Skutki utraty domeny są natychmiastowe i poważne. Strona przestaje działać, poczta przestaje działać, a każdy odwiedzający, który wpisze Twój adres, trafia tam, gdzie nie masz kontroli. Dla marki, która zbudowała reputację wokół konkretnej nazwy, szkoda sięga daleko poza techniczne zakłócenie. Odzyskanie przejętej domeny jest możliwe, ale wolne, niepewne i czasem nieudane. Znacznie lepiej od początku utrudnić przejęcie.
Co to jest przejęcie domeny?
Przejęcie domeny to sytuacja, gdy ktoś przejmuje kontrolę nad Twoją domeną bez Twojej zgody. Atakujący przenosi domenę do innego rejestratora, zmienia jej własność na inne konto albo robi jedno i drugie po kolei. Po zakończeniu transferu tracisz możliwość zarządzania domeną, jej odnawiania i kierowania na swój serwer.
To coś innego niż squatting domen, gdy ktoś rejestruje nazwę podobną do Twojej. Przejęcie dotyczy domeny, którą już posiadasz i wokół której zbudowano markę. Celem atakującego jest zwykle odsprzedaż domeny Tobie po zawyżonej cenie, trzymanie jej dla okupu, przekierowanie Twojego ruchu albo przejęcie poczty, by wejść na inne konta powiązane z tym adresem.
Żeby zrozumieć, dlaczego to możliwe, warto wiedzieć, jak zwykle działa transfer domeny. Gdy przenosisz domenę od jednego rejestratora do innego, podajesz kod autoryzacyjny i potwierdzasz zlecenie. Transfer trwa kilka dni i w tym czasie można go anulować. Przejmujący wykorzystują ten proces, włamując się na konto u rejestratora lub do Twojej poczty, autoryzując transfer samodzielnie i kończąc go, zanim zauważysz, że coś jest nie tak. Więcej o przebiegu transferu przeczytasz w rozdziale o tym, czym jest transfer domeny.
Jak dochodzi do przejęcia domeny?
Przejęcie niemal zawsze zaczyna się od jednego z czterech punktów wejścia. Zamknięcie wszystkich czterech to sposób na ochronę.
Ataki phishingowe na logowanie do rejestratora
Najczęstsza metoda to e-mail phishingowy, który udaje wiadomość od rejestratora domeny. Wiadomość może ostrzegać, że domena zaraz wygaśnie, że wykryto podejrzane logowanie albo że musisz zweryfikować konto. Link w e-mailu prowadzi do fałszywej strony logowania, która przechwytuje login i hasło. Z tymi danymi atakujący loguje się na Twoje prawdziwe konto i zleca transfer.
E-maile phishingowe kierowane do właścicieli domen stały się bardzo przekonujące. Kopiują dokładną szatę graficzną i język prawdziwych wiadomości rejestratorów. Jedyna pewna obrona to nigdy nie klikać linków w e-mailach, które każą się logować. Zamiast tego otwórz stronę rejestratora bezpośrednio w przeglądarce i sprawdź konto stamtąd.
Przejęte konta e-mail
Konto u rejestratora jest tak bezpieczne, jak powiązany z nim adres e-mail. Jeśli atakujący zdobędzie dostęp do Twojej poczty, może użyć funkcji „nie pamiętam hasła” u rejestratora, zresetować logowanie i przejąć konto. Dlatego adres e-mail kontaktowy rejestratora to jedno z najwrażliwszych zasobów, jakie posiadasz. Słabe lub powtarzane hasło do tej poczty tworzy bezpośrednią drogę do Twojej domeny.
Słabe lub powtarzane hasła
Słabe hasło do konta u rejestratora to otwarte zaproszenie. Atakujący używają zautomatyzowanych narzędzi, które biorą kombinacje loginu i hasła wycieknięte z innych naruszeń danych i automatycznie próbują ich na stronach logowania rejestratorów. Jeśli używasz hasła z jakiejkolwiek innej usługi, która kiedykolwiek została naruszona, Twoja domena jest zagrożona.
