Prevención del secuestro de dominios: cómo proteger su dominio contra el robo

Cada año, miles de nombres de dominio son robados mediante una práctica conocida como secuestro de dominios. Según el Comité Asesor de Seguridad y Estabilidad de ICANN, las transferencias no autorizadas de dominios siguen siendo una de las categorías de abuso más reportadas, con incidentes que afectan a empresas de todos los tamaños. Las consecuencias van mucho más allá de perder una dirección web. Un dominio secuestrado puede redirigir a sus clientes a sitios de phishing, destruir años de posicionamiento SEO y socavar la credibilidad de su marca de la noche a la mañana. La buena noticia es que el secuestro de dominios es en gran medida prevenible. Con la combinación adecuada de configuraciones del registrador, prácticas de autenticación y monitoreo continuo, puede hacer que sus dominios sean extremadamente difíciles de robar. Esta guía le muestra los pasos específicos para proteger su cartera de dominios.

¿Qué es el secuestro de dominios?

El secuestro de dominios es la transferencia no autorizada de un nombre de dominio lejos de su propietario legítimo. Los atacantes obtienen el control explotando la seguridad débil de las cuentas del registrador, mediante ingeniería social dirigida al personal de soporte del registrador, o aprovechando dominios expirados. Una vez que un dominio se transfiere a un nuevo registrador bajo el control del atacante, recuperarlo puede llevar semanas o meses, y a veces requiere acción legal. La Política de Resolución de Disputas de Transferencia de ICANN existe para este propósito, pero el proceso es lento y no garantiza el éxito.

El impacto de un secuestro exitoso es grave. Las empresas pierden la funcionalidad del correo electrónico, el tráfico del sitio web cae a cero y los clientes pueden quedar expuestos a contenido malicioso servido desde el dominio robado. En 2023, investigadores de seguridad de Palo Alto Networks documentaron múltiples casos en los que dominios secuestrados fueron reutilizados para campañas de phishing en cuestión de horas tras completarse la transferencia. Para las organizaciones que dependen de su dominio para la autenticación de correo electrónico a través de registros SPF y DKIM, un evento de secuestro también puede comprometer la seguridad de cada correo electrónico enviado previamente desde ese dominio.

Métodos comunes de secuestro de dominios

Comprender cómo los atacantes roban dominios es el primer paso para prevenirlo. La mayoría de los incidentes de secuestro de dominios no implican técnicas de hacking sofisticadas. En su lugar, explotan errores humanos, autenticación débil o brechas en los procedimientos de los registradores. La ingeniería social es el vector más común, donde los atacantes se hacen pasar por el propietario del dominio al contactar al soporte del registrador. Pero existen otros métodos igualmente peligrosos que vale la pena conocer en detalle.

• Ingeniería social - Los atacantes llaman o envían correos electrónicos al soporte del registrador haciéndose pasar por el propietario del dominio, utilizando datos de WHOIS disponibles públicamente para responder preguntas de verificación
• Robo de credenciales - Correos electrónicos de phishing que imitan las páginas de inicio de sesión del registrador engañan a los propietarios de dominios para que revelen su nombre de usuario y contraseña
• Captura de dominios expirados - Cuando un dominio caduca por falta de renovación, los atacantes lo registran inmediatamente durante el período de liberación
• Compromiso de la cuenta de correo electrónico - Si la dirección de correo electrónico asociada a la cuenta del registrador es comprometida, los atacantes pueden restablecer la contraseña del registrador y tomar el control total
• Vulnerabilidades del registrador - Ocasionalmente, los propios registradores tienen fallos de seguridad que permiten el acceso no autorizado a los paneles de gestión de dominios
• Secuestro de DNS - En lugar de transferir el dominio, los atacantes modifican los registros DNS para redirigir el tráfico mientras el propietario técnicamente aún posee el dominio

El papel de los bloqueos de transferencia

Los bloqueos de transferencia son su primera línea de defensa contra las transferencias de dominio no autorizadas. Cuando un dominio tiene habilitado el código de estado clientTransferProhibited, el registro rechazará cualquier solicitud de transferencia hasta que el bloqueo sea eliminado explícitamente por el registrador actual. Esto significa que incluso si un atacante obtiene acceso a su cuenta del registrador, aún necesita dar el paso adicional de desbloquear el dominio antes de iniciar una transferencia. Ese paso extra crea una ventana donde las herramientas de monitoreo pueden detectar el cambio y alertarle. A pesar de ser gratuito y estar disponible en prácticamente todos los registradores, un número sorprendente de dominios permanece desbloqueado.

