Угон домена (domain hijacking) — кража регистрации доменного имени, при которой злоумышленник получает контроль над доменом у регистратора и может сменить владельца, DNS-серверы или перенести домен к другому регистратору.
Как угоняют домены
Тот, кто контролирует учётную запись домена у регистратора, решает, куда домен указывает. Атакующие получают этот контроль так:
- Захват учётной записи — через фишинг, повторно используемые пароли или взломанный почтовый ящик, с которого сбрасывают пароль у регистратора.
- Социальная инженерия против службы поддержки регистратора, чтобы сменить контакты или отключить защиту.
- Взлом самого регистратора или его реселлера.
- Истёкшие домены — регистрация домена, который владелец забыл продлить, с последующим использованием его репутации и почты.
- Мошеннические запросы на перенос с украденным кодом авторизации (EPP).
Получив контроль, атакующий меняет NS-серверы, что фактически означает перехват DNS для всех сервисов домена. В 2015 году группировка Lizard Squad перенаправила lenovo.com, взломав её регистратора, а в 2021 году домен perl.com был украден через учётную запись у регистратора и перенесён к другому провайдеру, прежде чем его удалось вернуть.
Почему это важно
Угнанный домен даёт атакующим сайт, почту и доверие к организации: они могут размещать фишинговые страницы на настоящем имени, получать письма для сброса паролей связанных учётных записей, выпускать TLS-сертификаты и перенаправлять серверы обновлений ПО. Восстановление может занять дни или недели и нередко требует процедур разрешения споров регистратора или ICANN. Угон отличается от киберсквоттинга, при котором злоумышленник регистрирует новый похожий домен, а не крадёт настоящий.
Как предотвратить
- Защищать учётные записи у регистратора надёжными уникальными паролями и устойчивой к фишингу MFA.
- Включить блокировку на уровне регистратора, а для критичных доменов — на уровне реестра (registry lock).
- Включить автопродление и держать контактные адреса почты на другом домене.
- Отслеживать данные WHOIS/RDAP, изменения NS-серверов и журналы Certificate Transparency.
