Przejęcie domeny to uzyskanie nieautoryzowanej kontroli nad domeną, która należy do Ciebie. Atakujący zabiera ją z konta u rejestratora, przenosi na siebie i nagle strona, poczta i tożsamość w sieci należą do kogoś innego. Może się to stać w ciągu kilku godzin, a cofnięcie bywa kwestią miesięcy.
Przejęcie domeny to nie to samo co zarejestrowanie nazwy podobnej do Twojej. To domain squatting. Przejęcie dotyczy domeny, którą już posiadasz, takiej, wokół której być może budowano markę przez lata. Celem atakującego jest zabranie tego, co zbudowano, i użyć tego przeciwko Tobie.
Czym przejęcie domeny różni się od domain squattingu?
Domain squatting to rejestrowanie nazwy domeny, której się nie zamierza używać, zwykle dlatego, że pasuje do znanej marki lub popularnej frazy. Spekulant liczy, że później sprzeda nazwę z zyskiem. To irytujące, ale nie dotyka niczego, co już posiadasz.
Przejęcie domeny to bezpośredni atak na Twoją własność. Atakujący włamuje się na konto u rejestratora albo oszukuje rejestratora, żeby oddał kontrolę. Gdy transfer przejdzie, domena należy do niego. Strona przestaje działać. Poczta się zatrzymuje. Odwiedzający trafiają na stronę, której nie zbudowano. Różnica między squattingiem a przejęciem to różnica między kimś, kto parkuje na Twoim zarezerwowanym miejscu, a kimś, kto kradnie Twój samochód.
Jak dochodzi do przejęcia domeny?
Przejmujący prawie zawsze wchodzą jedną z czterech dróg. Każda wykorzystuje inną słabość, a większość właścicieli domen ma otwartą co najmniej jedną z tych luk.
E-maile phishingowe
Najczęstsza metoda to fałszywy e-mail wyglądający, jakby pochodził od rejestratora domeny. Wiadomość ostrzega, że domena zaraz wygaśnie, że na koncie jest podejrzana aktywność albo że trzeba zweryfikować tożsamość. Link w e-mailu prowadzi na stronę logowania identyczną z prawdziwą. Po wpisaniu danych atakujący je przechwytuje i loguje się na prawdziwe konto. Stamtąd rozpoczyna transfer i przenosi domenę, zanim cokolwiek zauważysz.
Przejęte konta e-mail
Każde konto u rejestratora jest powiązane z adresem e-mail. Jeśli atakujący dostanie się do tej poczty, może zresetować hasło do konta u rejestratora przez link „nie pamiętam hasła”. W ogóle nie potrzebuje danych logowania do rejestratora. Wystarczy dostęp do skrzynki, która dostaje link do resetu. Słabe hasło do konta e-mail to tylne drzwi do domeny.
Słabe lub powtarzane hasła
Atakujący używają zautomatyzowanych narzędzi, które testują skradzione pary nazwy użytkownika i hasła z wycieków danych na setkach stron, także u rejestratorów domen. Jeśli do konta u rejestratora użyto tego samego hasła co w jakimkolwiek innym koncie, które kiedykolwiek wyciekło, domena jest narażona. Nie ma znaczenia, jak silne wydawało się hasło przy tworzeniu. Jeśli jest w wyciekłej bazie, jest już skompromitowane.
Socjotechnika
Niektórzy przejmujący w ogóle pomijają drogę techniczną i dzwonią do pomocy rejestratora. Podają się za Ciebie. Twierdzą, że stracili dostęp do konta, i proszą o zresetowanie danych logowania albo zatwierdzenie transferu. Jeśli Twoje dane osobowe są widoczne w publicznej bazie WHOIS, atakujący ma już imię i nazwisko, e-mail i adres, żeby uwiarygodnić historię. To jeden z najmocniejszych argumentów za włączeniem prywatności WHOIS na każdej posiadanej domenie.
Co się dzieje po przejęciu domeny?
Szkody zaczynają się natychmiast i szybko się rozprzestrzeniają.
Strona przestaje działać w chwili, gdy atakujący zmienia ustawienia DNS. Osoby, które wpiszą Twój adres, widzą stronę z błędem, pusty ekran albo, co gorsza, stronę zbudowaną przez atakującego. Jeśli atakujący umieści tam coś oszukańczego, Twoja marka zostaje z tym powiązana.
