摘要

  • Sanjaya 与 LACNIC 的 Carlos Martinez 披露，2025 年 7 月 9 日、10 日和 12 日，LACNIC 地址空间分别遭遇约 20、15 和 5 分钟的劫持。
  • 攻击者用伪造信笺和相似域名冒充一家小型 ISP，骗取跨国转接服务；真正的 ASN 持有者也是受害者。

一封邮件被服务器收下，却始终没有到达收件人。LACNIC 从这条求助线索查出三次短促的路由劫持：2025 年 7 月 9 日 19:47、10 日 20:34、12 日 10:13，均为 UTC−3；持续时间约为 20、15、5 分钟。攻击者像在路由表上打游击，出现片刻便撤。

APNIC 的 Sanjaya 与 LACNIC 的 Carlos Martinez 在 APNIC 61 演示材料中交代了调查路线。LACNIC 找到 APNIC，APNIC 再联系印尼的 APJII/IDNIC。被冒用 ASN 的真正持有者是一家小型 ISP，根本没有申请那条跨国转接线路。攻击者拿着仿造的公司抬头纸和近似官网域名，让一家跨国转接服务商开通了 BGP 会话；随后以被盗用的 AS 作转接，短时宣告其他伪造源 ASN 的路由。

LACNIC 的联合署名记录说明，小型 ISP 同样是受害者。它向转接服务商报告后，欺诈会话被关闭；APJII/IDNIC 与持有者把最终调查结果交给两家 RIR。APNIC 的会议报道也记录了这次联合发表。公开文件没有给出被转走的流量数，已足以确认未经授权的转接入口确实被打开。

Sanjaya 这起案例最刺眼的地方，是路由之前的那张办公桌。服务商相信了假客户，路由器便认真执行真连接。需要被核实的，是谁有权代表这个 ASN 开口说话。