Domænekapring er, når nogen får uautoriseret kontrol over et domænenavn, der tilhører dig. De tager det fra din konto hos udbyderen, flytter det til sig selv, og pludselig tilhører din hjemmeside, din e-mail og din online identitet en anden. Det kan ske i løbet af få timer, og det kan tage måneder at rette op på.
Kapring af domænenavne er ikke det samme som at registrere et navn, der ligner dit. Det kaldes domænespekulation. Kapring går efter et domæne, du allerede ejer, og som du måske har brugt år på at bygge et brand omkring. Angriberens mål er at tage det, du har bygget, og bruge det imod dig.
Hvordan er domænekapring forskellig fra domænespekulation?
Domænespekulation er, når nogen registrerer et domænenavn, de ikke har planer om at bruge, som regel fordi det passer til et kendt brand eller et populært søgeord. Spekulanten håber at sælge navnet med fortjeneste senere. Det er irriterende, men det rører ikke ved noget, du allerede ejer.
Domænekapring er et direkte angreb på din eksisterende ejendom. Angriberen bryder ind på din konto hos udbyderen eller snyder udbyderen til at give kontrollen fra sig. Når flytningen er gennemført, ejer de dit domæne. Din hjemmeside går offline. Din e-mail holder op med at virke. Dine besøgende lander på en side, du ikke har bygget. Forskellen på spekulation og kapring er forskellen på, at nogen parkerer på din reserverede plads, og at nogen stjæler din bil.
Hvordan sker domænekapring?
Kaprere kommer næsten altid ind på en af fire måder. Hver af dem udnytter en forskellig svaghed, og de fleste domæneejere har mindst et af de huller åbent lige nu.
Phishing-mails
Den mest almindelige metode er en falsk e-mail, der ligner, at den kommer fra din domæneudbyder. Beskeden advarer om, at dit domæne snart udløber, at der er mistænkelig aktivitet på din konto, eller at du skal bekræfte din identitet. Et link i e-mailen fører dig til en loginside, der ser helt ens ud med den rigtige. Når du taster dine loginoplysninger ind, fanger angriberen dem og logger ind på din rigtige konto. Derfra starter vedkommende en flytning og flytter dit domæne, før du opdager det.
Kompromitterede e-mailkonti
Hver konto hos en udbyder er knyttet til en e-mailadresse. Får en angriber adgang til den e-mail, kan vedkommende nulstille din adgangskode hos udbyderen med linket "glemt adgangskode". Angriberen har slet ikke brug for dine loginoplysninger hos udbyderen. Vedkommende skal bare have adgang til den indbakke, der modtager linket til nulstilling. En svag adgangskode til din e-mail er en bagdør til dit domæne.
Svage eller genbrugte adgangskoder
Angribere bruger automatiske værktøjer, der afprøver stjålne kombinationer af brugernavn og adgangskode fra databrud på hundredvis af hjemmesider, også hos domæneudbydere. Brugte du den samme adgangskode hos din udbyder, som du brugte på en anden konto, der nogensinde er blevet brudt, er dit domæne udsat. Det er lige meget, hvor stærk adgangskoden føltes, da du lavede den. Findes den i en lækket database, er den allerede kompromitteret.
Social engineering
Nogle kaprere springer den tekniske vej helt over og ringer til din udbyders support. De udgiver sig for at være dig. De siger, at de har mistet adgangen til deres konto, og beder supporten nulstille loginoplysningerne eller godkende en flytning. Er dine personlige oplysninger synlige i den offentlige WHOIS-database, har angriberen allerede dit navn, din e-mail og din adresse til at understøtte historien. Det er et af de stærkeste argumenter for at slå WHOIS-beskyttelse til på hvert domæne, du ejer.
Hvad sker der, når et domæne er blevet kapret?
Skaden begynder med det samme og spreder sig hurtigt.
Din hjemmeside går offline i det øjeblik, angriberen ændrer DNS-indstillingerne. Besøgende, der skriver din adresse, får en fejlside, en blank skærm eller, værre endnu, en side, angriberen har bygget. Sætter angriberen noget svigagtigt op, hænger dit brandnavn nu på det.
