瑞士加密通讯Threema遭遇连续2天DDoS攻击，全球服务大面积中断

主打隐私保护的瑞士端到端加密通讯工具 Threema，遭遇持续性大规模 DDoS 攻击，攻击行动连续持续两天，造成全球范围服务不稳定，大量用户出现消息发送延迟、连接失败，部分时段服务完全中断。平台事后确认，本次攻击仅针对网络可用性，端到端加密体系未被攻破，用户私信、账号数据没有发生泄露事件，私有化本地部署客户不受故障影响。

一、攻击事件全貌：持续打击，服务间歇性瘫痪

攻击爆发后，全球多地用户陆续反馈 APP 无法建立连接，消息发送超时，时而短暂恢复，时而再次陷入故障。攻击并非一次性流量冲击，攻击者持续变换攻击源与流量特征，属于自适应型 DDoS 攻击，给防御处置带来巨大难度。

本次攻击同时波及 Threema 自身服务器以及托管机房合作运营商网络，造成连锁网络波动。故障期间官方状态页面也出现异常，无法及时同步故障进展，进一步加大用户信息获取难度。经过两天对抗，平台完成新增防护机制部署，恶意流量得到过滤，全球公有云服务逐步恢复正常。

官方特别澄清，DDoS 攻击是耗尽带宽资源实现阻断访问，并不代表系统被入侵。加密通讯的消息加密、数据存储层面没有被突破，用户隐私信息安全可控。而采用 Threema OnPrem 私有化本地部署的企业客户，运行在自有基础设施，全程没有受到攻击波及，业务保持正常运转。

二、加密强防护，不等于免疫网络层攻击

Threema 一直以高安全隐私作为核心卖点，全部消息采用端到端加密，尽量最小化收集用户数据，服务器部署于瑞士本土合规数据中心。但本次事故暴露出一个行业普遍误区：应用层加密防护，并不能抵御网络底层 DDoS 洪水攻击。

加密技术解决的是数据保密、防窃听的问题，保障消息传输过程不被窃听篡改。而 DDoS 攻击瞄准的是服务可用性，通过海量虚假流量占满带宽、连接数资源，让正常用户请求无法抵达服务端。就算加密算法再强大，网络入口被流量淹没之后，用户依旧无法收发消息。

很多政企用户选择加密通讯软件，往往重点评估加密协议、隐私政策，却忽略平台的网络抗攻击能力。一旦遭遇持续流量攻击，通讯通道直接切断，隐私保护能力再强也无从发挥。

三、事件带来的实际业务影响

作为面向个人与企业的加密通讯工具，实时消息业务对服务连续性要求极高。持续两天的不稳定，普通私人用户沟通受阻，而依赖 Threema Work 开展内部协同的海外企业、机构，业务沟通链路受到干扰，工作流转被迫受阻。

攻击过程中，故障呈现间歇性特征，不是彻底完全宕机，这种半可用状态，会增加故障排查难度，用户难以分辨是本地网络问题还是平台侧故障。同时，攻击期间官方状态监控页面同步故障，对外信息通报出现滞后，对产品口碑形成一定冲击。

事件结束之后，Threema 上线上游流量清洗防护方案，把恶意流量拦截前置，在流量到达业务服务器之前完成过滤，以此提升后续对抗 DDoS 攻击的能力。

四、网络安全启示：保密性与可用性缺一不可

Threema 遭遇连续 DDoS 攻击事件，给所有重视安全的线上业务敲响警钟。网络安全包含保密性、完整性、可用性三大维度，很多团队过度聚焦数据加密、防入侵，却轻视业务可用性防护。

对于企业选型加密通讯、安全类 SaaS 服务，不能只看加密协议与隐私条款，还需要考察服务商 DDoS 防护能力、冗余架构。关键业务场景，可考虑私有化部署作为备选方案，降低公有云平台遭遇攻击带来的业务风险。

运维层面，线上业务应当将流量清洗、高防能力纳入基础架构，做好应急响应预案。同时故障通报体系需要独立于主业务系统，避免主站被打垮之后，用户完全无法获取故障动态。

DDoS 攻击门槛持续走低，不管是普通互联网应用，还是主打高安全的加密产品，都有可能成为攻击目标。安全建设不能只盯着防数据泄露，保障业务能够正常访问，同样是安全建设不可缺少的一环。