Los bloqueos a nivel de registro, también llamados serverTransferProhibited, proporcionan una capa de protección aún más fuerte. A diferencia de los bloqueos del lado del cliente que pueden eliminarse a través del panel de control del registrador, los bloqueos de registro requieren verificación directa con el operador del registro, generalmente mediante un proceso manual de varios pasos. El servicio Registry Lock de Verisign para dominios .com y .net, por ejemplo, requiere verificación telefónica de un contacto preautorizado antes de que se pueda realizar cualquier cambio. Esto hace que las transferencias no autorizadas sean prácticamente imposibles. La desventaja es el costo, ya que los bloqueos de registro suelen añadir entre 25 y 300 dólares al año dependiendo del TLD, y la inconveniencia de que las transferencias intencionales tarden más en procesarse.

Lista de verificación de seguridad para la protección de dominios

Proteger sus dominios requiere un enfoque por capas. Ninguna medida individual es suficiente por sí sola, pero combinar múltiples salvaguardas hace que el secuestro sea extremadamente improbable. La siguiente lista de verificación cubre los pasos esenciales que todo propietario de dominios debería seguir, ordenados aproximadamente de lo más crítico a lo complementario. Si solo va a hacer tres cosas, habilite los bloqueos de transferencia, use autenticación de dos factores y configure la privacidad de WHOIS. Esos tres pasos por sí solos derrotarán la mayoría de los intentos de secuestro.

• Habilite clientTransferProhibited en cada dominio a través del panel de control de su registrador
• Active la autenticación de dos factores en su cuenta del registrador, preferiblemente usando una aplicación de autenticación en lugar de SMS
• Habilite la protección de privacidad de WHOIS para mantener sus datos de contacto fuera de los registros públicos de WHOIS
• Use una dirección de correo electrónico dedicada y segura para su cuenta del registrador que no se utilice en ningún otro lugar
• Considere servicios de bloqueo de registro para sus dominios más valiosos
• Habilite las notificaciones de cambios en la cuenta del registrador para recibir alertas ante cualquier modificación
• Revise trimestralmente los contactos autorizados en su cuenta del registrador y elimine a quienes ya no necesiten acceso
• Mantenga la renovación del registro de dominio con suficiente antelación, al menos 60 días antes de la expiración
• Documente su cartera de dominios con las credenciales del registrador almacenadas en un gestor de contraseñas

Monitoreo de cambios no autorizados

Incluso con medidas preventivas sólidas implementadas, la monitorización añade una capa de detección crítica. Si un atacante logra eludir sus bloqueos y autenticación, las herramientas de monitorización pueden alertarle sobre cambios no autorizados antes de que el daño sea permanente. El proceso de transferencia de ICANN incluye un período de espera obligatorio de 5 días para la mayoría de las transferencias de gTLD, lo que le ofrece una ventana estrecha para objetar. Pero solo puede aprovechar esa ventana si sabe que la transferencia está ocurriendo. Servicios como DomainExpiryCheck.com detectan cuándo cambia el estado de bloqueo de transferencia de un dominio, proporcionándole una señal de alerta temprana. También debería monitorizar los registros DNS de su dominio, los datos de registro WHOIS y la configuración de los servidores de nombres en busca de cambios inesperados. Configurar alertas automatizadas para estos datos significa que no tiene que verificar manualmente cada dominio todos los días. Para carteras grandes, este tipo de monitorización no es opcional, es esencial. Combine la monitorización externa con el sistema de notificaciones integrado de su registrador y habrá creado una red de seguridad que detecta la mayoría de los intentos de secuestro en sus etapas iniciales.