當地時間9月17日下午，黎巴嫩首都貝魯特以及黎巴嫩東南部和東北部多地發生尋呼機爆炸事件。目前，這起事件發生的可能原因指向尋呼機中被放置了炸藥。黎巴嫩訊息人士稱，黎巴嫩真主黨訂購的5000部尋呼機中似乎被放置了少量炸藥。而這起事件已造成了嚴重後果。黎巴嫩公共衛生部長阿蔔亞德稱，爆炸已造成9人死亡，約有2800人受傷，其中約200人傷情危重。
不過，諸如尋呼機如何被放置炸藥、放置炸藥後如何會短時間同時爆炸、爆炸與電池是否有關等問題，暫時還未得到解答，這也引發了部份消費者的擔心——常攜帶在身上的手機等電子器材是否也可能發生爆炸？
安全研究服務機構DARKNAVY·深藍的網絡安全技術專家肖軒淦告訴記者，這起事件可能是有人將爆炸物和電池藏在一起或者對電池進行了改裝，同時可能修改了電路板、軟件，透過在固件上植入的後門或漏洞使電池發生短路，導致溫度迅速升高，激發爆炸物發生爆炸。
「根據我們對電池的理解，手機電池爆燃是有可能的。而像這個事件中突然間的爆炸，我相信電池還不至於這麽不安全。我們嘗試過把其他器材的電壓或其他值改了，理論上可以達到爆炸，但手機還沒有見過（這種情況）。」 DARKNAVY·深藍技術專家李忠睿告訴記者。
為何爆炸？
今日上午有訊息稱，黎巴嫩尋呼機爆炸事件中相關組織訂購的尋呼機為中國台灣地區金阿波羅（Gold Apollo）公司制造。下午，金阿波羅公司聲明稱，報道中的呼叫機種AR-924屬於BAC公司（BAC CONSULTING KFT）生產並銷售的產品，公司僅提供品牌商標授權，與產品的設計及生產無關。
金阿波羅公司董事長許清光表示，代理商BAC在3年前開始代理金阿波羅公司許多產品，對方找了一批工程師，表示有興趣自產尋呼機，並希望使用金阿波羅品牌。金阿波羅公司聲明提到BAC公司的所在地在匈牙利布達佩斯。記者找到一家位於布達佩斯的BAC CONSULTING公司網站，但網站不可開啟。
尋呼機為什麽會爆炸？有訊息稱，在當地時間3點30分，這些尋呼機收到一條訊息，這條訊息引爆了炸藥。
從引爆尋呼機的技術路徑上看，肖軒淦告訴記者，這個事件還缺少一些真實證據，但根據網絡上的資訊和經驗推測，有一些可能手段。在植入階段，網絡上有電池和炸藥兩種爆炸源的說法，根據經驗，雖說電池也出現過自燃自爆現象，但這需要一個加熱過程，人能明顯感知到溫度快速上升，這個過程也不是很好控制。在這個事件裏，上千台尋呼機在非常短的時間內集體爆炸不太可能只是因為電池。
肖軒淦表示，若是植入炸藥，目前無法確定是在什麽環節植入，但有兩個可能，一是生產過程預藏了爆炸物，二是運輸過程中被替換。尋呼機殘骸指向AR-924和AP900兩款，目前看前者概率更高。AR-924使用鋰電池且防水設計使得更換電池較為復雜，操作者可能是將鋰電池中的一部份改填為爆炸物。
「在觸發階段，一種方式是利用網絡漏洞，另一種是設定預定時間，還有可能是透過後門等方式。其中，利用網絡漏洞攻擊有可能性，但這種方式更復雜且成功率有不確定性，更可能的方式則是物理攻擊，即在安放炸藥的同時替換了電路板、芯片、軟件等。最後，透過芯片或固件上的漏洞、後門讓電池發生短路，導致溫度迅速升高，激發爆炸物爆炸。」 肖軒淦表示。李忠睿認為，既然攻擊者已能接觸到尋呼機，就不太可能會透過網絡攻擊觸發爆炸，更可能采用一些更簡單的方法例如設定定時引爆、植入後門並行送特定訊息引爆。
其他電子器材安全嗎？
這次尋呼機爆炸事件中，尋呼機內可能放置了爆炸物，而電池可能起到加熱、引爆爆炸物的作用。人們在日常使用手機等使用了電池的產品時，是否也有可能發生爆炸事件？
手機曾出現爆炸起火事件，例如2016年三星Galaxy Note 7曾在充電過程中發生爆炸。手機是否可能不植入炸藥且在不發生碰撞、不在充電狀態、不經過明顯的燃燒過程的情況下，就發生與這起事件類似的突然爆炸？
李忠睿告訴記者，若是網絡攻擊手段，網絡攻擊最大的特點還是完全控制手機等器材，但不包括引爆電池。引爆電池的動作在其他領域有可能突破，但在手機領域不太可能。尋呼機植入炸藥的同時植入後門芯片之所以可以實作，是因為尋呼機不需要考慮很多安全防護，而手機在防範這種固件植入方面較為嚴格，例如手機突然植入一個芯片、後門，系統可能就辨識出問題、導致無法啟動。「加入後門芯片或軟件到手機，難度相比尋呼機可能高出萬倍。」 DARKNAVY·深藍董事長兼CEO王琦表示。
王琦表示，現在手機系統安全的情況比10年前有了很大進步，10年前「黑掉」一個華強北組裝的手機系統，例如把手機檔拿出來，最快可能只要兩三天。現在雖然完全防止漏洞還不太可能，但「黑掉」所需的時間已經從3天變成30天、300天。而電池管理和系統管理的區別還是很大。在不充電的狀態下，可能有電池未將溫度資訊傳遞給系統導致過熱的情況，但現在通常也不會引起爆炸。
「電池引起的爆燃都要經歷一個快速升溫、產生明火的過程，時間可能是5~10秒，然後才會爆炸，而不是突然爆炸。」 王琦表示。
雖然這起尋呼機爆炸事件有一定特殊性，手機也不那麽容易發生爆炸，但王琦認為，現在很多IoT（物聯網）器材在安全性上還是不足，這次實施攻擊的載體是尋呼機且引起了嚴重後果，其他IoT器材可能不會爆炸並產生這麽嚴重的後果，但也存在被攻擊的可能，從源頭看，廠商還是要重視起來、將產品質素做好。
(本文來自第一財經)
