摘要
- UNITEL 称，7 月 28 日当地时间 02:20 发现网络攻击，全国移动语音、移动数据和互联网服务因此受阻。
- 公司 7 月 30 日的市场公告称，分阶段恢复从 7 月 29 日 11:45 开始，当时 13 个省仅为部分恢复。
- 公告同时称短信仍不可用，其他省份仍在修复，所以状态应是“恢复中”，不能写成“全面恢复”。
- UNITEL 称光纤和无线固定通信保持运行，这说明存在另一层接入路径，但不能证明所有固定用户和相关业务均未受影响。
- 到 7 月 31 日 05:26 UTC，Twilio 仍报告向 UNITEL 用户发送短信存在延迟和失败，事件尚无解决时间。
- 公司尚未公布攻击者、入口、恶意软件、数据影响、恢复比例或最终正常时间；所谓有意且定向的可能性仍只是调查假设。
先把“受控、恢复、正常”拆成三个状态
网络安全团队所说的“受控”，通常意味着恶意活动已经被阻断、隔离或限制在可管理范围内。它回答的是攻击是否仍在推进。这个判断十分重要，却不会自动让客户业务恢复。为了保存证据或清除风险，运营商可能仍需关闭部分平台、重新部署配置、轮换高权限凭据，并逐项验证系统。
“恢复”是运营过程。工程师把功能重新上线，逐步放回流量，再观察错误率和容量。它可能反复：某项业务先向少量用户开放，发现异常后再次撤回；某个省在白天看似稳定，晚间峰值却暴露容量不足。公告中“逐步恢复”和“部分恢复”的措辞，正说明这项工作尚未完成。
“正常”则是可测量的结果。它至少需要预先定义呼叫接通、数据会话建立、短信提交和送达、延迟、丢包与故障率的基线，并在一段观察时间内维持。一个绿色图标如果没有阈值和时间，就只是内部判断，不能成为外部证据。
UNITEL 最终的结案通知应分别标注这三个时间点：何时认定恶意活动受控，何时各项服务重新开放，何时服务质量持续回到基线。安全、网络运营和业务负责人也应分别对自己的里程碑负责，避免一个词替代整条证据链。
13 个省不是同一种恢复
公告列出的省份包括罗安达、北宽扎、南宽扎、万博、威拉、马兰热、北隆达、纳米贝等 13 个地区，但限定词是“部分”。这并不等于每个省内所有市镇、基站和用户已经获得相同质量，也不等于语音、数据和互联网同时返回。
全国移动网由多层系统组成。中央控制功能可能先恢复，传输链路和本地站点随后恢复；省会可能早于偏远地区；手机可以注册入网，但应用流量仍超时；数据可用时，语音或短信仍可能不稳定。只给一个全国百分比，会把这些差异压平。
更可信的公开表格应以“省份×业务”为行列，并给出测量时间、质量阈值、受影响用户占比和变化方向。呼叫接通率、数据会话成功率、短信送达率与主要延迟分位值，不需要泄露敏感拓扑，却足以让客户判断是否可用。
表格还应说明临时容量。某地即使已有流量通过，如果只运行在降级配置上，峰值时段仍可能再次拥塞。恢复比例在上升、停滞还是倒退，也是风险的一部分。网络修复不是地图由红变绿，而是多个指标逐步收敛。
短信是最小接口，也是最大的依赖放大器
Twilio 的公开状态为公司公告提供了一条外部但有限的观察路径。到本轮截点前 12 分钟左右，Twilio 仍称其客户向 UNITEL 用户发送短信可能出现延迟和失败，原因已定位，修复仍在进行，页面没有解决时间。
这条状态不能被夸大。它只覆盖从 Twilio 到 UNITEL 的短信路径，不代表 UNITEL 所有短信、所有省份或所有用户。Twilio 也没有说明每个故障都完全由 UNITEL 引起。它能证明的是：在其他移动功能开始恢复之后，至少一条重要外部短信链路仍未达到正常状态。
短信的影响超过消息本身。银行一次性验证码、账户找回、支付确认、医院通知、政府提醒和企业告警，都可能把短信当作身份或流程的一环。用户即使能打开网页，如果验证码迟到，交易仍无法完成。一个看似“旧”的业务因此成为数字服务入口。
恢复验证不能只看短信中心是否接受提交。运营商要测送达成功率、端到端延迟、队列深度、重试次数、错误码，以及国内外互联通道的状态；还应区分个人对个人短信和应用对个人短信。两部 UNITEL 手机之间的测试成功，不能替代银行或境外平台的真实路径。
固定网提供了另一条路，却没有让移动网影响消失
UNITEL 的市场公告称，光纤和无线固定通信在事件期间保持运行。这说明至少部分固定接入与受影响的移动层存在故障域分离。已有固定线路的企业和公共机构，可能因此保留了关键连接。
但“保持运行”没有给出新增流量、丢包、延迟、地区覆盖或应用层可用性。没有固定线路的家庭、移动支付终端、外勤人员和偏远地区用户，也无法因为另一种产品仍运行就自动获得替代路径。固定网连续性不等于社会和经济影响为零。
