Följderna av att förlora en domän är omedelbara och allvarliga. Din webbplats går ner, din e-post slutar fungera och varje besökare som skriver din adress hamnar någonstans du inte kontrollerar. För ett varumärke som har byggt sitt rykte kring ett visst namn sträcker sig skadan långt bortom det tekniska avbrottet. Att få tillbaka en kapad domän är möjligt, men det går långsamt, är osäkert och lyckas ibland inte. Det mycket bättre sättet är att göra kapning svårt redan från början.
Vad är domänkapning?
Domänkapning är när någon tar kontroll över en domän som du äger utan ditt tillstånd. Angriparen överför antingen domänen till en annan registrator, ändrar domänens ägare till ett annat konto eller gör båda stegen i följd. När överföringen är klar förlorar du möjligheten att hantera domänen, förnya den eller peka den mot din server.
Det skiljer sig från domänsquatting, där någon registrerar ett namn som liknar ditt. Kapning riktar sig mot en domän som du redan äger och har byggt ditt varumärke kring. Angriparens mål är oftast att sälja tillbaka domänen till dig till överpris, hålla den för lösen, omdirigera din trafik eller ta över din e-post för att komma åt andra konton kopplade till den adressen.
För att förstå varför det är möjligt hjälper det att förstå hur en domänöverföring normalt går till. När du flyttar en domän från en registrator till en annan anger du en auktoriseringskod och bekräftar begäran. Överföringen tar flera dagar och kan avbrytas under den tiden. Kapare utnyttjar processen genom att ta sig in på ditt registratorkonto eller din e-postadress, godkänna överföringen själva och slutföra den innan du märker att något är fel. Du kan läsa mer om hur överföringsprocessen fungerar i kapitlet om vad en domänöverföring är.
Hur går domänkapning till?
Kapning börjar nästan alltid via en av fyra ingångar. Att stänga alla fyra är hur du skyddar dig.
Nätfiskeattacker mot din inloggning hos registratorn
Den vanligaste metoden är ett nätfiskemejl som efterliknar ett meddelande från din domänregistrator. Meddelandet kan varna för att din domän snart går ut, att en misstänkt inloggning upptäckts eller att du måste verifiera ditt konto. Länken i mejlet leder till en falsk inloggningssida som fångar ditt användarnamn och lösenord. Med de uppgifterna loggar angriparen in på ditt riktiga konto och startar en överföring.
Nätfiskemejl som riktar sig mot domänägare har blivit mycket övertygande. De kopierar exakt de riktiga registratorernas varumärke och språk. Det enda pålitliga försvaret är att aldrig klicka på länkar i mejl som ber dig logga in. Öppna i stället registratorns webbplats direkt från din webbläsare och kontrollera ditt konto därifrån.
Kapade e-postkonton
Ditt registratorkonto är bara så säkert som e-postadressen som är kopplad till det. Om en angripare får tillgång till din e-post kan den använda funktionen "glömt lösenord" hos din registrator för att återställa din inloggning och ta över ditt konto. Därför är din kontaktadress hos registratorn en av de mest känsliga tillgångar du har. Ett svagt eller återanvänt lösenord på det e-postkontot skapar en direkt väg till din domän.
Svaga eller återanvända lösenord
Ett svagt lösenord på ditt registratorkonto är en öppen inbjudan. Angripare använder automatiska verktyg som tar kombinationer av användarnamn och lösenord som läckt från andra dataintrång och prövar dem automatiskt på registratorers inloggningssidor. Om du återanvänder ett lösenord från någon annan tjänst som någonsin har komprometterats är din domän i riskzonen.
Social manipulation
Vissa kapare kringgår de tekniska metoderna helt och kontaktar din registrators kundsupport direkt och utger sig för att vara dig. De påstår att de har tappat åtkomsten till sitt konto och ber supporten återställa inloggningsuppgifterna. Om dina WHOIS-kontaktuppgifter är offentligt synliga har de redan ditt namn, din e-postadress och din adress som stöd för påståendet. Det är en av anledningarna till att WHOIS-integritet spelar roll för domänsäkerheten, något som tas upp i föregående kapitel om vad WHOIS-integritet är.
Vilka blir följderna av domänkapning?
