快手午夜驚魂：遭遇史上最強(qiáng)黑產(chǎn)攻擊 ，萬間直播間失控，上演慘烈的90分鐘

出品｜網(wǎng)易科技《態(tài)度》

作者｜櫟行

編輯｜定西

一場(chǎng)發(fā)生在歲末午夜的“技術(shù)突襲”，將國內(nèi)頭部短視頻巨頭快手推向了輿論風(fēng)口浪尖。

2025年12月22日晚，國內(nèi)頭部短視頻平臺(tái)快手遭遇大規(guī)模黑灰產(chǎn)攻擊，多個(gè)直播間在短時(shí)間內(nèi)被惡意注入色情、低俗等內(nèi)容。涉及“僵尸賬號(hào)”峰值達(dá)1.7萬個(gè)。

有分析表示，此次事件標(biāo)志著黑產(chǎn)攻擊已全面進(jìn)入“自動(dòng)化時(shí)代”，平臺(tái)運(yùn)營安全正面臨從單一防御向系統(tǒng)性治理轉(zhuǎn)變的嚴(yán)峻考驗(yàn)。

截至發(fā)稿，快手方面已封禁大量違規(guī)賬號(hào)，并向公安機(jī)關(guān)報(bào)案。北京海淀警方證實(shí)已介入調(diào)查，事件具體原因仍在進(jìn)一步核查中。

時(shí)間線：從“壓力測(cè)試”到1.7萬個(gè)直播間淪陷

當(dāng)晚22時(shí)左右，不少快手用戶發(fā)現(xiàn)平臺(tái)異常。有用戶發(fā)現(xiàn)，很多直播間在放色情或暴力影片，舉報(bào)無果，涉事直播間觀看人數(shù)最高接近10萬，評(píng)論區(qū)充斥著不堪入目的留言。

有快手員工表示，此時(shí)正是快手下班的時(shí)間。

據(jù)了解，攻擊并非毫無征兆。21時(shí)30分起，已有零散用戶反映登錄驗(yàn)證碼加載異常、視頻播放卡頓，少量主播稱直播推流不穩(wěn)。這些細(xì)微異常當(dāng)時(shí)多被歸為網(wǎng)絡(luò)波動(dòng)，未引起廣泛警覺。

有媒體報(bào)道稱，此階段實(shí)為黑灰產(chǎn)的“壓力測(cè)試”——通過小規(guī)模流量試探服務(wù)器負(fù)載與風(fēng)控規(guī)則，為總攻鋪路。

22時(shí)整，攻擊全面爆發(fā)。據(jù)監(jiān)測(cè)數(shù)據(jù)顯示，峰值時(shí)段約有1.7萬個(gè)被控“僵尸賬號(hào)”同步開播，直播間集中推送色情低俗內(nèi)容，形成刷屏效應(yīng)。

更嚴(yán)峻的是，此階段部分用戶舉報(bào)功能短暫失效，顯示黑灰產(chǎn)在投放違規(guī)內(nèi)容的同時(shí)，還對(duì)平臺(tái)處置通道實(shí)施了干擾。

22:30-23:30 ，快手安全團(tuán)隊(duì)在攻擊爆發(fā)后啟動(dòng)最高級(jí)應(yīng)急響應(yīng)。處置分三層推進(jìn)：首先臨時(shí)限制直播入口與新開播流量；隨即啟動(dòng)流量清洗，通過AI識(shí)別并攔截惡意流量，批量封禁IP與賬號(hào)；同時(shí)動(dòng)態(tài)抬高直播權(quán)限閾值。

23:30后，經(jīng)約一小時(shí)處置，平臺(tái)于23時(shí)30分左右基本清除違規(guī)內(nèi)容，涉案1.7萬個(gè)賬號(hào)全部?jī)鼋Y(jié)。

12月23日凌晨，快手官方通報(bào)確認(rèn)事件為“黑灰產(chǎn)惡意攻擊”，并說明有部分用戶賬號(hào)被盜用。目前平臺(tái)已向公安機(jī)關(guān)報(bào)案，并將聯(lián)合監(jiān)管部門開展溯源，同時(shí)通知相關(guān)用戶完成賬號(hào)核驗(yàn)與安全重置。

消息很快傳開，23日上午，快手APP沖上了App Store免費(fèi)榜第二。

防火墻脆弱性與“自動(dòng)化攻擊”時(shí)代的到來

有數(shù)據(jù)專業(yè)人士向網(wǎng)易科技分析稱，目前看來事故最大的可能是cdn（內(nèi)容分發(fā)網(wǎng)絡(luò)）被攻破了，審核看到的是正常視頻然后到了cdn層被換成了黃暴的。此外，ddos(分布式拒絕服務(wù)攻擊)也有可能，即同時(shí)間大量的信息攻擊服務(wù)器。