真正需要核验的是两类网络共享了什么。它们可能拥有不同接入，却共用身份系统、DNS、骨干、网管工具、电力设施、供应商或高权限账号。若关键依赖相同，同一运营商提供的“移动＋固定”未必构成端到端冗余。
事后报告不必公开防御细节，但应说明哪些故障域相互独立、固定网是否承受了流量上升、客户切换是否自动、降级容量是否满足关键需求。企业只有在故障演练中验证过第二条路径，才能把它算作连续性能力，而不是采购清单上的第二项服务。
上市时间只能进入时间线，不能直接变成归因
专业媒体转述称，UNITEL 正调查攻击是否具有有意和定向性质，并注意到事件发生在股票开始交易前后。这个时间关系可以成为调查线索，却不能证明攻击者身份、目的或股票事件与攻击之间的因果关系。
公开材料缺少归因所需的基本事实：没有初始入口、恶意基础设施、攻击团伙、恶意软件、勒索要求、横向移动或数据外传指标，也没有执法机关或监管者结论。运营商把事件称为网络攻击，足以支持这一基本描述；除此之外应保留未知。
过早使用“针对上市的蓄意破坏”等叙事，会把技术假设政治化，也可能让无关主体受到怀疑。对刚进入资本市场的企业而言，快速披露材料事实很重要，但快速披露并不要求把未完成的取证写成确定结论。
当证据稳定后，UNITEL 可以在不损害调查的前提下说明入口的大类、客户数据保密性是否受影响、哪些凭据需要更换、是否已通知警方与监管机构。在此之前，“正在调查一种可能性”必须与“已确认”严格分开。
2100 万用户需要多层通知，而不是一张通稿
Reuters 报道 UNITEL 服务超过 2100 万客户。如此规模的网络同时承载消费者、企业、银行、医院和政府机构。它们共享同一事件，却需要不同粒度的信息。
普通用户需要的是当前可用业务、下次更新时间、重试建议和防诈骗指引。攻击期间常有人利用混乱发送假通知，但风险提示不能被写成已经发生数据泄露。每条公告都应有清晰时间，避免旧截图在社交网络上被误当作现状。
企业客户需要经过认证的状态通道：按省和业务列出故障、提供错误码和下一次更新，并说明可用的切换路径。依赖短信二次验证的服务，应启用事先批准的替代方式，而不是为了“可用”临时降低安全门槛。
公共机构需要优先恢复和升级联系人。投资者则需要在影响达到重大程度后看到修复费用、客户补偿、收入损失、替换投资、保险和监管风险。现在没有依据给出这些金额，但公司应明确后续披露框架，而不是让市场自行猜测。
恢复越快，越要先保住调查证据
网络故障要求尽快复原，取证却要求尽量保留原始状态。这两者之间存在张力。身份、DNS、网络管理、消息、终端和供应商日志的保存期限不同，时钟也可能不一致。匆忙重装系统，可能恢复功能，却抹掉识别入口、移动路径和影响范围所需的记录。
事后分析应把技术变化与客户指标放在同一时间线上。为什么固定接入能继续？为什么短信晚于其他移动业务？各省差异来自中央平台、传输、本地设施，还是恢复顺序？只有把配置变更和真实业务结果对应起来，才能形成工程改进。
外部伙伴也属于证据面。Twilio 的状态说明，客户体验跨越运营商互联、消息平台和应用服务。UNITEL 应把内部计数与短信服务商、漫游伙伴、支付平台和大型客户的送达数据对照。如果内部称已恢复，而外部仍失败，差异本身就是需要调查的信号。
连续性演练还应复现这次暴露的依赖：移动控制层失效、高权限身份受损、短信队列持续积压、固定网承受突增流量。备份必须在干净环境中验证，高权限凭据必须可轮换，同时不能阻断紧急运营。
五条真实路径一致时，网络才算回来
现有证据描述的是实际进展，而不是完整终点。UNITEL 已启动分阶段恢复，13 个省出现部分服务，固定接入据称持续运行；与此同时，短信仍未正常，Twilio 的外部事件仍开放。这些状态完全可以同时成立。
缺失项仍很多：恢复用户比例、每项业务的质量阈值、所有省份的现状、短信最终状态、稳定观察期、客户数据是否受影响，以及攻击入口。不能因这些信息未公开就假定最坏，也不能假定没有影响。
可信的最终公告应让内部网络计数、真实客户流程、互联伙伴、企业确认和一段稳定运行期互相印证。仍依赖临时配置或降级容量的业务，应与完全正常的业务分开列示。原因和控制改进可以在后续调查完成后再披露。
真正的结案标准很具体：一次电话、一条数据会话、一个银行验证码、一条固定线路，以及 Twilio 这样的外部伙伴，同时看到相同的恢复。那时，UNITEL 才拥有的不只是“攻击已受控”，而是“全国网络已经回来”的证据。