Poczta przestaje działać. Wiadomości wysyłane na Twoją domenę wracają albo trafiają prosto do skrzynki atakującego. Dotyczy to też e-maili z resetem hasła z każdej usługi powiązanej z pocztą na domenie. Gdy atakujący kontroluje pocztę, może wejść na konta w mediach społecznościowych, do operatorów płatności i na każdą platformę, która używa tego adresu do odzyskiwania logowania.
Szkody dla marki narastają szybko. Klienci, którzy próbują się z Tobą skontaktować, nie mogą. Partnerzy, którzy piszą e-maile, nie dostają odpowiedzi. Jeśli atakujący utrzyma domenę dostatecznie długo, pozycje w wyszukiwarce zaczynają spadać. Linki, które inne strony stworzyły do Twoich treści, prowadzą teraz na cudzą stronę. Im dłużej trwa odcięcie, tym trudniej odzyskać pozycję.
W niektórych przykładach przejęcia domeny atakujący kontaktuje się z właścicielem i żąda zapłaty za zwrot. W innych sprzedaje ją osobie trzeciej, która może nie wiedzieć, że domena jest skradziona. Tak czy inaczej pierwotny właściciel zostaje z problemem.
Czy można odzyskać przejętą domenę?
Czasem. Ale proces jest powolny, niepewny i nigdy nie jest gwarantowany.
Pierwszy krok to natychmiastowy kontakt z rejestratorem i zgłoszenie nieautoryzowanego transferu. Jeśli transfer jest jeszcze w toku, rejestrator może go zamrozić lub cofnąć. Liczy się tu szybkość. Każda godzina zwłoki utrudnia odzyskanie.
Jeśli domena została już przeniesiona do innego rejestratora, możesz złożyć skargę w ramach Transfer Dispute Resolution Policy ICANN. Ten proces jest przeznaczony do obsługi nieautoryzowanych transferów, ale trwa od 30 do 60 dni. Potrzebna będzie dokumentacja potwierdzająca, że jesteś prawowitym właścicielem, w tym pierwotne potwierdzenia rejestracji, dowody płatności i korespondencja z rejestratorem.
Droga prawna to kolejna opcja, ale jest droga i powolna. Nakazy sądowe mogą zmusić rejestratora do zwrotu domeny, ale jeśli domenę przeniesiono do rejestratora w innym kraju, kwestie jurysdykcji komplikują egzekucję. Niektóre skradzione domeny są odsprzedawane wiele razy, tworząc łańcuch własności, który trudno rozplątać.
Szczera prawda jest taka, że wiele przejętych domen nigdy nie wraca do właściciela. Proces faworyzuje zapobieganie, a nie leczenie.
Jak wyglądają realne scenariusze przejęcia domeny?
Wyobraź sobie małą markę e-commerce, która sprzedaje przez własną stronę. Pewnego ranka założyciel otwiera laptop, a strona nie działa. Hasło do konta u rejestratora zostało zmienione. Domena wskazuje teraz na stronę w obcym języku. E-maile od klientów wracają. Realizowane zamówienia nie mogą zostać zrealizowane, bo e-maile z potwierdzeniami od operatora płatności trafiają do skrzynki, nad którą założyciel nie ma już kontroli.
Albo marka usługowa, która polega na poczcie do kontaktu z klientami. Atakujący przejmuje domenę przez przejęte konto e-mail. Teraz dostaje każdy e-mail wysłany do marki, w tym faktury, umowy i dane klientów. Marka nie zdaje sobie sprawy z tego, co się stało, przez dwa dni, bo strona nadal się ładuje z wersji zapisanej w pamięci podręcznej przeglądarki.
W innym częstym scenariuszu właściciel domeny przypadkowo pozwala wygasnąć rejestracji. Atakujący, który monitoruje wygasające domeny, rejestruje ją w ciągu minut. Technicznie to nie jest przejęcie, ale skutek jest ten sam. Marka traci adres internetowy i nie ma roszczeń prawnych, bo rejestracja wygasła.
Wszystkie te przykłady mają wspólny wątek. Szkoda wykroczyła poza utratę strony. Dotknęła pocztę, zaufanie klientów, przychody, a w niektórych przypadkach bezpieczeństwo danych.
Jak chronić się przed przejęciem domeny?
Zapobieganie sprowadza się do zamknięcia czterech punktów wejścia, których używają atakujący. Oto krótkie podsumowanie.
