As consequências de perder um domínio são imediatas e graves. O teu website fica em baixo, o teu email deixa de funcionar e qualquer visitante que escreva o teu endereço vai parar a um sítio que não controlas. Para uma marca que construiu a sua reputação em torno de um nome específico, o dano vai muito além da perturbação técnica. Recuperar um domínio sequestrado é possível, mas é lento, incerto e por vezes mal sucedido. A abordagem muito melhor é tornar o sequestro difícil desde o início.
O que é o sequestro de domínio?
O sequestro de domínio é quando alguém assume o controlo de um domínio teu sem a tua permissão. O atacante transfere o domínio para outro registador, muda a propriedade do domínio para outra conta ou faz as duas coisas em sequência. Depois de a transferência estar concluída, perdes a capacidade de gerir o domínio, de o renovar ou de o apontar para o teu servidor.
É diferente do "domain squatting", em que alguém regista um nome parecido com o teu. O sequestro visa um domínio que já tens e em torno do qual construíste a tua marca. O objetivo do atacante é normalmente vender-te o domínio de volta a um preço inflacionado, mantê-lo como resgate, redirecionar o teu tráfego ou tomar conta do teu email para aceder a outras contas ligadas a esse endereço.
Para perceber porque é isto possível, ajuda perceber como funciona normalmente uma transferência de domínio. Quando passas um domínio de um registador para outro, forneces um código de autorização e confirmas o pedido. A transferência demora vários dias a concluir e pode ser cancelada durante essa janela. Os sequestradores aproveitam este processo entrando na tua conta do registador ou no teu email, autorizando eles próprios a transferência e concluindo-a antes de reparares que algo está errado. Podes ler mais sobre o processo de transferência no capítulo sobre o que é a transferência de um domínio.
Como acontece o sequestro de domínio?
O sequestro começa quase sempre por uma de quatro portas de entrada. Fechar as quatro é a forma de te protegeres.
Ataques de phishing ao início de sessão do registador
O método mais comum é um email de phishing que imita uma mensagem do teu registador de domínios. A mensagem pode avisar-te de que o teu domínio está prestes a expirar, de que foi detetado um início de sessão suspeito ou de que tens de verificar a tua conta. A ligação no email leva a uma página de início de sessão falsa que captura o teu nome de utilizador e palavra-passe. Com essas credenciais, o atacante entra na tua conta real e inicia uma transferência.
Os emails de phishing dirigidos a donos de domínios tornaram-se muito convincentes. Copiam a marca e a linguagem exatas das comunicações reais dos registadores. A única defesa fiável é nunca clicar em ligações de emails que pedem que inicies sessão. Em vez disso, abre diretamente o site do teu registador no navegador e consulta a tua conta a partir daí.
Contas de email comprometidas
A tua conta do registador é tão segura como o email associado a ela. Se um atacante obtiver acesso ao teu email, pode usar a função "esqueci-me da palavra-passe" do registador para repor o teu início de sessão e tomar conta da tua conta. É por isso que o email de contacto do teu registador é um dos ativos mais sensíveis que tens. Uma palavra-passe fraca ou reutilizada nessa conta de email cria um caminho direto para o teu domínio.
Palavras-passe fracas ou reutilizadas
Uma palavra-passe fraca na tua conta do registador é um convite aberto. Os atacantes usam ferramentas automáticas que pegam em combinações de nome de utilizador e palavra-passe expostas noutras fugas de dados e experimentam-nas automaticamente nas páginas de início de sessão dos registadores. Se reutilizas uma palavra-passe de qualquer outro serviço que alguma vez tenha sido comprometido, o teu domínio está em risco.
Ataques de engenharia social
Alguns sequestradores dispensam por completo os métodos técnicos e contactam diretamente a equipa de apoio ao cliente do teu registador, fazendo-se passar por ti. Dizem que perderam o acesso à conta e pedem ao apoio que reponha as credenciais. Se os teus dados de contacto WHOIS estiverem visíveis ao público, já têm o teu nome, email e morada para sustentar a história. É uma das razões pelas quais a privacidade WHOIS importa para a segurança do domínio, tema abordado no capítulo anterior sobre o que é a privacidade WHOIS.
Quais são as consequências do sequestro de domínio?
