Che cos'è il dirottamento di dominio?

Che cos'è l'hijack dei domini?

L'hijack del dominio si verifica quando un utente malintenzionato prende il controllo di un nome di dominio, in genere tramite social engineering. Un nome di dominio è l'indirizzo univoco e facile da ricordare utilizzato per connettere gli utenti ai siti Web, ed è la base su cui si fonda l'identità Internet pubblica di un'organizzazione.

Quando un utente malintenzionato dirotta con successo un dominio, il legittimo proprietario perde il controllo su tutti i suoi numerosi servizi collegati al dominio. Ciò include contenuti di siti Web, e-mail aziendali, call center VoIP, servizi di archiviazione cloud e altre app associate al dominio. Questo rende l'hijack dei nomi di dominio una delle maggiori minacce online per il marchio, il fatturato e la reputazione.

Come funzionano i domini?

I nomi a dominio agevolano l'accesso ai siti Web senza dover ricordare gli indirizzi IP alfanumerici. I nomi di dominio vengono abbinati agli indirizzi IP grazie al Domain Name System (DNS), che funge da rubrica telefonica di Internet.

I domini vengono stabiliti tramite registrar di nomi di dominio. Quando si tratta di ottenere un dominio, ci sono due figure chiave: i registrar e i registri. Pensa ai registri (come VeriSign) come grossisti e ai registrar come rivenditori. I registri detengono il database di tutti i domini registrati all'interno di un TLD. Delegano la prenotazione dei nomi di dominio disponibili ai registrar. A loro volta, i registrar, di cui ce ne sono migliaia, “vendono” (o meglio, affittano) nomi di dominio agli utenti finali per un determinato periodo di tempo.

I nomi di dominio sono composti da due o tre parti, ciascuna separata da un punto. Se letti da destra verso sinistra, gli identificativi nei nomi di dominio vanno dal più generale al più specifico.

• La sezione a destra dell'ultimo punto in un nome di dominio è il dominio di primo livello (TLD, Top-level Domain). Esempi di TLD includono ".com", ".net", ".co", ".uk" e ".in".
• A sinistra del TLD c'è il dominio di secondo livello (2LD, Second-level Domain) e se c'è qualcosa a sinistra del 2LD, viene chiamato dominio di terzo livello (3LD, Third-level Domain).

Per aiutare a prevenire modifiche non autorizzate ai nomi di dominio, i proprietari di domini possono applicare blocchi "client" (blocchi del registrar) tramite il proprio registrar I registri applicano blocchi “server”, noti anche come blocchi del registro. Tuttavia, se un utente malintenzionato ottiene l'accesso appropriato all'account, può rimuovere i blocchi del dominio ed effettuare modifiche non autorizzate al registrar.

Come si verifica l'hijack di un dominio?

Esistono molti modi per dirottare un dominio. Ad esempio:

• Schemi di social engineering e phishing: In termini generali, il social engineering è qualsiasi attacco che manipola le persone al fine di estorcere informazioni sensibili. Ad esempio, un aggressore invia alla vittima designata un'e-mail di phishing dall'aspetto legittimo che sembra provenire dal registrar. Il destinatario clicca su uno dei link dell'e-mail, pensando che lo porterà al sito Web del registrar, ma in realtà lo indirizza a un dominio contraffatto progettato per rubare le sue credenziali di accesso al registrar.
• Sfruttare domini inattivi o in scadenza: la maggior parte dei nomi di dominio può essere registrata solo per un massimo di 10 anni alla volta. È responsabilità del registrar avvisare i propri clienti quando i loro domini stanno per scadere. Tuttavia, se l'utente finale non rinnova correttamente il proprio dominio (oppure non dismette correttamente il dominio), un utente malintenzionato può acquistare e sfruttare il dominio.
• Violazioni dei registrar: gli autori degli attacchi possono anche sfruttare le vulnerabilità del registrar. Ad esempio, quando Squarespace stava migrando circa 10 milioni di nomi di dominio da Google Domains, gli aggressori hanno sfruttato un difetto che ha permesso loro di rilevare account e modificare i record DNS (in particolare quelli di alcune società di crittografia e blockchain). Quindi, gli aggressori hanno reindirizzato i visitatori verso siti di phishing nel tentativo di rubare token e altre valute digitali.
• Chiavi API compromesse: le chiavi API e altri token di autenticazione sono progettati per consentire alle applicazioni di accedere agli account online, come alcuni servizi di dominio, tramite un'API. Se tali chiavi vengono esposte o trapelate accidentalmente, potrebbero fornire l'accesso all'account del registrar di un'organizzazione.