Din e-mail holder op med at virke. Beskeder til dit domæne bliver afvist eller går direkte til angriberens indbakke. Det omfatter e-mails om nulstilling af adgangskode fra alle tjenester, der er knyttet til din domæne-e-mail. Når de styrer din e-mail, kan de få adgang til dine konti på sociale medier, betalingsudbydere og alle platforme, der bruger den adresse til at genoprette login.
Skaden på dit brand hober sig hurtigt op. Kunder, der prøver at få fat i dig, kan ikke. Partnere, der sender e-mails, får intet svar. Holder angriberen domænet længe nok, begynder dine placeringer i søgning at falde. Links, som andre sider har lavet til dit indhold, peger nu på en andens side. Jo længere du er låst ude, jo sværere er det at vinde din position tilbage.
I nogle eksempler på domænekapring kontakter angriberen ejeren og kræver betaling for at give domænet tilbage. I andre sælger de det til en tredjepart, som måske slet ikke ved, at det er stjålet. Uanset hvad står den oprindelige ejer tilbage og kæmper.
Kan du få et kapret domæne tilbage?
Nogle gange. Men forløbet er langsomt, usikkert og aldrig garanteret.
Første skridt er at kontakte din udbyder med det samme og melde den uautoriserede flytning. Er flytningen stadig i gang, kan udbyderen måske fryse eller omgøre den. Hurtighed er vigtig her. Hver time du venter, gør det sværere at få det tilbage.
Er domænet allerede flyttet til en anden udbyder, kan du indgive en klage gennem ICANNs Transfer Dispute Resolution Policy. Den proces er lavet til at håndtere uautoriserede flytninger, men den tager fra 30 til 60 dage. Du skal bruge dokumentation for, at du er den rette ejer, blandt andet de oprindelige kvitteringer for registreringen, betalingsoversigter og korrespondance fra udbyderen.
Retssager er en anden mulighed, men de er dyre og langsomme. Kendelser fra en domstol kan tvinge en udbyder til at give et domæne tilbage, men er domænet flyttet til en udbyder i et andet land, gør spørgsmål om retskreds det besværligt at håndhæve. Nogle stjålne domæner bliver solgt videre flere gange, så der opstår en kæde af ejere, der er svær at rede ud.
Den ærlige virkelighed er, at mange kaprede domæner aldrig bliver fået tilbage. Forløbet favoriserer forebyggelse frem for helbredelse.
Hvordan ser virkelige scenarier med domænekapring ud?
Forestil dig et lille webshopbrand, der sælger gennem sin hjemmeside. En morgen åbner grundlæggeren sin computer, og hjemmesiden er nede. Adgangskoden til kontoen hos udbyderen er blevet ændret. Domænet peger nu på en side på et fremmed sprog. Kunders e-mails bliver afvist. Ordrer, der var i gang, kan ikke gennemføres, fordi betalingsudbyderens e-mails med bekræftelse går til en indbakke, grundlæggeren ikke længere styrer.
Eller tænk på et servicebrand, der er afhængigt af e-mail til kommunikation med kunder. En angriber overtager domænet gennem en kompromitteret e-mailkonto. Angriberen modtager nu hver eneste e-mail, der sendes til brandet, også fakturaer, kontrakter og kundedata. Brandet opdager ikke, hvad der er sket, i to dage, fordi hjemmesiden stadig åbner fra en gemt version i browseren.
I et andet almindeligt scenarie lader en domæneejer ved et uheld sin registrering udløbe. En angriber, der holder øje med udløbne domæner, registrerer det inden for få minutter. Teknisk set er det ikke kapring, men resultatet er det samme. Brandet mister sin webadresse og har intet juridisk krav, fordi registreringen var udløbet.
De eksempler har alle en rød tråd. Skaden gik ud over tabet af en hjemmeside. Den ramte e-mail, kundernes tillid, omsætning og i nogle tilfælde datasikkerheden.
Hvordan beskytter du dig mod domænekapring?
Forebyggelse handler om at lukke de fire indgange, angribere bruger. Her er et kort overblik.
