乌克兰预警应用被篡改发出假核警报：安全缺口与警报疲劳并存

据BBC报道，11月1日晚，乌克兰手机预警应用遭篡改，接连推送即将发生的核打击、化学袭击和基辅街头战斗等虚假威胁。乌克兰空军在15分钟内发表声明，确认警报应用被入侵并澄清不存在辐射威胁；但“全部解除”消息直到一个多小时后才发出。核、化学和街头战斗的字样接踵而至，民用预警系统的可信度随之承压。

BBC介绍，乌克兰有多款应用在手机上推送空袭警报和威胁区域地图，均使用政府支持的官方警报应用相同的数据。共用同一数据的其他客户端也因此进入风险范围，安全审查不能只针对遭篡改的一款应用或修补表面入口。乌克兰空军迅速确认应用被篡改并排除辐射威胁，却在一个多小时后才发出完整解除信息。用户于是同时面对已经得到官方澄清的核威胁和仍未解除的警报。

持续四年半的战争和有时每小时响起的警报，已使许多乌克兰人对预警消息高度敏感。利沃夫居民索菲娅·科赫马尔说，她最初看到“核”字时“相当紧张和害怕”，第一反应是某种核威胁真的正朝她飞来；但通知接着提到“基辅街头战斗”，她很快判断：“等等，不可能。”

基辅29岁舞者阿纳斯塔西娅·罗马尼茨卡没有安装警报应用，朋友把消息转给她。她第一反应是“这是某种玩笑吗？”，身体却已作出压力反应：心跳加速、腹部紧绷。她仍很快认为事情可能并不严重，但也承认也许只是太希望相信这一点。事件随后在工作群聊里变成玩笑，实际影响总体有限。

识破得快，并不等于身体不会应激。长期战争形成的警觉与警报疲劳可以同时存在：民众能够迅速质疑显然不合常理的消息，心跳、肌肉紧张等生理反应却可能先于理性判断出现。朋友转发消息，则把识别真伪的成本直接交给每个接收者，也说明手机预警已成为民众无法绕开的信息渠道。

其中一条警报还附有链接。BBC援引基辅经济学院网络安全专家叶夫亨·巴柳托夫的话说，该链接通向一个据称由黑客团体拥有的俄语Telegram频道，点击者可能遭遇虚假信息、钓鱼攻击，甚至发生数据泄露。巴柳托夫称，许多乌克兰人点击了链接；BBC没有提供确切人数，也没有确认是否已发生数据泄露。

幕后责任仍没有独立证据坐实。巴柳托夫认为，乌克兰警报系统遭到俄罗斯方面入侵；但BBC同时指出，虚假警报中较为随意的措辞更符合所谓“黑客行动主义”团体的风格。这些团体可能与莫斯科或基辅有关联，却不受任何一国政府正式指挥。因此，BBC的报道并未提供足够证据，把此次篡改直接认定为俄罗斯政府正式行动。

这起事件的实际影响有限，却暴露了一个关键系统的弱点。巴柳托夫说：“这对乌克兰和我们的人民非常危险。开发这类应用时，必须从一开始就考虑安全，不能省略必要的安全措施。数百万人依赖一项服务时，我们不能在安全上走捷径。”

需要修复的不只是一条被篡改的消息，而是预警系统的整个信任链：哪些客户端共用官方数据，警报如何生成、推送和验证，真假警报如何区分，以及确认虚假后怎样更快发出完整解除信息。对继续共用数据的客户端逐一核验只是第一步；从消息生成到完整解除的每一步，都必须经得起真实警报的检验。否则，民众为每条异常消息额外付出的核实时间，最终仍由平民承担，而下一条真实警报也可能被怀疑和迟疑所耽误。