晚上十一点，你躺在床上刷完牙，手机往枕头边一放。窗外是家人看电视的声音，客厅那盏小夜灯还亮着。

你伸手去够手机，发现屏幕自己亮了。

浏览器已经打开了。上面是一个页面，红的，黑的，满屏你看不懂的字符和跳动的数字。右下角有一行小字：欢迎进入。

你的第一反应不是害怕，是困惑——我没点任何东西啊。

然后是荒谬的自我怀疑：是不是我刚才睡着的时候手碰到了？昨晚那条推送是不是有问题？是不是手机中毒了？

再往后，是一件你不太愿意承认的事：你下意识地把手机往被子里藏了一下，好像家里人看不见这屏幕。

10 月 20 日，国家互联网应急中心发布调查报告，把这件事讲清楚了。

报告里有一行字是这样的：近期，中国多个省份多次发生用户访问请求异常跳转至博彩网站的事件。

不是你的手机中毒。不是你的手滑。是有人在你和互联网之间那条必经之路上，动了一刀。

你以为是病毒，其实在更远的地方

先说结论，这是两层攻击叠在一起。

第一层：BGP 路由劫持——把回家的路改道了。

BGP 是互联网的"导航协议"，负责告诉全世界"要去某个地址，该从哪条路走"。攻击者注册了一个叫 AS 402425 的自治域（注册主体是美国公司 QOREXA LABS，2026 年 4 月 9 日在 ARIN 注册），然后对外谎报一堆路由，说"去中国移动的这些流量，走我这边"。

这个自治域平时只宣告一个 /24 的地址段，安静得像不存在。攻击期间，它把 AS9808、AS56040、AS56041、AS56046 这些中国移动骨干网和省级网的 AS 号，全部写进了自己的 BGP 客户集合里。

这就好比小区门口的保安，被人买通了在你的地址登记册上添了假条——从外面回来的快递，全被转到了一个你没见过的中转站。

第二层：DNS 应答篡改——在路过的瞬间把包裹换了。

DNS 是互联网的"指路牌"，你输入 taobao.com，它告诉你对应哪个 IP 地址。你的流量既然被牵引到了攻击者的网络里，那沿途经过的 DNS 查询应答，就能被就地改写。

手法有两种：一种是直接把解析结果改成博彩网站的地址；另一种是把指路牌指向攻击者自己的恶意 DNS 服务器，你再去问它，它给你指到博彩站。

官方的防范建议里，列出了 19 个回注用的恶意 IP。抬头看一眼那串数字——112.121.184.x、112.121.185.x、117.55.193.x、43.230.161.x。

没有 114，没有 8，没有 223。你熟悉的那些国内 DNS，一个都不在里面。

为什么是"我自己弹出来"，而不是"我点进去"

这一段是整份报告里最让人后背发凉的部分，也是很多人百思不得其解的地方。

你什么都没点，浏览器怎么会自己打开？网页又不会自己动。

答案是：Windows。

Windows 设备每次接入网络，都会自动访问一个叫 www.msftconnecttest.com 的域名，做"网络连通性检测"——就是那句你从没在意过的"检测网络是否可用"。

这个过程本来在后台悄悄完成。但如果这个域名的 DNS 应答被篡改了，Windows 会误以为"当前网络需要登录或认证"，于是自动调起浏览器。

于是你就看见了那个页面。

所以不是有只看不见的手按下了回车键。是你的电脑，在你连上网络的那一刻，收到了一条假消息，然后老实地照做了。

它甚至不是在骗你点击——它是在骗你的操作系统。

51 万个域名，和一个让人后背发凉的数字

信息通信NISL 实验室的追踪报告，把这起事件的规模还原得更清楚。

• 攻击窗口：2026 年 7 月 1 日到 8 月 28 日，横跨近两个月
• 7 月 10 日，广东移动前缀 120.197.0.0/16 首次出现异常路由活动
• 7 月 18 日、21 日，两次大规模域名劫持
• 7 月 21 日前后，云南、贵州、四川等地用户集中反馈"浏览器自动跳转"
• 8 月 18 日至 19 日，再次捕获含 AS402425 的路径，涉及广东、浙江、江苏移动共 23 个前缀
• 8 月 19 日凌晨，广州移动访问 .me 顶级域权威服务器 199.253.60.1 出现稳定异常

