Domain Hijacking: Jak útočníci přebírají kontrolu nad doménami

Únos domény může na první pohled vypadat jako výpadek webu nebo chyba DNS. Ve skutečnosti může útočník získat přístup k účtu u registrátora, změnit údaje o držiteli domény nebo přesměrovat její provoz. Následky se přitom nemusí týkat jen webu. Ohrožené mohou být také firemní e-maily, zákaznická data a důvěryhodnost značky. Jak doménový únos probíhá a co dělat, když se objeví první známky napadení?

Co znamená doménový únos

Doménový únos, anglicky domain hijacking, je neoprávněné převzetí kontroly nad doménou od jejího oprávněného držitele. Útočník může například získat přístup k účtu u registrátora, změnit kontaktní údaje, převést doménu k jinému registrátorovi nebo upravit DNS záznamy, píše server ICANN.

Únos je potřeba odlišit od DNS hijackingu. Při únosu domény útočník zasahuje do správy registrace nebo nastavení domény. DNS hijacking označuje přesměrování provozu pomocí změny či podvržení DNS údajů. Může k němu dojít i bez změny držitele domény. 

Jak mohou útočníci získat kontrolu

Útočník nemusí napadnout přímo registrátora ani prolomit jeho systémy. Často se snaží získat přístup k účtu, přes který se doména spravuje, nebo přesvědčit podporu, aby provedla změnu za něj. K tomu může využít například:

• Ukradené nebo opakovaně používané heslo – pokud se stejné heslo používá u více služeb a některá z nich unikne, útočník může vyzkoušet získané přihlašovací údaje i u registrátora.
• Phishing – podvodný e-mail či falešná přihlašovací stránka se mohou vydávat za zprávu od registrátora a lákat na zadání hesla nebo potvrzení změny.
• Převzatý e-mailový účet – útočník může zneužít přístup ke schránce, na kterou chodí oznámení a potvrzení týkající se domény. Pokud je tato schránka zároveň kontaktním e-mailem u registrátora, může být složitější odhalit nebo zastavit neoprávněné změny.
• Podvod při komunikaci s podporou – útočník se může vydávat za držitele domény a pokusit se změnit kontaktní údaje nebo získat pomocí podpory přístup k účtu.
• Zneužitý autorizační kód – kód AuthInfo se používá při převodu domény mezi registrátory. Pokud ho získá neoprávněná osoba, může jí usnadnit zahájení převodu.

Další možností je zneužití účtu bývalého zaměstnance nebo příliš širokého přístupu v organizaci. Proto je důležité vědět, kdo může s doménami nakládat, a po změně rolí nebo odchodu zaměstnance přístupy odebrat. Australské centrum kybernetické bezpečnosti doporučuje omezit počet správců doménových a DNS účtů, používat vícefaktorové ověřování a mít kontrolu nad autorizačními kódy.

Jak doménu chránit

Ochrana domény začíná u účtu u registrátora a e-mailové schránky, přes kterou se potvrzují změny. Pokud útočník získá přístup k jednomu z nich, může se pokusit změnit kontaktní údaje, nastavení DNS nebo doménu převést jinam. Pomáhá proto spojit několik opatření:

• Používejte unikátní a silné heslo – uložte si ho do správce hesel a nepoužívejte ho u dalších služeb. Pro účet u registrátora zapněte vícefaktorové ověřování, pokud ho poskytovatel nabízí. Australské centrum kybernetické bezpečnosti doporučuje pro účty spravující domény a DNS silná hesla a MFA.
• Zapněte zámek domény – stav označovaný například jako Registrar Lock nebo Client Transfer Prohibited pomáhá bránit neoprávněnému převodu. Před plánovaným převodem se zámek obvykle musí vypnout.
• Omezte počet správců – přístup mají mít jen lidé, kteří ho skutečně potřebují. U firemních domén je vhodné používat individuální účty a po odchodu zaměstnance přístup odebrat.
• Chraňte e-mail a aktualizujte kontaktní údaje – zabezpečte schránku vícefaktorovým ověřováním a ověřte, že kontaktní adresa i telefon u registrátora stále fungují.
• Sledujte změny – kontrolujte upozornění od registrátora a změny údajů o doméně či DNS. U důležitých domén se vyplatí mít popsaný postup, kdo změny schvaluje.
• Zvažte DNSSEC – DNSSEC pomáhá ověřovat pravost DNS odpovědí. Chrání integritu DNS, ale samo o sobě nezabrání útočníkovi, který už ovládá účet u registrátora, změnit nastavení domény.

Pravidla převodu se mohou lišit podle doménové koncovky a registrátora. ICANN například stanovuje pravidla pro převody domén spravovaných akreditovanými registrátory a popisuje také ochranné zámky v určitých situacích. Při správě domény je proto dobré ověřit si, jaké konkrétní zámky, upozornění a možnosti obnovy nabízí její registrátor.

Co dělat při podezření na únos

Při podezření na únos domény jednejte rychle. Útočník může změnit kontaktní údaje nebo požádat o další převod, čímž se obnova může zkomplikovat. Pokud se nemůžete přihlásit, doména přestala směrovat na váš web nebo vám přišlo nečekané oznámení o změně, postupujte takto:

• Kontaktujte registrátora přes jeho oficiální podporu a požádejte o prověření změn i zablokování dalších převodů.
• Zabezpečte e-mailový účet a účet u registrátora – změňte hesla, odhlaste neznámé relace a zkontrolujte obnovovací adresy i telefonní čísla.
• Uchovejte e-maily, faktury, potvrzení registrace, historii změn a další doklady, které prokazují, že doménu spravujete.
• Prověřte DNS záznamy, web, e-mailové směrování a související služby. Pokud doména sloužila k přihlašování nebo posílání e-mailů, informujte také dotčené uživatele či zákazníky.
• Pokud byla doména převedena bez souhlasu, požádejte původního registrátora o řešení neoprávněného převodu. Je důležité kontaktovat registrátora a u domén podléhajících lze podat také příslušnou stížnost

Doména je důležitou součástí identity firmy na internetu. Když její správu chrání jen jedno heslo nebo k ní má přístup příliš mnoho lidí, může jediný kompromitovaný účet ohrozit web i e-mail. Silné ověřování, zámek domény, kontrola přístupů a rychlá reakce na nečekané změny výrazně zvyšují šanci, že se útočníkovi nepodaří získat nad doménou kontrolu.

Doména potřebuje spolehlivé zázemí

Ochrana domény začíná zabezpečeným účtem, aktuálními kontaktními údaji a kontrolou nad tím, kdo může měnit její nastavení. Pomoci může také poskytovatel, u kterého máte správu domény a DNS přehledně na jednom místě.

CZECHIA.COM nabízí registraci domén, správu DNS i webhosting. U domén .cz podporuje také DNSSEC, které pomáhá ověřovat pravost DNS odpovědí. Žádná služba ale nenahradí silné heslo, vícefaktorové ověřování a pečlivou správu přístupů.