Domänkapning är när någon får obehörig kontroll över ett domännamn som tillhör dig. De tar det från ditt registratorkonto, flyttar det till sig själva, och plötsligt tillhör din webbplats, din e-post och din onlineidentitet någon annan. Det kan ske på några timmar, och att ångra det kan ta månader.
Kapning av ett domännamn är inte detsamma som att registrera ett namn som liknar ditt. Det kallas domänspekulation. Kapning riktar sig mot en domän som du redan äger, en som du kanske har byggt ditt varumärke kring i flera år. Angriparens mål är att ta det du har byggt upp och använda det mot dig.
Hur skiljer sig domänkapning från domänspekulation?
Domänspekulation är när någon registrerar ett domännamn som hen inte tänker använda, oftast för att det matchar ett välkänt varumärke eller ett populärt sökord. Spekulanten hoppas kunna sälja namnet med vinst senare. Det är irriterande, men det rör ingenting som du redan äger.
Domänkapning är ett direkt angrepp på din befintliga egendom. Angriparen bryter sig in på ditt registratorkonto eller lurar din registrator att lämna över kontrollen. När flytten har gått igenom äger hen din domän. Din webbplats går offline. Din e-post slutar fungera. Dina besökare hamnar på en sida som du inte har byggt. Skillnaden mellan spekulation och kapning är som skillnaden mellan att någon parkerar på din reserverade plats och att någon stjäl din bil.
Hur går domänkapning till?
Kaparna tar sig nästan alltid in via en av fyra metoder. Var och en utnyttjar en olika svaghet, och de flesta domänägare har minst en av de här luckorna öppen just nu.
Nätfiskemejl
Den vanligaste metoden är ett falskt mejl som ser ut att komma från din domänregistrator. Meddelandet varnar för att din domän snart går ut, att det finns misstänkt aktivitet på ditt konto eller att du behöver verifiera din identitet. En länk i mejlet tar dig till en inloggningssida som ser identisk ut med den riktiga. När du anger dina inloggningsuppgifter fångar angriparen upp dem och loggar in på ditt riktiga konto. Därifrån startar hen en flytt och för över din domän innan du hinner märka något.
Äventyrade e-postkonton
Varje registratorkonto är kopplat till en e-postadress. Om en angripare tar sig in på den e-posten kan hen återställa ditt registratorlösenord med länken "glömt lösenord". Hen behöver inte dina inloggningsuppgifter till registratorn alls. Hen behöver bara komma åt inkorgen som tar emot återställningslänken. Ett svagt lösenord på ditt e-postkonto är en bakdörr till din domän.
Svaga eller återanvända lösenord
Angripare använder automatiska verktyg som testar stulna kombinationer av användarnamn och lösenord från dataintrång på hundratals webbplatser, däribland domänregistratorer. Om du använde samma lösenord hos din registrator som på något annat konto som någon gång har blivit hackat är din domän utsatt. Det spelar ingen roll hur starkt lösenordet kändes när du skapade det. Om det finns i en läckt databas är det redan äventyrat.
Social manipulation
Vissa kapare hoppar över den tekniska vägen helt och ringer din registrators support. De utger sig för att vara du. De påstår att de har förlorat åtkomsten till sitt konto och ber supporten att nollställa inloggningsuppgifterna eller godkänna en flytt. Om dina personuppgifter syns i den offentliga WHOIS-databasen har angriparen redan ditt namn, din e-post och din adress för att stärka historien. Det är ett av de starkaste argumenten för att aktivera WHOIS-skydd på varje domän du äger.
Vad händer efter att en domän har kapats?
Skadan börjar direkt och sprider sig snabbt.
Din webbplats går offline i samma stund som angriparen ändrar DNS-inställningarna. Besökare som skriver din adress får en felsida, en blank skärm eller, värre, en sida som angriparen har byggt. Om angriparen lägger ut något bedrägligt är ditt varumärkesnamn nu kopplat till det.