也有網(wǎng)絡(luò)工程師向網(wǎng)易科技表示，此次事故如何被“進(jìn)攻”的可能性很多，但大部分網(wǎng)站防火墻的脆弱程度“超出想象”。

360數(shù)字安全集團(tuán)專家分析，這極有可能是一場(chǎng)有組織、有預(yù)謀的外部黑客攻擊。從技術(shù)路徑來看，攻擊者可能利用了直播推流接口的底層漏洞，繞過了平臺(tái)的實(shí)名認(rèn)證與內(nèi)容審核鏈路。這種大規(guī)模、高頻次的黑產(chǎn)滲透，暴露出快手在應(yīng)對(duì)極端安全攻擊時(shí)的風(fēng)控防御體系存在明顯漏洞。

奇安信安全專家汪列軍分析指出，此次攻擊暴露出黑灰產(chǎn)已全面進(jìn)入“自動(dòng)化攻擊”時(shí)代，而平臺(tái)仍依賴傳統(tǒng)人工防御模式，導(dǎo)致攻防失衡。

專家進(jìn)一步表示，企業(yè)網(wǎng)絡(luò)安全需兼顧外部攻擊和內(nèi)部風(fēng)險(xiǎn)防范。據(jù)悉，內(nèi)部漏洞如“內(nèi)鬼”數(shù)據(jù)泄露、賬號(hào)盜用等問題頻發(fā)，其破壞力不亞于外部突襲，因此需樹立“內(nèi)外同防”理念，將零信任架構(gòu)納入整體安全體系。

回溯近年，全球范圍內(nèi)網(wǎng)絡(luò)攻擊呈現(xiàn)出高頻化與多樣化趨勢(shì)：2021年前后，勒索軟件攻擊成為主流，Colonial Pipeline、愛爾蘭國家衛(wèi)生系統(tǒng)等事件造成現(xiàn)實(shí)世界層面的能源與醫(yī)療中斷；2024年以來，攻擊進(jìn)一步向云服務(wù)、電信基礎(chǔ)設(shè)施與跨國企業(yè)延伸，多起涉及國家級(jí)APT組織的長期滲透行動(dòng)被披露。同年，黑客組織ShinyHunters宣布訪問超過2億用戶郵件、搜索/觀看歷史并勒索；凸顯第三方數(shù)據(jù)處理鏈風(fēng)險(xiǎn)。

與以往以“數(shù)據(jù)竊取”為主不同，快手此次事件凸顯出內(nèi)容平臺(tái)同樣成為攻擊目標(biāo)，黑灰產(chǎn)通過自動(dòng)化工具直接干擾平臺(tái)運(yùn)營與內(nèi)容生態(tài)。整體來看，網(wǎng)絡(luò)安全威脅已從單一技術(shù)問題演變?yōu)橛绊懫髽I(yè)治理、公共秩序與監(jiān)管體系的系統(tǒng)性風(fēng)險(xiǎn)，平臺(tái)防護(hù)能力與應(yīng)急機(jī)制正面臨新一輪考驗(yàn)。

目前，快手平臺(tái)直播功能已逐步恢復(fù)正常。據(jù)網(wǎng)易科技了解，快手員工在此次事件受到的影響呈現(xiàn)為兩種極端，安全、風(fēng)控、審核、市場(chǎng)部等部分員工已經(jīng)在連夜加班，但某些業(yè)務(wù)員工受此影響，已經(jīng)暫停部分已敲定業(yè)務(wù)。

截至發(fā)稿，未有組織或個(gè)人宣稱對(duì)此次攻擊負(fù)責(zé)。快手股價(jià)下跌3.75%。

更新：23日午間，快手科技在港股發(fā)布署名為董事長程一笑的最新公告

23日午間，快手科技發(fā)布公告，快手科技宣布，其快手應(yīng)用的直播功能于2025年12月22日22:00左右遭到網(wǎng)路攻擊，本公司已第一時(shí)間啟動(dòng)應(yīng)預(yù)案，經(jīng)全力處置與系統(tǒng)修復(fù)，快手應(yīng)用的直播功能已逐步恢復(fù)正常服務(wù)。快手應(yīng)用的其他服務(wù)未受影響。

本公司始終嚴(yán)守合規(guī)底線，堅(jiān)決反對(duì)任何違規(guī)內(nèi)容及行為。公司強(qiáng)烈譴責(zé)黑灰產(chǎn)的違法犯罪行為，已就上述事宜向公安機(jī)關(guān)報(bào)警并向相關(guān)部門報(bào)告，并將視情況采取其他適當(dāng)?shù)姆裳a(bǔ)救措施，以保障本公司及其股東的權(quán)益。