Os efeitos de um sequestro bem-sucedido vão além do próprio domínio. O teu website fica offline no momento em que o atacante altera as definições DNS. Os visitantes recebem erros ou chegam a uma página que não criaste. O email enviado para o teu domínio é devolvido ou vai para a caixa de entrada do atacante, incluindo os emails de reposição de palavra-passe de qualquer serviço que tenhas ligado a esse endereço. Todas as contas que usam o email do teu domínio ficam expostas.
O dano para a marca agrava-se depressa. Os clientes que tentam contactar-te não conseguem. Os parceiros que enviam emails não têm resposta. Se o atacante puser uma página fraudulenta no teu domínio, os visitantes podem ser enganados ou ter os seus dados roubados, e o nome da tua marca fica associado a essa experiência.
Recuperar o domínio através do processo de litígios da ICANN ou de uma ordem judicial pode demorar de semanas a meses. Não há garantia de recuperação. Alguns domínios são transferidos para registadores em países onde é difícil avançar com litígios, e alguns atacantes revendem os domínios tão depressa que o rasto se complica. Quanto mais demorar a recuperação, mais se degradam as posições da marca na pesquisa e a reputação do email.
Como se evita o sequestro de domínio?
A prevenção é simples. Cada uma das medidas abaixo trata de uma das portas de entrada que os atacantes usam. Em conjunto, tornam o sequestro do teu domínio bastante mais difícil do que visar alguém que não deu estes passos.
Mantém o bloqueio do registador (bloqueio de transferência) ativo
O bloqueio do registador, também chamado bloqueio de transferência ou bloqueio de domínio, é um estado que impede que o teu domínio seja transferido para outro registador até o desativares explicitamente. Com o bloqueio ligado, qualquer pedido de transferência é rejeitado automaticamente. A maioria dos registadores oferece esta função e deixa-a desligada por defeito, o que é o contrário do que queres.
Inicia sessão agora na tua conta do registador e verifica se o bloqueio do teu domínio está ativo. Se estiver desligado, liga-o. A única vez em que o deves desligar é quando estás tu mesmo a transferir o domínio, e deves voltar a ligá-lo no momento em que a transferência terminar.
Usa uma palavra-passe forte e única na conta do registador
A palavra-passe da tua conta do registador deve ser longa, aleatória e não usada em mais lado nenhum. Um gestor de palavras-passe torna isto fácil. Gera uma palavra-passe com pelo menos 16 caracteres e guarda-a num gestor de palavras-passe em vez de a escrever ou tentar decorá-la. Nunca reutilizes no início de sessão do registador uma palavra-passe de outro serviço.
Ativa a autenticação de dois fatores na conta do registador
A autenticação de dois fatores (2FA) exige uma segunda verificação, normalmente um código de uma aplicação de autenticação, além da palavra-passe ao iniciares sessão. Mesmo que um atacante obtenha a tua palavra-passe através de phishing ou de uma fuga de dados, não consegue aceder à tua conta sem controlar também o teu segundo fator. A maioria dos grandes registadores suporta 2FA. Se o teu não suporta, é uma razão para pensares em mudar para um que suporte.
Usa uma aplicação de autenticação em vez de verificação por SMS, sempre que possível. Os códigos por SMS podem ser intercetados em ataques em que alguém engana a tua operadora móvel para passar o teu número de telefone para um dispositivo que controla. Um autenticador numa aplicação resiste melhor a isto.
Mantém o email de contacto WHOIS seguro e acessível
O endereço de email do registo WHOIS do teu domínio é o endereço que o registador usa para enviar pedidos de confirmação de transferência. Se um atacante iniciar uma transferência, um email de confirmação vai para esse endereço. Se já não tens acesso a esse endereço, ou se o atacante o controla, a transferência pode avançar sem o saberes.
Usa um endereço de email dedicado ao registo do teu domínio, não um email pessoal que possas abandonar nem uma caixa de entrada partilhada a que outros tenham acesso. Garante que a conta tem uma palavra-passe forte e 2FA ativo. Consulta-a com regularidade suficiente para notares um email de confirmação de transferência antes de a janela de transferência fechar.
Ativa a privacidade WHOIS para reduzir o risco de engenharia social
Quando a privacidade WHOIS está desativada, o teu nome, email, telefone e morada ficam pesquisáveis publicamente na base de dados WHOIS global. Essa informação dá a um engenheiro social tudo o que precisa para se fazer passar por ti ao contactar o apoio do registador. A privacidade WHOIS substitui os teus dados pessoais de contacto por informação genérica de contacto do registador, retirando a matéria-prima a este tipo de ataque.