Slå domænelås (også kaldet flyttelås) til på hvert domæne, du ejer. Den blokerer for, at forespørgsler om flytning går igennem, medmindre du selv slår låsen fra. Brug en stærk, unik adgangskode til din konto hos udbyderen og slå tofaktorgodkendelse til, så en stjålet adgangskode alene ikke er nok. Hold din WHOIS-kontakt-e-mail sikret med sin egen stærke adgangskode og tofaktorgodkendelse. Slå WHOIS-beskyttelse til for at forhindre angreb med social engineering.
Vil du have den fulde gennemgang trin for trin af hver beskyttelse, så læs kapitlet om sådan beskytter du dit domæne mod kapring. Den guide dækker hvert lag af forsvaret i detaljer.
Hvordan hjælper WEMASY mod domænekapring?
Domæner, du registrerer gennem WEMASY, styrer du fra din WEMASY-konto, så du har ét sted at holde øje med dit domæne og ét sæt loginoplysninger at beskytte. Brug en stærk, unik adgangskode til kontoen og hold den e-mail, der er knyttet til den, sikret.
Slå automatisk fornyelse til og hold din betalingsmetode ajour, så du ikke mister et domæne, fordi en registrering stille og roligt udløb. Læs mere om domænesikkerhed og om, hvad der er med i de enkelte pakker, på WEMASY-priser.
Ofte stillede spørgsmål om domænekapring
Er domænekapring ulovligt?
Ja. Domænekapring regnes de fleste steder for en form for identitetstyveri eller svindel. Det overtræder ICANNs regler og kan give straf, afhængigt af landet. Men håndhævelsen varierer meget. Det kan være svært at bevise kapringen og få politiet til at handle, især når angriberen opererer på tværs af landegrænser. Den juridiske vej findes, men den er sjældent hurtig. Med WEMASYs hjemmesidebygger kan du sætte det op direkte på din hjemmeside.
Hvor lang tid tager det at få et kapret domæne tilbage?
Fanger din udbyder den uautoriserede flytning, før den er færdig, kan det tage nogle dage at få det tilbage. Er domænet allerede flyttet til en anden udbyder, tager ICANNs klageproces typisk 30 til 60 dage. Retssager kan tage flere måneder eller længere. I nogle tilfælde bliver domænet aldrig fået tilbage. Hvor hurtigt du reagerer fra start, er den enkelte største faktor for, om det lykkes.
Kan tofaktorgodkendelse forhindre domænekapring helt?
Tofaktorgodkendelse gør kapring markant sværere, men ingen enkelt foranstaltning forhindrer det helt. En angriber, der kompromitterer dit telefonnummer med et SIM-skift, kan opfange koder, der sendes til telefonen. Godkendelsesapps er mere sikre, men afhænger stadig af, at enheden er sikker. Den stærkeste beskyttelse kombinerer tofaktorgodkendelse med domænelås, en unik adgangskode og WHOIS-beskyttelse. Hvert lag blokerer en forskellig angrebsmetode.
Hvad er forskellen på domænekapring og DNS-kapring?
Ved domænekapring skifter selve ejerskabet af domæneregistreringen. Angriberen bliver den registrerede ejer. Ved DNS-kapring ændres det, domænet peger på, uden at ejerskabet flyttes. Dit navn står stadig på registreringen, men dine besøgende bliver sendt til en server, angriberen styrer. Begge dele er alvorlige, men domænekapring er sværere at rette op på, fordi angriberen har registreringen.
Hvordan beskytter flyttelåsen mod, at nogen flytter dit domæne?
Så længe flyttelåsen er slået til, bliver forespørgsler om flytning afvist, medmindre ejeren selv har slået låsen fra. Tjek i dine domæneindstillinger, at låsen er slået til, og hold øje med e-mails til din kontaktadresse. Så har du tid til at undersøge ethvert uautoriseret forsøg, før noget bliver ændret.
Næste kapitel handler mere om domænetyveri, blandt andet hvordan stjålne domæner ender på det sekundære marked, og hvilke juridiske muligheder ejere har, når de mister deres domæner for altid.