Effekterna av en lyckad kapning sprider sig längre än till domänen själv. Din webbplats går offline i samma stund som angriparen ändrar DNS-inställningarna. Besökare får fel eller hamnar på en sida du inte har skapat. E-post som skickas till din domän studsar eller går till angriparens inkorg, inklusive mejl för lösenordsåterställning från alla tjänster du har kopplat till den adressen. Varje konto som använder din domänadress för e-post blir exponerat.
Skadan på varumärket växer snabbt. Kunder som försöker nå dig kan inte det. Partners som skickar mejl får inget svar. Om angriparen lägger upp en bedräglig sida på din domän kan besökare luras eller få sina uppgifter stulna, och ditt varumärkes namn kopplas till den upplevelsen.
Att få tillbaka domänen via ICANN:s tvistlösning eller ett domstolsbeslut kan ta veckor till månader. Det finns ingen garanti för att få tillbaka den. Vissa domäner överförs till registratorer i länder där det är svårt att driva tvister, och vissa angripare säljer vidare domäner så snabbt att spåret blir komplicerat. Ju längre återställningen tar, desto mer försämras varumärkets sökrankningar och e-postrykte.
Hur förebygger du domänkapning?
Förebyggande är okomplicerat. Varje åtgärd nedan tar hand om en av de ingångar som angripare använder. Tillsammans gör de det betydligt svårare att kapa din domän än att rikta in sig på någon som inte har tagit de här stegen.
Håll registratorlåset (överföringslåset) påslaget
Registratorlås, även kallat överföringslås eller domänlås, är en statusinställning som hindrar din domän från att överföras till en annan registrator förrän du uttryckligen stänger av den. När låset är på avvisas varje överföringsbegäran automatiskt. De flesta registratorer erbjuder funktionen men har den avstängd som standard, vilket är raka motsatsen till vad du vill ha.
Logga in på ditt registratorkonto direkt och kontrollera om din domäns låsstatus är påslagen. Om den är av, slå på den. Den enda gången du bör stänga av den är när du själv aktivt håller på att överföra domänen, och du bör slå på den igen i samma stund som överföringen är klar.
Använd ett starkt, unikt lösenord för ditt registratorkonto
Lösenordet till ditt registratorkonto bör vara långt, slumpmässigt och inte användas någon annanstans. En lösenordshanterare gör det enkelt. Skapa ett lösenord på minst 16 tecken och spara det i en lösenordshanterare i stället för att skriva ned det eller försöka komma ihåg det. Återanvänd aldrig ett lösenord från någon annan tjänst för din inloggning hos registratorn.
Slå på tvåfaktorsautentisering på ditt registratorkonto
Tvåfaktorsautentisering (2FA) kräver en andra verifiering, oftast en kod från en autentiseringsapp, utöver lösenordet när du loggar in. Även om en angripare får tag på ditt lösenord via ett nätfiskeförsök eller ett dataintrång kommer den inte åt ditt konto utan att också kontrollera din andra faktor. De flesta större registratorer stöder 2FA. Om din registrator inte gör det är det ett skäl att överväga att byta till en som gör det.
Använd en autentiseringsapp i stället för verifiering via SMS när det går. SMS-koder kan fångas upp genom attacker där någon lurar din mobiloperatör att flytta ditt telefonnummer till en enhet som de kontrollerar. En autentiserare i en app är mer motståndskraftig mot det.
Håll din WHOIS-kontaktadress säker och åtkomlig
E-postadressen i din domäns WHOIS-post är den adress som din registrator använder för att skicka bekräftelsebegäranden om överföring. Om en angripare startar en överföring skickas ett bekräftelsemejl till den adressen. Om du inte längre har tillgång till adressen, eller om angriparen kontrollerar den, kan överföringen gå igenom utan din vetskap.
Använd en dedikerad e-postadress för din domänregistrering, inte en privat adress som du kanske överger eller en gemensam inkorg som andra kan komma åt. Se till att kontot har ett starkt lösenord och 2FA påslaget. Kontrollera det tillräckligt ofta för att du ska märka ett bekräftelsemejl om överföring innan överföringsfönstret stängs.
Slå på WHOIS-integritet för att minska risken för social manipulation
När WHOIS-integritet är avstängt går ditt namn, din e-postadress, ditt telefonnummer och din postadress att söka fram offentligt i den globala WHOIS-databasen. Den informationen ger en social manipulatör allt som behövs för att utge sig för att vara dig när den kontaktar din registrators support. WHOIS-integritet ersätter dina personliga kontaktuppgifter med generiska kontaktuppgifter från registratorn, vilket tar bort råmaterialet för den här sortens attack.