Os detalhes completos de como funciona a privacidade WHOIS e do que protege estão no capítulo anterior sobre a privacidade WHOIS. Se ainda não está ativada no teu domínio, ativá-la agora elimina mais um risco.
Regista o teu domínio num registador de boa reputação
Nem todos os registadores têm os mesmos padrões de segurança ou práticas de apoio ao cliente. Um registador com verificação de identidade rigorosa, procedimentos claros de escalamento para litígios de conta e bom suporte de 2FA tem menos probabilidade de entregar o teu domínio a alguém que se faça passar por ti do que um que se apoia numa verificação mínima. Registar um domínio num fornecedor barato para poupar uns dólares cria uma troca de segurança que não compensa. O capítulo sobre como registar um domínio explica o que procurar ao escolher um registador.
Renova o registo do domínio antes de expirar
Um domínio expirado é um domínio vulnerável. Quando o teu registo caduca, o domínio entra num período de carência e depois fica disponível para qualquer pessoa o registar. Os atacantes monitorizam os domínios a expirar, sobretudo os que têm marcas estabelecidas e ligações recebidas, e registam-nos no momento em que são libertados. Nessa altura, recuperar o domínio exige negociar com quem o registou, o que pode ser caro ou impossível.
Ativa a renovação automática em todos os domínios que tens. Define um lembrete no calendário pelo menos 60 dias antes da expiração como reserva. Garante que o método de pagamento registado está atual, para a renovação automática não falhar em silêncio. Se queres perceber o calendário completo de expiração e o que acontece em cada fase, o capítulo sobre o que é a expiração de um domínio e como a verificar explica cada fase em detalhe. O capítulo sobre como comprar um nome de domínio para sempre explica estratégias de registo a longo prazo que reduzem ainda mais o risco de expiração.
O que fazer se o teu domínio foi sequestrado?
A rapidez conta. Quanto mais cedo agires, maior a hipótese de recuperação. Esta é a ordem das ações a tomar.
Contacta de imediato a equipa de apoio do registador e comunica a transferência não autorizada. Fornece o máximo de documentação possível, incluindo recibos do registo original, histórico de pagamentos e qualquer correspondência que te mostre como legítimo dono. Os registadores têm procedimentos para tratar denúncias de sequestro e por vezes conseguem congelar ou reverter uma transferência se ela tiver sido iniciada há pouco tempo e ainda não estiver totalmente concluída.
Se o domínio já foi transferido para outro registador, apresenta uma queixa à ICANN através do processo de litígios de transferência. Este processo foi concebido especificamente para tratar transferências não autorizadas e pode obrigar um registador a revertê-las. Costuma demorar de 30 a 60 dias e exige documentação da propriedade.
Em paralelo, documenta tudo. Tira capturas de ecrã da tua conta do registador, de quaisquer emails que tenhas recebido e de quaisquer alterações visíveis no WHOIS. Esta documentação apoia tanto a queixa à ICANN como qualquer ação judicial que possas ter de avançar.
Muda de imediato a palavra-passe e ativa o 2FA na tua conta do registador e no email de contacto WHOIS, mesmo que o domínio já tenha saído. Se um atacante comprometeu essas contas, deixá-las abertas expõe outros domínios que tenhas e permite ao atacante interferir em qualquer tentativa de recuperação.
Quanto tempo demora a recuperação?
O tempo de recuperação varia bastante, consoante a rapidez com que agires, o grau de colaboração do registador recetor e se o domínio mudou de mãos mais de uma vez. O processo formal de litígios da ICANN demora de semanas a meses. A colaboração voluntária do registador recetor pode acelerá-lo, mas não é garantida. Os processos judiciais através de uma ordem do tribunal demoram ainda mais e não têm sucesso garantido.
É mais difícil recuperar de um sequestro de domínio do que da maioria dos incidentes de segurança, porque não há botão de "anular". Uma palavra-passe comprometida pode ser reposta. Uma conta de email pirateada pode ser recuperada. Um domínio transferido está sob o controlo de outra pessoa, numa conta diferente, possivelmente num registador diferente, noutro país. Os documentos do registo original ajudam, mas nem sempre chegam por si sós.