Ataki socjotechniczne
Niektórzy przejmujący całkiem omijają metody techniczne i kontaktują się wprost z pomocą rejestratora, udając Ciebie. Podają, że utracono dostęp do konta, i proszą o zresetowanie danych logowania. Jeśli Twoje dane kontaktowe WHOIS są publicznie widoczne, już mają imię i nazwisko, e-mail i adres na poparcie swoich słów. To jeden z powodów, dla których ochrona WHOIS ma znaczenie dla bezpieczeństwa domeny, o czym mowa w poprzednim rozdziale o tym, czym jest ochrona prywatności WHOIS.
Jakie są skutki przejęcia domeny?
Skutki udanego przejęcia sięgają dalej niż sama domena. Strona przestaje działać, gdy tylko atakujący zmieni ustawienia DNS. Odwiedzający dostają błędy albo trafiają na stronę, której nikt z Twojego zespołu nie tworzył. Poczta wysłana na Twoją domenę wraca albo trafia do skrzynki atakującego, w tym wiadomości do resetu hasła z każdej usługi powiązanej z tym adresem. Każde konto, które używa Twojej poczty w domenie, staje się narażone.
Szkody dla marki narastają szybko. Klienci, którzy próbują się z Tobą skontaktować, nie mogą. Partnerzy, którzy wysyłają e-maile, nie dostają odpowiedzi. Jeśli atakujący postawi oszukańczą stronę na Twojej domenie, odwiedzający mogą zostać oszukani lub stracić dane, a nazwa Twojej marki będzie kojarzona z tym doświadczeniem.
Odzyskanie domeny przez proces sporów ICANN lub nakaz sądowy może trwać od tygodni do miesięcy. Nie ma gwarancji odzyskania. Niektóre domeny są przenoszone do rejestratorów w krajach, gdzie trudno dochodzić roszczeń, a niektórzy atakujący sprzedają domeny na tyle szybko, że ślad się komplikuje. Im dłużej trwa odzyskiwanie, tym bardziej pogarszają się pozycje marki w wyszukiwarce i reputacja jej poczty.
Jak zapobiegać przejęciu domeny?
Zapobieganie jest proste. Każdy z poniższych środków zamyka jeden z punktów wejścia, których używają atakujący. Razem sprawiają, że przejęcie Twojej domeny jest znacznie trudniejsze niż ataku na kogoś, kto tych kroków nie zrobił.
Utrzymuj włączoną blokadę rejestratora (blokadę transferu)
Blokada rejestratora, zwana też blokadą transferu lub blokadą domeny, to ustawienie statusu, które chroni domenę przed przeniesieniem do innego rejestratora, dopóki wyraźnie jej nie wyłączysz. Gdy blokada jest włączona, każde zlecenie transferu jest automatycznie odrzucane. Większość rejestratorów oferuje tę funkcję i domyślnie ją wyłącza, co jest przeciwieństwem tego, czego chcesz.
Zaloguj się teraz na konto u rejestratora i sprawdź, czy blokada domeny jest włączona. Jeśli jest wyłączona, włącz ją. Wyłącz ją tylko na czas własnego transferu domeny i włącz z powrotem zaraz po jego zakończeniu.
Używaj silnego, unikalnego hasła do konta u rejestratora
Hasło do konta u rejestratora powinno być długie, losowe i nigdzie indziej niewykorzystywane. Menedżer haseł to ułatwia. Wygeneruj hasło o długości co najmniej 16 znaków i zapisz je w menedżerze haseł, zamiast je zapisywać na kartce albo próbować zapamiętać. Nigdy nie używaj do logowania do rejestratora hasła z jakiejkolwiek innej usługi.