而最关键的一个数字是：至少有 519,214 个二级域名出现过异常解析记录。

不是 51 万个赌博网站。是 51 万个正常的域名。

名单里有什么？wifi.com 和 wkanx.com——Wi-Fi 万能钥匙的域名；ppsimg.com——爱奇艺的静态资源；tingyun.com——听云的监控；avlyun.com——安全厂商安天的云；tongren.gov.cn——铜仁市人民政府。

软件更新、证书状态查询、CDN 调度、反垃圾邮件黑名单……

攻击者不挑域名，几乎是无差别地篡改所有经过的 DNS 应答。你没有"被针对"，你只是在那两个月的某几秒里，正好查了一个正好经过的域名。

然后 NISL 报告里有这么一句话，我读了三遍：

抽样分析显示，对于单个域名而言，收到的异常响应比例整体较低，大多数低于 2%。

低于 2%。

这个数字是这个事件里最让人发凉的部分。

它意味着：你查 100 次，可能只有 2 次被劫持。这意味着你中的那一次，你自己永远不会知道。你以为网站打不开是网络卡了，以为App闪退是手机老了，以为证书报错是对方服务器崩了。

你不会报警，因为你没有损失。你不会截图，因为页面已经关掉了。你甚至不会记得那一天。

这个攻击设计得最好的地方，不是技术，是它的"不留痕迹"。

但这件事里，也有一半是我们自己的门没锁

说完了外面的事，我想说一件可能不太受欢迎的话。

2026 年 6 月 1 日，国家互联网应急中心还发过另一份提示，标题叫《关于家用路由器 DNS 被恶意篡改导致异常跳转风险的提示》。那份提示里有一句现场取证结论：

受影响路由器设备的后台管理口令强度不足，攻击者疑似感染家庭内网设备后，利用弱口令进入路由器管理页面并修改 DNS 服务器配置。

同一份文件里的统计是：单日恶意解析次数超过数亿次，单日影响境内独立 IP 最高超过 70 余万个。

跟 AS 402425 那起不一样，这一类攻击不需要什么高深的技术。你只需要知道——很多人家里的路由器管理后台密码，就是 admin、123456、或者自己的生日。

攻击者扫到弱口令，进后台，改 DNS，重启。你的手机下次连上 Wi-Fi，就自动拿到一台陌生的"指路牌机器"。

再往前推 7 年，2019 年 2 月，CNCERT 就发过一次通报：境内部分用户通过家用路由器访问网站被劫持到涉黄涉赌网站，影响了遍布全国 400 万余个 IP。

七年前就有。七年后的今天，我们把技术手段升级到了 BGP 层面，而你家那个路由器密码，可能还停在 123456。

最让人难受的，其实不是被骗

我把这个报告读完之后，最强的感受不是愤怒，也不是后怕。

是那种"在自己家里也会出事"的失重感。

我们默认了一件事：家是一个安全的地方。

回家开门，锁上，Wi-Fi 是自己的，路由器是自己的，手机是自己的。在这套隐含假设里，你是最安全的那个——你熟悉这里每一个角落，知道东西放在哪儿，知道什么该点、什么不该点。

然后报告告诉你，那层安全感是可以被人在几百公里之外抽走的。

而且它抽走的方式非常安静——不是有人撬你的门，是有人在你和门之间，把路改了。

更能让人难受的是你没有受害者身份。

你没有被偷钱，没有被勒索，没有被威胁。你只是——某个晚上——看了一眼那个页面，然后永远不知道自己什么时候"其实也中过招"。

**被骗了不可怕，可怕的是你不知道你有没有被骗。**这大概是这起事件里，每个普通用户最真实的那份不安。

但今天 CNCERT 给的那几条，是真的能做的

骂完还得干活。好消息是，这次官方给的不是空话，是四条机构层面 + 三条网民层面的具体动作，而且都写得非常具体。

你自己现在就能做的三条：

第一，把路由器的 DNS 改成可信公共 DNS。去路由器管理后台的"网络参数""DHCP 服务器"栏目看当前 DNS 是不是陌生的 IP。是的话，恢复成运营商下发的，或者改成可信的公共 DNS，然后重启路由器。官方明确建议不要用来源不明的 DNS。