É por isso que os passos de prevenção acima importam mais do que os de recuperação. O objetivo é tornar o sequestro do teu domínio tão difícil que o atacante passe para um alvo mais fácil. Se queres evitar os erros mais comuns que deixam os domínios expostos logo à partida, o capítulo sobre erros de nome de domínio a evitar explica os padrões mais amplos que põem os donos de domínios em risco.
Como a WEMASY trata a segurança dos domínios
Quando registas um domínio através da WEMASY, o bloqueio de transferência está ativo por defeito em todos os domínios. A privacidade WHOIS está incluída em todos os registos sem custo adicional. O registo do teu domínio está ligado diretamente à tua conta WEMASY, que suporta autenticação de dois fatores, pelo que o acesso à gestão do teu domínio exige tanto a tua palavra-passe como o teu segundo fator.
A renovação automática está ativa por defeito em todos os domínios registados através da WEMASY, e os lembretes de renovação são enviados 90, 60 e 30 dias antes da expiração, para não haver risco de uma renovação falhada. Vê o que está incluído em cada plano em preços da WEMASY.
Perguntas frequentes sobre o sequestro de domínios
Um domínio pode ser sequestrado mesmo que eu não tenha feito nada de errado?
Sim. O sequestro nem sempre é causado por negligência do dono. Uma fuga de dados num serviço onde reutilizaste a palavra-passe do registador, um email de phishing sofisticado e difícil de identificar ou uma chamada de engenharia social ao apoio do registador podem resultar mesmo que tenhas sido cuidadoso. É por isso que a proteção em camadas, incluindo o bloqueio do registador, o 2FA e a privacidade WHOIS, importa. Nenhuma medida isolada é infalível, mas em conjunto aumentam bastante a dificuldade. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
O bloqueio do registador impede todos os tipos de sequestro de domínio?
O bloqueio do registador impede transferências não autorizadas para outro registador. Não impede um atacante que já tenha obtido acesso à tua conta do registador de alterar os teus registos DNS, servidores de nomes ou dados de contacto. Para uma proteção completa, precisas do bloqueio do registador mais uma palavra-passe forte, 2FA e um email de contacto seguro. Cada camada bloqueia um tipo diferente de ataque.
Qual é a diferença entre sequestro de domínio e sequestro de DNS?
O sequestro de domínio transfere a propriedade do próprio registo do domínio. O sequestro de DNS muda para onde o domínio aponta sem transferir a propriedade. No sequestro de DNS, o atacante modifica os registos DNS na tua conta do registador para redirecionar o tráfego para um servidor que controla, mas o teu nome continua no registo. Ambos são graves e ambos exigem segurança da conta para os prevenir. O bloqueio do registador trata especificamente do sequestro de domínio, bloqueando transferências. O sequestro de DNS previne-se protegendo o acesso à conta com uma palavra-passe forte e 2FA.
Se o meu domínio for sequestrado, a Google retira o meu site do índice?
Não de imediato. O índice da Google reflete o último estado rastreado do teu site. Mas se o atacante mudar o teu DNS para apontar para outro conteúdo, a Google acaba por rastrear o novo conteúdo e atualizar o índice em conformidade. Se o novo conteúdo violar as diretrizes da Google, pode seguir-se uma penalização manual. Quanto mais tempo o domínio estiver fora do teu controlo, mais podem degradar-se as tuas posições na pesquisa e a reputação do site. Agir depressa é importante para proteger a tua presença na pesquisa, não só o acesso ao website.
Devo registar o domínio no mesmo sítio onde alojo o website?
Há opiniões diferentes sobre isto. Manter o domínio e o alojamento juntos simplifica a gestão e reduz o número de contas que tens de proteger. Algumas marcas preferem registar o domínio separadamente do fornecedor de alojamento, por precaução, para que o comprometimento de uma conta não exponha logo as duas. Qualquer abordagem pode ser tornada segura com boa higiene de conta. Se os manténs juntos, a prioridade é garantir que essa conta partilhada tem uma palavra-passe forte, 2FA ativo e o bloqueio do registador ligado.
O próximo capítulo trata dos certificados SSL e dos domínios, incluindo o que faz um certificado SSL, como se liga ao teu domínio e porque afeta a forma como os visitantes e os navegadores veem o teu site.