Følgerne af at miste et domæne er umiddelbare og alvorlige. Din hjemmeside går ned, din e-mail holder op med at virke, og alle besøgende, der taster din adresse, lander et sted, du ikke har kontrol over. For et brand, der har bygget sit omdømme op omkring et bestemt navn, rækker skaden langt ud over den tekniske forstyrrelse. Det er muligt at få et kapret domæne tilbage, men det er langsomt, usikkert og lykkes nogle gange ikke. Den langt bedre vej er at gøre kapring svær fra starten.
Hvad er domænekapring?
Domænekapring er, når nogen overtager kontrollen over et domæne, du ejer, uden din tilladelse. Angriberen overfører enten domænet til en anden registrator, flytter domænets ejerskab til en anden konto eller gør begge dele efter hinanden. Når overførslen er gennemført, mister du muligheden for at styre domænet, forny det eller pege det mod din server.
Det er noget andet end domænespekulation, hvor nogen registrerer et navn, der ligner dit. Kapring rammer et domæne, du allerede ejer og har bygget dit brand op omkring. Angriberens mål er som regel at sælge domænet tilbage til dig til en oppustet pris, holde det som gidsel, omdirigere din trafik eller overtage din e-mail for at få adgang til andre konti, der er knyttet til den adresse.
For at forstå, hvorfor det er muligt, er det en hjælp at vide, hvordan en domæneoverførsel normalt foregår. Når du flytter et domæne fra én registrator til en anden, angiver du en autorisationskode og bekræfter anmodningen. Overførslen tager flere dage og kan annulleres i den periode. Kaprere udnytter processen ved at komme ind på din registratorkonto eller din mailadresse, godkende overførslen selv og gennemføre den, før du opdager, at noget er galt. Du kan læse mere om, hvordan overførslen foregår, i kapitlet om hvad en domæneoverførsel er.
Hvordan sker domænekapring?
Kapring starter næsten altid fra en af fire indgange. At lukke alle fire er måden, du beskytter dig på.
Phishingangreb mod dit login hos registratoren
Den mest almindelige metode er en phishingmail, der efterligner en besked fra din domæneregistrator. Beskeden kan advare om, at dit domæne snart udløber, at der er opdaget et mistænkeligt login, eller at du skal bekræfte din konto. Linket i mailen fører til en falsk loginside, der opfanger dit brugernavn og din adgangskode. Med de oplysninger logger angriberen ind på din rigtige konto og starter en overførsel.
Phishingmails mod domæneejere er blevet meget overbevisende. De kopierer præcis registratorens udseende og sprog. Det eneste pålidelige forsvar er aldrig at klikke på links i mails, der beder dig logge ind. Åbn i stedet din registrators hjemmeside direkte fra din browser og tjek din konto derfra.
Kompromitterede mailkonti
Din registratorkonto er kun så sikker som den mailadresse, der er knyttet til den. Får en angriber adgang til din mail, kan vedkommende bruge funktionen "glemt adgangskode" hos din registrator til at nulstille dit login og overtage din konto. Derfor er din kontaktmail hos registratoren en af de mest følsomme ting, du ejer. En svag eller genbrugt adgangskode på den mailkonto er en direkte vej til dit domæne.
Svage eller genbrugte adgangskoder
En svag adgangskode på din registratorkonto er en åben invitation. Angribere bruger automatiske værktøjer, der tager kombinationer af brugernavn og adgangskode, som er lækket i andre databrud, og automatisk prøver dem på registratorers loginsider. Genbruger du en adgangskode fra en hvilken som helst anden tjeneste, der nogensinde er blevet kompromitteret, er dit domæne i fare.
Social engineering
Nogle kaprere springer de tekniske metoder helt over og kontakter din registrators kundesupport direkte, hvor de udgiver sig for at være dig. De siger, at de har mistet adgangen til deres konto, og beder supporten nulstille loginoplysningerne. Er dine kontaktoplysninger i WHOIS offentligt synlige, har de allerede dit navn, din mail og din adresse til at støtte deres påstand. Det er en af grundene til, at WHOIS-beskyttelse betyder noget for domænesikkerheden, et emne, der er dækket i forrige kapitel om hvad WHOIS-beskyttelse er.
Hvad er følgerne af domænekapring?
Følgerne af en vellykket kapring rækker længere end selve domænet. Din hjemmeside går offline i det øjeblik, angriberen ændrer DNS-indstillingerne. Besøgende får fejl eller lander på en side, du ikke har lavet. Mail til dit domæne bliver enten afvist eller går til angriberens indbakke, også mails om nulstilling af adgangskode fra alle tjenester, du har knyttet til den adresse. Alle konti, der bruger din domænemail, bliver udsat.