Din e-post slutar fungera. Meddelanden som skickas till din domän studsar eller går direkt till angriparens inkorg. Det gäller även mejl för lösenordsåterställning från alla tjänster som är kopplade till din domänmejl. När angriparen kontrollerar din e-post kan hen komma åt dina konton i sociala medier, betalningsleverantörer och alla plattformar som använder den adressen för kontoåterställning.
Skadan för varumärket växer snabbt. Kunder som försöker nå dig kommer inte fram. Partners som skickar mejl får inget svar. Om angriparen håller domänen tillräckligt länge börjar dina sökplaceringar sjunka. Länkar som andra webbplatser har byggt till ditt innehåll pekar nu mot någon annans sida. Ju längre du är utelåst, desto svårare blir det att återta din position.
I vissa fall av domänkapning kontaktar angriparen ägaren och kräver betalning för att lämna tillbaka domänen. I andra fall säljer hen den vidare till en tredje part som kanske inte vet att den är stulen. Hur som helst står den ursprungliga ägaren handfallen.
Kan du få tillbaka en kapad domän?
Ibland. Men processen är långsam, osäker och aldrig garanterad.
Det första steget är att kontakta din registrator direkt och anmäla den obehöriga flytten. Om flytten fortfarande pågår kan registratorn kanske frysa eller vända den. Snabbhet är avgörande här. Varje timme du väntar gör det svårare att få tillbaka domänen.
Om domänen redan har flyttats till en annan registrator kan du lämna in ett klagomål enligt ICANN:s Transfer Dispute Resolution Policy. Processen är gjord för att hantera obehöriga flyttar, men den tar allt från 30 till 60 dagar. Du behöver dokumentation som visar att du är den rättmätiga ägaren, bland annat ursprungliga registreringskvitton, betalningsunderlag och korrespondens från registratorn.
Rättsliga åtgärder är ett annat alternativ, men de är dyra och långsamma. Domstolsbeslut kan tvinga en registrator att lämna tillbaka en domän, men om domänen har flyttats till en registrator i ett annat land gör frågor om behörig domstol det svårt att genomdriva. Vissa stulna domäner säljs vidare flera gånger, vilket skapar en ägarkedja som är svår att reda ut.
Den ärliga verkligheten är att många kapade domäner aldrig återfås. Processen gynnar förebyggande åtgärder framför att rätta till i efterhand.
Hur ser verkliga scenarier med domänkapning ut?
Tänk dig ett litet e-handelsvarumärke som säljer via sin webbplats. En morgon öppnar grundaren sin dator och webbplatsen ligger nere. Lösenordet till registratorkontot har ändrats. Domänen pekar nu mot en sida på ett främmande språk. Kundmejl studsar. Pågående beställningar kan inte levereras eftersom bekräftelsemejlen från betalningsleverantören går till en inkorg som grundaren inte längre kontrollerar.
Eller ta ett tjänsteföretag som är beroende av e-post för kundkontakten. En angripare tar över domänen via ett äventyrat e-postkonto. Angriparen får nu varje mejl som skickas till varumärket, inklusive fakturor, avtal och kunddata. Varumärket förstår inte vad som har hänt på två dagar eftersom webbplatsen fortfarande laddas från en cachad version i webbläsaren.
I ett annat vanligt scenario låter en domänägare sin registrering löpa ut av misstag. En angripare som bevakar utgående domäner registrerar den inom några minuter. Tekniskt sett är det inte kapning, men resultatet är detsamma. Varumärket förlorar sin webbadress och har inget rättsligt anspråk eftersom registreringen gick ut.
De här exemplen har en sak gemensamt. Skadan gick längre än att förlora en webbplats. Den drabbade e-posten, kundernas förtroende, intäkterna och i vissa fall datasäkerheten.
Hur skyddar du dig mot domänkapning?
Förebyggande handlar om att stänga de fyra ingångar som angriparna använder. Här är en snabb sammanfattning.