Alla detaljer om hur WHOIS-integritet fungerar och vad det skyddar finns i föregående kapitel om WHOIS-integritet. Om det inte redan är påslaget för din domän tar du bort ytterligare en risk genom att slå på det nu.
Registrera din domän hos en seriös registrator
Alla registratorer har inte samma säkerhetsstandard eller rutiner för kundsupport. En registrator med noggrann identitetskontroll, tydliga eskaleringsrutiner vid kontotvister och starkt 2FA-stöd är mindre benägen att lämna ut din domän till någon som utger sig för att vara dig än en som förlitar sig på minimal verifiering. Att registrera en domän hos en lågprisleverantör för att spara några kronor ger en säkerhetsavvägning som inte är värd att göra. Kapitlet om hur du registrerar en domän tar upp vad du bör titta på när du väljer registrator.
Förnya din domänregistrering innan den går ut
En utgången domän är en sårbar domän. När din registrering löper ut går domänen in i en respitperiod och blir sedan tillgänglig för vem som helst att registrera. Angripare bevakar utgående domäner, särskilt de med etablerade varumärken och bakåtlänkar, och registrerar dem i samma stund som de släpps. Då kräver återställningen att du förhandlar med den som registrerade den, vilket kan bli dyrt eller omöjligt.
Slå på automatisk förnyelse för varje domän du äger. Sätt en kalenderpåminnelse minst 60 dagar före utgång som reserv. Se till att betalningssättet du har registrerat är aktuellt så att automatisk förnyelse inte misslyckas utan att du märker det. Om du vill förstå hela tidslinjen för utgång och vad som händer i varje steg tar kapitlet om domänens utgångsdatum och hur du kontrollerar det upp varje fas i detalj. Kapitlet om hur du köper ett domännamn permanent täcker långsiktiga registreringsstrategier som minskar risken för utgång ytterligare.
Vad bör du göra om din domän har kapats?
Snabbhet är avgörande. Ju tidigare du agerar, desto större chans att få tillbaka den. Här är ordningen på åtgärderna.
Kontakta din registrators support direkt och rapportera den obehöriga överföringen. Lämna så mycket dokumentation du kan, inklusive ursprungliga registreringskvitton, betalningshistorik och all korrespondens som visar att du är den rättmätiga ägaren. Registratorer har rutiner för att hantera rapporter om kapning, och de kan ibland frysa eller återställa en överföring om den startades nyligen och inte är helt genomförd.
Om domänen redan har överförts till en annan registrator lämnar du in ett klagomål till ICANN via deras process för överföringstvister. Processen är särskilt utformad för att hantera obehöriga överföringar och kan kräva att en registrator återställer en. Den tar vanligtvis 30 till 60 dagar och kräver dokumentation av ägandet.
Dokumentera samtidigt allt. Ta skärmdumpar av ditt registratorkonto, alla mejl du fått och alla ändringar som syns i WHOIS. Dokumentationen stöder både ICANN-klagomålet och eventuella rättsliga åtgärder du behöver vidta.
Byt lösenord och slå på 2FA på ditt registratorkonto och din WHOIS-kontaktadress direkt, även om domänen redan har flyttats. Om en angripare har kapat de kontona exponerar du andra domäner du äger om du lämnar dem öppna, och angriparen kan störa varje återställningsförsök.
Hur lång tid tar återställning?
Återställningstiden varierar mycket beroende på hur snabbt du agerar, hur samarbetsvillig den mottagande registratorn är och om domänen har bytt händer mer än en gång. ICANN:s formella tvistprocess tar veckor till månader. Frivilligt samarbete från den mottagande registratorn kan snabba upp den, men det är inte garanterat. Rättsliga processer via domstolsbeslut tar ännu längre tid och har ingen garanti för framgång.
Det är svårare att återhämta sig från domänkapning än från de flesta säkerhetsincidenter eftersom det inte finns någon "ångra"-knapp. Ett kapat lösenord kan återställas. Ett hackat e-postkonto kan återfås. En överförd domän är under någon annans kontroll, på ett annat konto, möjligen hos en annan registrator i ett annat land. De ursprungliga registreringshandlingarna hjälper, men de räcker inte alltid i sig.