Włącz uwierzytelnianie dwuskładnikowe na koncie u rejestratora
Uwierzytelnianie dwuskładnikowe (2FA) wymaga przy logowaniu drugiego elementu weryfikacji, zwykle kodu z aplikacji uwierzytelniającej, oprócz hasła. Nawet jeśli atakujący zdobędzie hasło przez phishing lub wyciek danych, nie wejdzie na konto bez kontroli nad drugim składnikiem. Większość dużych rejestratorów obsługuje 2FA. Jeśli Twój nie, to powód, by rozważyć przejście do takiego, który obsługuje.
Tam, gdzie to możliwe, używaj aplikacji uwierzytelniającej zamiast weryfikacji SMS-em. Kody SMS można przechwycić atakami, w których ktoś nakłania operatora komórkowego do przeniesienia Twojego numeru na urządzenie, które kontroluje. Uwierzytelnianie przez aplikację jest na to bardziej odporne.
Dbaj o bezpieczeństwo i dostępność e-maila kontaktowego WHOIS
Adres e-mail w rekordzie WHOIS domeny to adres, na który rejestrator wysyła prośby o potwierdzenie transferu. Jeśli atakujący zleci transfer, e-mail z potwierdzeniem trafi na ten adres. Jeśli nie masz już dostępu do tego adresu albo kontroluje go atakujący, transfer może dojść do skutku bez Twojej wiedzy.
Używaj dedykowanego adresu e-mail do rejestracji domeny, a nie osobistego, który możesz porzucić, ani wspólnej skrzynki dostępnej dla innych. Upewnij się, że konto ma silne hasło i włączone 2FA. Sprawdzaj je na tyle regularnie, by zauważyć e-mail z potwierdzeniem transferu, zanim okno transferu się zamknie.
Włącz ochronę WHOIS, by zmniejszyć ryzyko socjotechniki
Gdy ochrona WHOIS jest wyłączona, Twoje imię i nazwisko, adres e-mail, numer telefonu i adres korespondencyjny są publicznie wyszukiwalne w globalnej bazie WHOIS. Te informacje dają socjotechnikowi wszystko, czego potrzebuje, by udawać Ciebie w kontakcie z pomocą rejestratora. Ochrona WHOIS zastępuje Twoje dane osobowe ogólnymi danymi kontaktowymi rejestratora, odbierając materiał do takiego ataku.
Pełne wyjaśnienie, jak działa ochrona WHOIS i przed czym chroni, znajdziesz w poprzednim rozdziale o ochronie prywatności WHOIS. Jeśli nie jest jeszcze włączona dla Twojej domeny, włączenie jej teraz usuwa kolejne ryzyko.
Rejestruj domenę u renomowanego rejestratora
Nie każdy rejestrator ma te same standardy bezpieczeństwa i praktyki obsługi klienta. Rejestrator z rygorystyczną weryfikacją tożsamości, jasnymi procedurami eskalacji sporów o konto i dobrą obsługą 2FA rzadziej odda Twoją domenę osobie, która się pod Ciebie podszywa, niż taki, który polega na minimalnej weryfikacji. Rejestracja domeny u taniego dostawcy, by zaoszczędzić kilka złotych, to kompromis w bezpieczeństwie, który nie jest wart zachodu. Rozdział o tym, jak zarejestrować domenę, opisuje, na co zwracać uwagę przy wyborze rejestratora.
Odnawiaj rejestrację domeny, zanim wygaśnie
Wygasła domena to domena podatna na atak. Gdy rejestracja wygasa, domena wchodzi w okres karencji, a potem staje się dostępna dla każdego. Atakujący monitorują wygasające domeny, zwłaszcza te z ugruntowaną marką i linkami zwrotnymi, i rejestrują je w chwili zwolnienia. Wtedy odzyskanie domeny wymaga negocjacji z osobą, która ją zarejestrowała, co może być drogie lub niemożliwe.