Qual è l'impatto dell'hijack di dominio?

Una volta che un dominio è stato compromesso, gli aggressori possono interrompere una miriade di operazioni Web. Ad esempio, possono:

• Modificare il contenuto del sito originale
• Reindirizzare i visitatori a un sito diverso e dannoso
• Deviare i pagamenti online su conti controllati da un attaccante
• Inviare e-mail di spam e phishing dal server di posta del dominio
• Leggere le e-mail riservate inviate alle caselle di posta aziendali
• Modificare le chiamate API per interrompere le app mobili e altri servizi digitali di un'organizzazione.

È abbastanza semplice trasferire i domini tra i registrar, ma è molto difficile recuperare un dominio rubato. Possono volerci settimane o addirittura mesi. Potrebbe persino essere necessario intraprendere un'azione legale. Parte di ciò che rende difficile la situazione è che la documentazione appropriata potrebbe trovarsi in sistemi (come la posta elettronica aziendale) a cui il proprietario originale del dominio non ha più accesso. Il dominio potrebbe essere recuperato in pochi giorni oppure il proprietario originale (legittimo) potrebbe non riavere mai indietro il dominio rubato.

Indipendentemente dall'esito, un dominio dirottato può comportare gravi conseguenze finanziarie, di reputazione e persino normative.

Hijack del dominio e spoofing del dominio

Nell'hijack del dominio, l'aggressore sottrae il nome di dominio legittimamente registrato. Lo spoofing del dominio si verifica invece quando i criminali informatici creano un sito Web o un dominio di posta elettronica falso per ingannare gli utenti, come un truffatore che mostra credenziali false per guadagnare la loro fiducia. Gli autori di attacchi non devono acquisire un account registrar per falsificare un dominio.

Hijack del dominio e hijack del DNS

L'hijack del dominio, che compromette il dominio stesso, è diverso dall'hijack del DNS (noto anche come DNS poisoning). Nell'hijack del DNS, un aggressore prende di mira il record DNS del sito Web sul nameserver.

I record del nameserver indicano sostanzialmente a Internet dove andare per scoprire l'indirizzo IP di un dominio. Se i record del nameserver non sono configurati correttamente (ad esempio, sono stati “avvelenati”), gli aggressori possono reindirizzare le query a un nameserver di dominio diverso. Invece di caricare il sito Web o l'applicazione corretti, ad esempio, il traffico degli utenti potrebbe essere reindirizzato verso una destinazione che è una replica del sito originale, ma che distribuisce malware.

Come impedire l'hijack del dominio

Il modo più semplice per le organizzazioni di proteggersi dall'hijack del dominio è scegliere un registrar di nomi di dominio affidabile che offra solide misure di sicurezza. Cerca funzionalità quali:

• Autenticazione a due fattori (2FA): il2FA richiede a tutti i titolari di account registrati di dimostrare la propria identità in due modi diversi prima di ottenere l'accesso.
• Privacy per la registrazione del dominio: i servizi di privacy del dominio possono oscurare i dati di contatto del registrante del dominio dai registri pubblici.
• Blocco del registrar: molti registrar di massa supportano il blocco del registrar, che impedisce al registro di modificare le informazioni a meno che il registrante non rimuova esplicitamente il blocco.
• Blocco del registro: Il blocco del registro è un livello di sicurezza superiore che richiede molteplici fonti e passaggi di verifica offline indipendenti.
• Periodi di grazia per il rinnovo: un periodo di grazia dopo la scadenza può aiutare i clienti che hanno dimenticato o saltato la scadenza. Ciò può avere ripercussioni anche sugli utenti che hanno attivato il rinnovo automatico, se la loro carta di credito registrata è scaduta. La scelta di un registrar con un periodo di grazia è essenziale per contrastare gli aggressori che cercano attivamente di sfruttare i domini in scadenza.

In che modo Cloudflare aiuta a prevenire l'hijack del dominio

Il servizio di registrar di nomi di dominio di Cloudflare, Cloudflare Registrar, offre ai clienti del piano Enterprise con protezione del dominio personale per prevenire l'hijack del dominio. Con la protezione del dominio personale, tutte le modifiche alla proprietà del dominio o al nameserver vengono verificate ed eseguite manualmente. Il rigoroso protocollo di modifica contribuisce a garantire che le modifiche siano approvate direttamente dalle organizzazioni.

Cloudflare Registrar include anche il sistema DNSSEC universale integrato per tutti i domini, in modo da proteggerli da un ampio spectrum di attacchi basati sul DNS.