Därför spelar förebyggande steg större roll än återställningssteg. Målet är att göra det så svårt att kapa din domän att en angripare går vidare till ett lättare mål. Om du vill undvika de vanligaste misstagen som lämnar domäner exponerade från början tar kapitlet om domännamnsmisstag att undvika upp de bredare mönster som utsätter domänägare för risk.
Så hanterar WEMASY domänsäkerhet
När du registrerar en domän via WEMASY är överföringslåset påslaget som standard på alla domäner. WHOIS-integritet ingår i varje registrering utan extra kostnad. Din domänregistrering är kopplad direkt till ditt WEMASY-konto, som stöder tvåfaktorsautentisering, så åtkomst till din domänhantering kräver både ditt lösenord och din andra faktor.
Automatisk förnyelse är påslagen som standard för alla domäner som registreras via WEMASY, och påminnelser om förnyelse skickas 90, 60 och 30 dagar före utgång så att det inte finns någon risk att missa en förnyelse. Se vad som ingår i varje plan på WEMASY:s prissida.
Vanliga frågor om domänkapning
Kan en domän kapas även om jag inte har gjort något fel?
Ja. Kapning beror inte alltid på ägarens slarv. Ett dataintrång hos en tjänst där du återanvände ditt lösenord till registratorn, ett avancerat nätfiskemejl som var svårt att känna igen eller ett socialt manipulerande samtal till din registrators support kan alla lyckas även om du har varit försiktig. Därför är skydd i flera lager, inklusive registratorlås, 2FA och WHOIS-integritet, viktigt. Ingen enskild åtgärd är idiotsäker, men tillsammans gör de det betydligt svårare. Med WEMASY:s webbplatsbyggare kan du ställa in det direkt på din webbplats.
Förhindrar registratorlås alla typer av domänkapning?
Registratorlås förhindrar obehöriga överföringar till en annan registrator. Det hindrar inte en angripare som redan har kommit in på ditt registratorkonto från att ändra dina DNS-poster, namnservrar eller kontaktuppgifter. För fullständigt skydd behöver du registratorlås plus ett starkt lösenord, 2FA och en säker kontaktadress. Varje lager blockerar en annan typ av attack.
Vad är skillnaden mellan domänkapning och DNS-kapning?
Domänkapning överför ägandet av själva domänregistreringen. DNS-kapning ändrar vart domänen pekar utan att äganderätten överförs. Vid DNS-kapning ändrar angriparen DNS-posterna i ditt registratorkonto för att omdirigera trafik till en server som de kontrollerar, men ditt namn står kvar på registreringen. Båda är allvarliga, och båda kräver kontosäkerhet för att förebyggas. Registratorlås motverkar specifikt domänkapning genom att blockera överföringar. DNS-kapning förebyggs genom att skydda kontoåtkomsten med ett starkt lösenord och 2FA.
Om min domän kapas, avindexerar Google då min webbplats?
Inte direkt. Googles index speglar webbplatsens senast genomsökta tillstånd. Men om angriparen ändrar din DNS så att den pekar mot annat innehåll kommer Google så småningom att genomsöka det nya innehållet och uppdatera indexet. Om det nya innehållet bryter mot Googles riktlinjer kan en manuell åtgärd följa. Ju längre domänen är utom din kontroll, desto mer kan dina sökrankningar och din webbplats rykte försämras. Snabb handling är viktig för att skydda din närvaro i sökresultaten, inte bara åtkomsten till din webbplats.
Bör jag registrera min domän på samma ställe som jag har mitt webbhotell?
Det finns olika uppfattningar om det. Att ha domän och webbhotell tillsammans förenklar hanteringen och minskar antalet konton du behöver säkra. Vissa varumärken föredrar att registrera domänen separat från webbhotellet som försiktighetsåtgärd, så att ett intrång på det ena kontot inte direkt exponerar båda. Båda sätten kan göras säkra med god kontohygien. Om du har dem tillsammans är prioriteten att se till att det delade kontot har ett starkt lösenord, 2FA påslaget och registratorlås på.
Nästa kapitel handlar om SSL-certifikat och domäner, inklusive vad ett SSL-certifikat gör, hur det hänger ihop med din domän och varför det påverkar hur besökare och webbläsare uppfattar din webbplats.