Włącz automatyczne odnawianie dla każdej posiadanej domeny. Ustaw przypomnienie w kalendarzu co najmniej 60 dni przed wygaśnięciem jako zabezpieczenie. Upewnij się, że zapisana metoda płatności jest aktualna, by automatyczne odnowienie nie zawiodło po cichu. Jeśli chcesz poznać pełną oś czasu wygasania i to, co dzieje się na każdym etapie, rozdział o tym, czym jest wygaśnięcie domeny i jak je sprawdzić, opisuje każdą fazę szczegółowo. Rozdział o kupnie domeny na stałe opisuje długoterminowe strategie rejestracji, które jeszcze bardziej zmniejszają ryzyko wygaśnięcia.
Co zrobić, jeśli domena została przejęta?
Liczy się szybkość. Im szybciej zadziałasz, tym większa szansa na odzyskanie. Oto kolejność działań.
Natychmiast skontaktuj się z pomocą rejestratora i zgłoś nieautoryzowany transfer. Podaj jak najwięcej dokumentacji, w tym oryginalne potwierdzenia rejestracji, historię płatności i korespondencję pokazującą Ciebie jako prawowitego właściciela. Rejestratorzy mają procedury obsługi zgłoszeń przejęcia i czasem mogą zamrozić lub cofnąć transfer, jeśli został zlecony niedawno i jeszcze się w pełni nie zakończył.
Jeśli domena została już przeniesiona do innego rejestratora, złóż skargę do ICANN w ramach procesu sporów transferowych. Ten proces jest przeznaczony właśnie do obsługi nieautoryzowanych transferów i może zobowiązać rejestratora do ich cofnięcia. Zwykle trwa od 30 do 60 dni i wymaga dokumentacji własności.
Równolegle dokumentuj wszystko. Zrób zrzuty ekranu konta u rejestratora, otrzymanych e-maili i wszelkich zmian widocznych w WHOIS. Ta dokumentacja wspiera zarówno skargę do ICANN, jak i ewentualne kroki prawne.
Natychmiast zmień hasło i włącz 2FA na koncie u rejestratora i na e-mailu kontaktowym WHOIS, nawet jeśli domena już się przeniosła. Jeśli atakujący przejął te konta, zostawienie ich otwartych naraża inne Twoje domeny i pozwala atakującemu zakłócać każdą próbę odzyskania.
Ile trwa odzyskiwanie?
Czas odzyskiwania bardzo się różni w zależności od tego, jak szybko zadziałasz, jak chętnie współpracuje przyjmujący rejestrator i czy domena zmieniła ręce więcej niż raz. Formalny proces sporów ICANN trwa od tygodni do miesięcy. Dobrowolna współpraca przyjmującego rejestratora może go przyspieszyć, ale nie jest gwarantowana. Postępowanie prawne z nakazem sądowym trwa jeszcze dłużej i nie niesie pewności sukcesu.
Z przejęcia domeny trudniej wyjść niż z większości incydentów bezpieczeństwa, bo nie ma przycisku „cofnij”. Skompromitowane hasło można zresetować. Zhakowane konto e-mail można odzyskać. Przeniesiona domena jest pod kontrolą kogoś innego, na innym koncie, możliwe że u innego rejestratora w innym kraju. Oryginalne dokumenty rejestracyjne pomagają, ale same nie zawsze wystarczą.
Dlatego kroki zapobiegawcze powyżej są ważniejsze niż kroki odzyskiwania. Celem jest sprawienie, by przejęcie Twojej domeny było tak trudne, że atakujący zajmie się łatwiejszym celem. Jeśli chcesz uniknąć najczęstszych błędów, które od początku narażają domeny, rozdział o błędach przy wyborze domeny, których warto unikać, opisuje szersze wzorce, które narażają właścicieli domen.
Jak WEMASY obsługuje bezpieczeństwo domen
Gdy rejestrujesz domenę przez WEMASY, blokada transferu jest domyślnie włączona dla wszystkich domen. Ochrona WHOIS jest dołączona do każdej rejestracji bez dodatkowych kosztów. Rejestracja domeny jest powiązana bezpośrednio z Twoim kontem WEMASY, które obsługuje uwierzytelnianie dwuskładnikowe, więc dostęp do zarządzania domeną wymaga zarówno hasła, jak i drugiego składnika.
