验证失败（SERVFAIL），而不是接受一份伪造但格式正确的应答。

这意味着 DNSSEC 在该场景下无法维持正常访问，但可将“静默跳转至恶意站点”转变为“明确的解析失败”。从安全效果看，这一区别具有实质意义：前者用户在毫无察觉的情况下可能向仿冒站点提交凭据，后者仅表现为网站无法打开。

同时必须指出其局限：当注册局层面被攻破时，DNSSEC 的保护会显著削弱，因为委派关系与 DS 记录本身亦处于攻击者可控范围之内。

盲区三：路由安全依赖全球协作，而非单点技术

降低此类风险的技术方案早已存在。RPKI（资源公钥基础设施）允许网络以密码学方式验证某个自治域是否有权宣告特定前缀；MANRS（互利约定路由安全规范）提供了行业基线实践。当前的主要问题是采用率不足，前缀过滤在许多网络中执行并不完整。

从公开数据看，此类事件并不罕见：BGP 路由事件每月发生数百起，其中绝大多数不会触发企业安全告警。2024 年曾发生一起涉及 Cloudflare 1.1.1.1 的路由劫持，源于两家巴西运营商的配置错误，最终影响 70 个国家、300 多个网络，全程未触发企业侧安全告警。

四、同期关联案例：三国注册局被入侵与证书冒领

同期另一起事件可以从另一个角度说明 DNS 信任链的脆弱性。

2026 年 9 月 22 日至 27 日，攻击者先后入侵加纳（.gh）、塞拉利昂（.sl）、美属萨摩亚（.as）三个国家和地区顶级域名的注册局运营方，篡改权威 DNS 记录，取得了针对谷歌与 YouTube 相关域名的 12 张受信任 TLS 证书。谷歌自身系统未被攻破，签发证书的证书颁发机构（CA）亦未被攻破，攻击者直接作用于两者的上游：DNS。

谷歌于 10 月 6 日披露此事。证书分别出现在 9 月 22 日（.gh）、9 月 25 日（.sl）、9 月 27 日（.as），其中 Let's Encrypt 签发 11 张、ZeroSSL 签发 1 张，全部 12 张证书已于 10 月 1 日前吊销，谷歌并通过 Chrome 的 CRLSets 实施拦截。证书透明度（CT）日志中还出现了其他知名品牌的未授权证书，谷歌已通知相关机构。

其中的核心逻辑值得记录：控制 DNS 即控制证书签发。CA 验证域名控制权，通常要求申请方在 DNS 中发布指定值。能够修改权威记录者即可通过验证，CA 本身只是按既定规则执行。

针对此类风险，域名持有人有两项可操作动作：一是持续监控自有域名的 CT 日志，覆盖闲置、备用及地区性域名；二是配置限制性 CAA 记录，仅允许实际使用的 CA 为该域名签发证书。需要注意的是，CAA 在劫持进行期间无法阻止签发，但可在控制权恢复后，阻止攻击者利用已缓存的验证结果继续申请证书。

五、企业防护建议

结合本次事件与关联案例，建议从以下六个方面完善防护：

第一，减少非必要的域名跨境解析。核心业务域名优先使用境内解析链路，降低跨境链路被劫持的暴露面。

第二，部署 DNSSEC 签名并在解析环境开启验证。DNSSEC 无法阻止劫持发生，但可阻止伪造应答被接受，将静默劫持转为可感知的解析失败。

第三，配置限制性 CAA 记录。收窄发证权限至实际使用的 CA，降低 DNS 控制权失守后的连带损失。

第四，完善注册商侧基础防护。账号双重验证、域名锁为基本要求，高价值域名建议启用注册局锁，实现变更前的带外核验。

第五，建立解析一致性监测机制。监测重点不应局限于“记录是否被修改”，更应关注不同地区、不同线路的解析结果是否一致，以及流量是否出现异常下降。多节点拨测的效果显著优于单点自查。

第六，避免单点依赖。关键域名不应仅依赖单一 DNS 服务商或单一线路，多 AS、多供应商部署可有效降低单点被劫持后的影响范围。

六、小结

本次事件最需要被记住的一点是：域名安全并非仅指守住账号与解析记录。从路由、解析到证书签发，整条信任链上的每一层都可能成为攻击入口。

对受害方而言，困境在于自身各环节均无异常，但用户确实看到了赌博页面。这类风险的化解无法依靠单个企业自查完成，而依赖注册局、注册商、运营商与 DNS 服务商在各自环节落实防护措施。

时代互联（now.cn）作为域名注册与云计算服务机构，提供域名注册、DNS 解析、SSL 证书及云服务器等服务，支持域名实名认证、域名锁定与解析管理，可协助企业与站长构建从域名到证书的基础安全配置。

相关服务：

域名注册（https://www.now.cn/domain/）：注册主流后缀域名，支持实名认证、域名锁定与解析管理

SSL 证书（https://www.now.cn/ssl/）：提供 DV、OV、EV 多类型证书，支持 HTTPS 部署

云服务器（https://www.now.cn/fcloud/lightcloud.php）：支持 DNSSEC 与自定义解析配置的运行环境