Włącz blokadę domeny (zwaną też blokadą transferu) na każdej posiadanej domenie. Blokuje ona każdą prośbę o transfer, chyba że ręcznie wyłączysz blokadę. Używaj silnego, unikalnego hasła do konta u rejestratora i włącz uwierzytelnianie dwuskładnikowe, żeby samo skradzione hasło nie wystarczyło. Zabezpiecz kontaktowy adres e-mail WHOIS własnym silnym hasłem i uwierzytelnianiem dwuskładnikowym. Włącz prywatność WHOIS, żeby zapobiec atakom socjotechnicznym.
Pełny opis każdego środka ochrony krok po kroku znajdziesz w rozdziale o tym, jak chronić domenę przed przejęciem. Ten poradnik opisuje szczegółowo każdą warstwę obrony.
Jak WEMASY chroni przed przejęciem domeny?
Domeny zarejestrowane przez WEMASY mają domyślnie włączoną blokadę transferu. Prywatność WHOIS jest w cenie każdej rejestracji, więc Twoje dane osobowe nigdy nie trafiają do publicznej bazy. Zarządzanie domeną jest powiązane z kontem WEMASY, które obsługuje uwierzytelnianie dwuskładnikowe.
Automatyczne odnawianie jest domyślnie włączone, a WEMASY wysyła przypomnienia o odnowieniu 90, 60 i 30 dni przed wygaśnięciem. To eliminuje ryzyko utraty domeny przez to, że rejestracja po cichu wygasła. Więcej o funkcjach bezpieczeństwa domeny i tym, co obejmuje każdy plan, znajdziesz w cenniku WEMASY.
Najczęstsze pytania o przejęcie domeny
Czy przejęcie domeny jest nielegalne?
Tak. W większości jurysdykcji przejęcie domeny jest uznawane za formę kradzieży tożsamości lub oszustwa. Narusza zasady ICANN i może skutkować zarzutami karnymi, zależnie od kraju. Egzekwowanie jest jednak bardzo różne. Udowodnienie przejęcia i skłonienie organów ścigania do działania bywa trudne, zwłaszcza gdy atakujący działa ponad granicami. Droga prawna istnieje, ale rzadko jest szybka. W kreatorze stron WEMASY możesz to ustawić bezpośrednio na swojej stronie.
Ile trwa odzyskanie przejętej domeny?
Jeśli rejestrator wychwyci nieautoryzowany transfer, zanim się zakończy, odzyskanie może zająć kilka dni. Jeśli domena została już przeniesiona do innego rejestratora, proces sporny ICANN zwykle trwa od 30 do 60 dni. Postępowania prawne mogą trwać kilka miesięcy lub dłużej. W niektórych przypadkach domena nigdy nie wraca. Szybkość pierwszej reakcji to najważniejszy czynnik decydujący o powodzeniu odzyskania.
Czy uwierzytelnianie dwuskładnikowe całkowicie zapobiega przejęciu domeny?
Uwierzytelnianie dwuskładnikowe znacznie utrudnia przejęcie, ale żaden pojedynczy środek nie zapobiega mu całkowicie. Atakujący, który przejmie numer telefonu przez SIM swap, może przechwycić kody SMS. Aplikacje uwierzytelniające są bezpieczniejsze, ale nadal zależą od bezpieczeństwa urządzenia. Najsilniejsza ochrona łączy uwierzytelnianie dwuskładnikowe z blokadą domeny, unikalnym hasłem i prywatnością WHOIS. Każda warstwa blokuje inną metodę ataku.
Czym różni się przejęcie domeny od przejęcia DNS?
Przejęcie domeny przenosi własność samej rejestracji domeny. Atakujący staje się zarejestrowanym właścicielem. Przejęcie DNS zmienia to, dokąd domena wskazuje, bez przenoszenia własności. Twoje dane nadal są w rejestracji, ale odwiedzający trafiają na serwer kontrolowany przez atakującego. Oba są poważne, ale przejęcie domeny trudniej cofnąć, bo atakujący trzyma rejestrację.
Czy WEMASY powiadamia, gdy ktoś próbuje przenieść domenę?
Tak. Gdy zostanie zgłoszona prośba o transfer domeny zarejestrowanej przez WEMASY, e-mail z potwierdzeniem trafia na adres kontaktowy właściciela domeny. Przy domyślnie włączonej blokadzie transferu prośba zostanie automatycznie odrzucona, chyba że właściciel ręcznie wyłączył blokadę. Daje to czas na sprawdzenie nieautoryzowanej próby, zanim jakakolwiek zmiana wejdzie w życie.
Następny rozdział opisuje kradzież domen dokładniej, w tym to, jak skradzione domeny trafiają na rynek wtórny i jakie opcje prawne mają właściciele, którzy utracili domenę na stałe.