Automatyczne odnawianie jest domyślnie włączone dla wszystkich domen zarejestrowanych przez WEMASY, a przypomnienia o odnowieniu są wysyłane 90, 60 i 30 dni przed wygaśnięciem, więc nie ma ryzyka pominięcia odnowienia. Co zawiera każdy plan, zobaczysz w cenniku WEMASY.
Najczęstsze pytania o przejęcie domeny
Czy domenę można przejąć, nawet jeśli nie popełniono żadnego błędu?
Tak. Przejęcie nie zawsze wynika z zaniedbania właściciela. Wyciek danych w usłudze, w której powtórzono hasło do rejestratora, wyrafinowany e-mail phishingowy, który trudno rozpoznać, albo telefon socjotechniczny do pomocy rejestratora mogą się udać, nawet jeśli zachowano ostrożność. Dlatego liczy się ochrona warstwowa, w tym blokada rejestratora, 2FA i ochrona WHOIS. Żaden pojedynczy środek nie jest niezawodny, ale razem znacząco podnoszą poprzeczkę. W kreatorze stron WEMASY ustawisz to bezpośrednio na swojej stronie.
Czy blokada rejestratora chroni przed każdym rodzajem przejęcia domeny?
Blokada rejestratora chroni przed nieautoryzowanymi transferami do innego rejestratora. Nie chroni przed atakującym, który już wszedł na konto u rejestratora i zmienia rekordy DNS, serwery nazw lub dane kontaktowe. Pełna ochrona wymaga blokady rejestratora oraz silnego hasła, 2FA i bezpiecznego e-maila kontaktowego. Każda warstwa blokuje inny rodzaj ataku.
Czym różni się przejęcie domeny od przejęcia DNS?
Przejęcie domeny przenosi własność samej rejestracji. Przejęcie DNS zmienia to, dokąd domena prowadzi, bez przenoszenia własności. Przy przejęciu DNS atakujący zmienia rekordy DNS na koncie u rejestratora, by przekierować ruch na serwer, który kontroluje, ale rejestracja nadal jest na Twoje dane. Oba są poważne i oba wymagają zabezpieczenia konta. Blokada rejestratora chroni konkretnie przed przejęciem domeny, blokując transfery. Przejęciu DNS zapobiega zabezpieczenie dostępu do konta silnym hasłem i 2FA.
Czy jeśli moja domena zostanie przejęta, Google usunie moją stronę z indeksu?
Nie od razu. Indeks Google odzwierciedla ostatni zeskanowany stan Twojej strony. Ale jeśli atakujący zmieni DNS tak, by prowadził na inną treść, Google w końcu zeskanuje nową treść i odpowiednio zaktualizuje indeks. Jeśli nowa treść narusza wytyczne Google, może nastąpić ręczna kara. Im dłużej domena jest poza Twoją kontrolą, tym bardziej mogą się pogorszyć pozycje i reputacja strony. Szybkie działanie jest ważne dla ochrony obecności w wyszukiwarce, a nie tylko dostępu do strony.
Czy domenę warto rejestrować w tym samym miejscu, w którym jest hosting strony?
Są różne poglądy. Trzymanie domeny i hostingu razem upraszcza zarządzanie i zmniejsza liczbę kont do zabezpieczenia. Niektóre marki wolą rejestrować domenę osobno od dostawcy hostingu jako środek ostrożności, by naruszenie jednego konta nie ujawniło od razu obu. Oba podejścia da się zabezpieczyć dzięki dobrej higienie kont. Jeśli trzymasz je razem, priorytetem jest to, by wspólne konto miało silne hasło, włączone 2FA i włączoną blokadę rejestratora.
Następny rozdział dotyczy certyfikatów SSL i domen: co robi certyfikat SSL, jak łączy się z domeną i dlaczego wpływa na to, jak odwiedzający i przeglądarki postrzegają Twoją stronę.