Викрадення домену (domain hijacking) — крадіжка реєстрації доменного імені, за якої зловмисник отримує контроль над доменом у реєстратора й може змінити власника, DNS-сервери або перенести домен до іншого реєстратора.
Як викрадають домени
Той, хто контролює обліковий запис домену в реєстратора, вирішує, куди вказує домен. Зловмисники отримують цей контроль так:
- Захоплення облікового запису — через фішинг, повторно використані паролі або зламану поштову скриньку, з якої скидають пароль у реєстратора.
- Соціальна інженерія проти служби підтримки реєстратора, щоб змінити контакти чи вимкнути захист.
- Злам самого реєстратора або його реселера.
- Прострочені домени — реєстрація домену, який власник забув продовжити, з подальшим використанням його репутації та пошти.
- Шахрайські запити на перенесення з викраденим кодом авторизації (EPP).
Отримавши контроль, зловмисник змінює NS-сервери, що фактично означає перехоплення DNS для всіх сервісів домену. 2015 року угруповання Lizard Squad перенаправило lenovo.com, зламавши її реєстратора, а 2021 року домен perl.com викрали через обліковий запис у реєстратора й перенесли до іншого провайдера, перш ніж його вдалося повернути.
Чому це важливо
Викрадений домен дає зловмисникам сайт, пошту й довіру до організації: вони можуть розміщувати фішингові сторінки на справжньому імені, отримувати листи для скидання паролів пов’язаних облікових записів, випускати TLS-сертифікати й перенаправляти сервери оновлень ПЗ. Відновлення може тривати дні чи тижні й нерідко потребує процедур розв’язання спорів реєстратора або ICANN. Викрадення відрізняється від кіберсквотингу, за якого зловмисник реєструє новий схожий домен, а не краде справжній.
Як запобігти
- Захищати облікові записи в реєстратора надійними унікальними паролями й стійкою до фішингу MFA.
- Увімкнути блокування на рівні реєстратора, а для критичних доменів — на рівні реєстру (registry lock).
- Увімкнути автоподовження й тримати контактні поштові адреси на іншому домені.
- Відстежувати дані WHOIS/RDAP, зміни NS-серверів і журнали Certificate Transparency.