顺便：电脑敲 ipconfig /all 就能看到当前在用的 DNS 地址是多少。

第二，如果真遇到异常跳转——不要点页面上的任何东西。

这一条是官方报告里写得最重的一句：

出现页面跳转恶意网站时，不要点击页面内任何按钮、链接，不要下载页面提供的程序，立刻关闭网页，并及时清理浏览器缓存。

我知道这很难。那种页面会做成"网络异常，请点击修复"的样式，红色惊叹号，假的进度条。但那整个页面都是假的——你连点三下，可能就从"跳转"变成"下载"，从"下载"变成"交钱"。

关掉，清缓存，完事。

**第三，检查你的路由器密码，以及关掉那些用不上的功能。**改掉弱口令，关闭非必要的远程管理、UPnP、端口映射，及时升级固件。

如果同一个 Wi-Fi 下多台设备同时出现异常跳转，那基本可以确定是路由器层面的问题，直接按上面处理。

机构侧的三条你也该知道，因为你可能会关心：

• 运营商要在边界设备配路由过滤，拒绝接收含 AS 402425 的恶意路由
• 平台方要监测核心业务域名解析 IP 变化、DNS 应答异常、路由路径异常
• 互联网注册机构、IP 交易平台应核查注销 AS 402425 这类恶意 AS 资源

一件更该说的事：能力还没被消除

这是 NISL 报告里最沉的一段话：

运营商封堵已暴露的赌博网站 IP 后，用户侧现象得到快速抑制；但经查询国际公开路由数据平台，未发现国际方面针对 AS 402425 采取实质性处置措施，BGP 异常路径和 DNS 劫持能力仍然存在，因此风险并未得到根治。

翻译成人话：页面上的赌博站被封了，但背后那套能力还在。

NISL 还提到了历史对照——2018 年的 BitCanal / AS3266 劫持事件，最后是靠受害方在国际运营商社区公开举证、推动上游集体断连才得到处置的。

而这一次，没有走国际渠道。于是攻击者没有承受任何来自国际互联网社区的约束。

他们注册一个新壳（4 月 9 日），7 月 1 日开始测试，7 月下旬开打，8 月反复了两次，9 月被公开——整个过程离注册只隔了不到三个月。

这才是这篇新闻里，真正让人不安的那部分。

不是"有坏人做坏事"，是**"坏人做完了，成本很低，还没被追责"**。

所以我们能抓住的到底是什么

写到这里，我想回到最开始那个画面。

晚上十一点，屏幕自己亮起来，那个红色的页面摊在你面前。你很慌，你甚至把手机往被子里藏了一下。

这个反应特别真实，特别不体面，但它特别人——它说明你在那个瞬间，第一反应还是"这是我家，我不能让家里人知道"，而不是"这是我的错"。

你没有做错任何事。

你只是在那天晚上，用你自己家的 Wi-Fi，打开了一个谁都以为是自己的网页。

它恰好不是你家的。它是别人在路的中间塞进来的。

而我们能做的，其实也就那几件具体的小事：换掉弱口令，改掉陌生 DNS，记住看到异常跳转，一个字都别点，多台设备同时异常就查路由器。

这几件事加起来不到十分钟。

但它能把那层"在家就安全"的假设，重新修好一点点。

毕竟这个家的安全感，不该由一个我们连密码都没设过的路由器替我们保管。

本文信息主要来源于：国家互联网应急中心 2026 年 10 月 20 日发布的《关于中国境外自治域 AS 402425 恶意篡改部分 DNS 解析数据的调查报告》；信息通信 NISL 实验室《浏览器跳转背后：我国西南部跨境 BGP 与 DNS 劫持事件追踪与复盘》（2026 年 8 月 31 日）；国家互联网应急中心 2026 年 6 月 1 日《关于家用路由器 DNS 被恶意篡改导致异常跳转风险的提示》。技术细节已做通俗化处理，不构成专业安全建议。