Aktivera domänlåsning (även kallad flyttlås) på varje domän du äger. Det blockerar alla flyttbegäranden om du inte själv stänger av låset. Använd ett starkt, unikt lösenord till ditt registratorkonto och aktivera tvåfaktorsautentisering så att ett stulet lösenord inte räcker. Håll din WHOIS-kontaktmejl säker med ett eget starkt lösenord och tvåfaktorsautentisering. Aktivera WHOIS-skydd för att förhindra attacker med social manipulation.
För en fullständig genomgång steg för steg av varje skyddsåtgärd, läs kapitlet om hur du skyddar din domän mot kapning. Den guiden går igenom varje försvarslager i detalj.
Hur skyddar WEMASY mot domänkapning?
Domäner som registreras via WEMASY har flyttlås aktiverat som standard. WHOIS-skydd ingår utan extra kostnad vid varje registrering, så dina personuppgifter syns aldrig i den offentliga databasen. Din domänhantering är kopplad till ditt WEMASY-konto, som stödjer tvåfaktorsautentisering.
Automatisk förnyelse är påslagen som standard, och WEMASY skickar förnyelsepåminnelser 90, 60 och 30 dagar före utgångsdatumet. Det tar bort risken att förlora en domän för att en registrering tyst löpte ut. Mer om funktioner för domänsäkerhet och vad som ingår i varje paket hittar du på WEMASYs prissida.
Vanliga frågor om domänkapning
Är domänkapning olagligt?
Ja. Domänkapning betraktas i de flesta länder som en form av identitetsstöld eller bedrägeri. Det strider mot ICANN:s regler och kan leda till åtal beroende på land. Men tillämpningen varierar mycket. Att bevisa kapningen och få rättsvårdande myndigheter att agera kan vara svårt, särskilt när angriparen verkar över landsgränser. Den juridiska vägen finns, men den är sällan snabb. Med WEMASYs webbplatsbyggare kan du ställa in det direkt på din webbplats.
Hur lång tid tar det att få tillbaka en kapad domän?
Om din registrator upptäcker den obehöriga flytten innan den är klar kan det ta några dagar. Om domänen redan har flyttats till en annan registrator tar ICANN:s tvistlösning oftast 30 till 60 dagar. Rättsliga processer kan ta flera månader eller längre. I vissa fall återfås domänen aldrig. Hur snabbt du reagerar är den enskilt viktigaste faktorn för om du lyckas.
Kan tvåfaktorsautentisering förhindra domänkapning helt?
Tvåfaktorsautentisering gör kapning betydligt svårare, men ingen enskild åtgärd förhindrar den helt. En angripare som tar över ditt telefonnummer genom ett SIM-byte kan fånga upp SMS-koder. Autentiserare i appar är säkrare men beror fortfarande på att enheten är trygg. Det starkaste skyddet kombinerar tvåfaktorsautentisering med domänlåsning, ett unikt lösenord och WHOIS-skydd. Varje lager blockerar en annan angreppsmetod.
Vad är skillnaden mellan domänkapning och DNS-kapning?
Vid domänkapning flyttas ägandet av själva domänregistreringen. Angriparen blir den registrerade ägaren. Vid DNS-kapning ändras vart domänen pekar utan att ägandet flyttas. Ditt namn står kvar på registreringen, men dina besökare skickas till en server som angriparen kontrollerar. Båda är allvarliga, men domänkapning är svårare att vända eftersom angriparen håller registreringen.
Meddelar WEMASY dig om någon försöker flytta din domän?
Ja. När en flyttbegäran startas för en domän som är registrerad via WEMASY skickas ett bekräftelsemejl till domänägarens kontaktadress. Med flyttlåset aktiverat som standard avvisas begäran automatiskt om inte ägaren själv har stängt av låset. Då hinner du undersöka varje obehörigt försök innan någon ändring träder i kraft.
Nästa kapitel går igenom domänstöld mer i detalj, bland annat hur stulna domäner hamnar på andrahandsmarknaden och vilka rättsliga möjligheter som finns för ägare som förlorar sina domäner för gott.