Recientemente, un ataque sofisticado comprometió los registros de tres dominios de nivel superior de código de país (ccTLD): .gh (Ghana), .sl (Sierra Leona) y .as (Samoa Americana). Este incidente permitió a atacantes obtener certificados HTTPS no autorizados para varios dominios de Google y YouTube. Aunque los sistemas de Google no fueron vulnerados directamente, cualquier dominio bajo estos ccTLDs estuvo en riesgo de suplantación. Un certificado fraudulento permite a un atacante hacerse pasar por el sitio real, interceptando datos privados de usuarios que creen estar en una conexión segura.
La mecánica del ataque implicó la alteración de los registros DNS autoritativos de los ccTLDs. Al controlar el DNS, los atacantes pudieron demostrar a las Autoridades de Certificación (CA) —como Let’s Encrypt y ZeroSSL— que tenían el control de los dominios, lo que llevó a la emisión de certificados válidos para nombres como google.com.gh y youtube.sl. Se registraron al menos 12 certificados entre el 22 y el 27 de septiembre. Google, al detectar el problema, bloqueó estos certificados en Chrome mediante CRLSets y trabajó con las CAs para su revocación, una medida crucial para proteger a los usuarios de otros navegadores y aplicaciones.
El secuestro de registros DNS es una técnica compleja que subraya la importancia de la seguridad en la cadena de confianza digital. Este tipo de ataque, que también afectó a otras organizaciones globales, no se basa en una vulnerabilidad de software tradicional, sino en la manipulación de la infraestructura fundamental de nombres de dominio. Aunque los certificados fraudulentos fueron revocados en un plazo de pocos días a una semana, la ventana de exposición representa un riesgo significativo para la confidencialidad y la integridad de la información transmitida.
Para mitigar este riesgo, Google recomienda a los propietarios de dominios adoptar medidas proactivas. Es fundamental monitorear los registros de transparencia de certificados (CT logs) para todas las propiedades de dominio, incluyendo las subutilizadas o regionales, y configurar registros CAA (Certificate Authority Authorization) estrictos que especifiquen qué CAs están autorizadas para emitir certificados para sus dominios. Además, cualquier certificado no solicitado debe ser reportado inmediatamente a la CA emisora. Aunque un registro CAA no detiene un ataque en curso, sí evita la emisión de nuevos certificados fraudulentos una vez recuperado el control del DNS.
Qué significa para tu empresa: La integridad de sus dominios es un pilar fundamental de su ciberseguridad. Este incidente resalta la necesidad de una vigilancia constante sobre sus activos digitales, incluso aquellos que parecen periféricos. Contar con un SOC con monitoreo 24/7 le permite detectar rápidamente cambios no autorizados en la configuración de DNS, la emisión de certificados inesperados y otras anomalías que podrían indicar un secuestro de dominio, protegiendo así la confianza de sus usuarios y la continuidad de su negocio.
Fuente original: The Hacker News — ver artículo →