El secuestro de dominio es el robo del registro de un nombre de dominio: el atacante toma el control del dominio en el registrador y puede cambiar su titular, sus servidores DNS o transferirlo a otro proveedor.
Cómo funciona el secuestro de dominio
Quien controla la cuenta del registrador decide adónde apunta el dominio. Los atacantes obtienen ese control mediante:
- Toma de cuentas: phishing, contraseñas reutilizadas o un buzón comprometido para restablecer el acceso al registrador.
- Ingeniería social dirigida al soporte del registrador para cambiar los datos de contacto o desactivar protecciones.
- Compromiso del propio registrador o de un revendedor.
- Dominios caducados: registrar un dominio que el titular olvidó renovar.
- Solicitudes de transferencia fraudulentas con un código de autorización (EPP) robado.
Una vez con el control, el atacante cambia los servidores de nombres, lo que equivale a un secuestro de DNS de todos los servicios del dominio. En 2015 el grupo Lizard Squad redirigió lenovo.com tras comprometer a su registrador, y en 2021 el dominio perl.com fue robado a través de una cuenta del registrador y trasladado a otro proveedor antes de recuperarse.
Por qué es importante
Un dominio secuestrado entrega al atacante la web, el correo y la confianza de la organización: puede alojar páginas de phishing con el nombre auténtico, recibir correos de restablecimiento de contraseñas de cuentas vinculadas, obtener certificados TLS y redirigir servidores de actualizaciones. Recuperarlo puede llevar semanas y exigir procesos de disputa del registrador o de la ICANN. Se diferencia de la ciberocupación, en la que el atacante registra un dominio nuevo y parecido en lugar de robar el auténtico.
Cómo prevenirlo
- Proteger las cuentas del registrador con contraseñas fuertes y únicas y MFA resistente al phishing.
- Activar el bloqueo del registrador y, para dominios críticos, el bloqueo del registro (registry lock).
- Activar la renovación automática y usar direcciones de contacto en otro dominio.
- Vigilar los datos WHOIS/RDAP, los cambios de servidores de nombres y los registros de Certificate Transparency.
