11月1日深夜，基辅不少人的手机突然响了。不是平时那种空袭提示，而是一串更吓人的话：核辐射、化学武器、巷战，还提到一款俄制高超音速导弹“正在路上”。几小时后，俄罗斯紧急情况部门的App也弹出虚假信息，说“核弹头已在全境发射”，叫居民囤粮、躲地下室。

　　假警报最狠的地方，不是它说了什么，而是它借了官方App的嘴。 平时人们信预警，是因为它代表官方、代表专业、代表“真出事了才会响”。可一旦这个渠道被人插进一句话，哪怕只存在很短时间内，恐慌也会跑得比辟谣快。而恐慌一旦跑起来，接下来要追问的就不只是“谁干的”，还有“为什么这么容易得手”。

　　哪些是实的，哪些还只是指控

　　能确认的事实并不复杂：俄乌双方的官方警报应用都出现了虚假核风险信息，都引发恐慌，随后都被处置或辟谣。 乌方空军紧急强调“不存在任何辐射威胁”，该应用随后被暂停运行；俄方称遭“大规模网络攻击”，已删除虚假消息。

　　但“谁先动手”并没有随着辟谣一起变清楚。乌方总统11月2日接受外媒采访时公开表示，是俄方先黑了乌方系统，乌方随后反击，也黑进了俄方系统，并称乌方只是对俄方攻击作出回应。然而，攻击主体并未因此完全清晰。有媒体报道明确指出，攻击幕后主使“尚未明确查明”，一个自称亲俄的黑客组织也声称对乌方应用遭攻击负责，而俄方官方既未认领，也未直接指认乌方。所以现在能说的是：乌方指控明确且具体，但“谁先动手、是否有第三方介入”在独立取证层面仍未闭合。 战时网络攻击的归因天然带着宣传战的味道；谁先喊、谁喊得响，不等于证据链就完整。归因悬而未决，恰恰把另一个问题顶到了前面：不管是谁干的，为什么双方的系统都这么容易被插话?

　　为什么偏偏是手机警报成了软肋

　　这类App要的是全覆盖、快推送、低成本。和平时期，这是便利；战争时期，这就是风险。系统越追求“一按全城响”，安全设计就越容易给速度让路。一个能被外部插话的警报系统，等于把扩音器递到了别人手里。 不管这次攻击者是谁，双方都暴露了同一个问题：民用预警系统的安全级别，配不上它在战时的分量。

　　软肋摆在那里，时机则让它的杀伤力翻倍。赫尔松地区一段人道主义停火从10月27日持续到11月1日，有美方有关人士参与斡旋，被多家外媒称为战争爆发以来持续时间最长的一次局部停火。乌方官员称，停火未获延长是因为俄方拒绝了乌方的延长提议。网络攻击恰好发生在停火结束后的数小时内。停火停的是地面炮火，停不了路由器里的战争。 网络攻击便宜、隐蔽、不用承认，还能制造混乱，它天然是停火破裂后“第一波动手”的选择。对老百姓来说，停火结束的感知可能不是炮声，而是手机上一则真假难辨的核警报。而这一则假警报留下的，不只是当晚的慌乱。

　　恐慌只是入口，后遗症在后面

　　预警系统靠一条链活着：官方发布，民众相信，迅速行动。这条链断一次，修复起来比补漏洞慢得多。今天辟谣说“没有辐射威胁”，明天真警报响了，人会犹豫：是不是又被黑了?要不要跑?核警报可以辟谣，信任辟谣很难。 技术上的认证、权限隔离、异常发布拦截、跨渠道核验都该做，但更难的功课是让民众在下一次警报响起时，还愿意相信并行动。

　　这就是为什么，比服务器被黑更麻烦的，是官方声音被黑。 黑客不需要真发射核弹，只需要让警报替核弹敲一次门，让恐慌替自己赢一局。假警报响的那一刻，恐慌就已经是战果了；而信任的裂缝，会在下一次警报响起时才真正显形。

　　说到底，这起“核虚惊”最刺眼的地方，不是它有多像电影，而是它太容易发生。两边都指责对方，两边都说自己挨了打，两边都急着删假消息。可普通人记住的只会是：官方App也会撒谎，哪怕是被迫撒谎。

　　下一次警报再响，人还跑不跑?假警报最狠的后遗症，是下一次真警报响了，人先愣一下：这回是真的吗？