Skaden på dit brand vokser hurtigt. Kunder, der prøver at nå dig, kan ikke. Partnere, der sender mails, får ikke svar. Sætter angriberen en svigagtig side op på dit domæne, kan besøgende blive snydt eller få stjålet deres data, og dit brandnavn bliver forbundet med den oplevelse.
At få domænet tilbage gennem ICANNs tvistproces eller en retskendelse kan tage uger til måneder. Der er ingen garanti for at få det tilbage. Nogle domæner bliver overført til registratorer i lande, hvor det er svært at føre tvister, og nogle angribere sælger domæner videre så hurtigt, at sporet bliver kompliceret. Jo længere det tager at få domænet tilbage, jo mere forringes brandets placeringer i søgning og e-mailomdømme.
Hvordan forebygger du domænekapring?
Forebyggelse er ligetil. Hver af foranstaltningerne herunder lukker en af de indgange, angribere bruger. Sammen gør de det markant sværere at kapre dit domæne end at gå efter en, der ikke har taget de skridt.
Hold registratorlåsen (overførselslåsen) slået til
Registratorlås, også kaldet overførselslås eller domænelås, er en statusindstilling, der forhindrer, at dit domæne overføres til en anden registrator, før du udtrykkeligt slår den fra. Når låsen er slået til, afvises enhver overførselsanmodning automatisk. De fleste registratorer har funktionen, men lader den være slået fra som standard, hvilket er det modsatte af, hvad du vil have.
Log ind på din registratorkonto lige nu og tjek, om dit domænes lås er slået til. Er den slået fra, så slå den til. Det eneste tidspunkt, du skal slå den fra, er når du selv er i gang med at overføre domænet, og du skal slå den til igen i det øjeblik, overførslen er færdig.
Brug en stærk, unik adgangskode til din registratorkonto
Adgangskoden til din registratorkonto skal være lang, tilfældig og ikke bruges andre steder. En adgangskodemanager gør det nemt. Lav en adgangskode på mindst 16 tegn og gem den i en adgangskodemanager frem for at skrive den ned eller prøve at huske den. Genbrug aldrig en adgangskode fra en anden tjeneste til dit login hos registratoren.
Slå tofaktorlogin til på din registratorkonto
Tofaktorlogin (2FA) kræver et ekstra bevis, typisk en kode fra en godkendelsesapp, ud over din adgangskode, når du logger ind. Selv hvis en angriber får din adgangskode gennem et phishingangreb eller et databrud, kan vedkommende ikke komme ind på din konto uden også at have kontrol over din anden faktor. De fleste store registratorer understøtter 2FA. Gør din ikke det, er det en grund til at overveje at skifte til en, der gør.
Brug en godkendelsesapp frem for verificering via SMS, hvor det er muligt. SMS-koder kan opfanges i angreb, hvor nogen snyder din mobiludbyder til at flytte dit telefonnummer til en enhed, de selv kontrollerer. En app til godkendelse er mere modstandsdygtig over for det.
Hold din kontaktmail i WHOIS sikker og tilgængelig
Mailadressen i dit domænes WHOIS-post er den adresse, din registrator bruger til at sende bekræftelsesanmodninger om overførsel. Starter en angriber en overførsel, går en bekræftelsesmail til den adresse. Har du ikke længere adgang til adressen, eller kontrollerer angriberen den, kan overførslen gå igennem uden din viden.
Brug en dedikeret mailadresse til din domæneregistrering, ikke en privat mail, du kan komme til at opgive, eller en fælles indbakke, som andre har adgang til. Sørg for, at kontoen har en stærk adgangskode og 2FA slået til. Tjek den så ofte, at du ville opdage en bekræftelsesmail om overførsel, før overførselsperioden er slut.
Slå WHOIS-beskyttelse til for at mindske risikoen for social engineering
Når WHOIS-beskyttelse er slået fra, kan dit navn, din mailadresse, dit telefonnummer og din postadresse søges offentligt i den globale WHOIS-database. De oplysninger giver en social engineer alt, vedkommende skal bruge for at udgive sig for at være dig over for din registrators support. WHOIS-beskyttelse erstatter dine personlige kontaktoplysninger med registratorens generelle kontaktoplysninger og fjerner råmaterialet til den slags angreb.
Alle detaljer om, hvordan WHOIS-beskyttelse virker, og hvad den beskytter, står i forrige kapitel om WHOIS-beskyttelse. Er den ikke allerede slået til på dit domæne, fjerner du en risiko mere ved at gøre det nu.
Registrer dit domæne hos en troværdig registrator
Ikke alle registratorer har samme sikkerhedsstandarder eller supportpraksis. En registrator med streng identitetskontrol, klare procedurer for tvister om konti og stærk understøttelse af 2FA er mindre tilbøjelig til at udlevere dit domæne til en, der udgiver sig for at være dig, end en, der stoler på minimal kontrol. At registrere et domæne hos en billigudbyder for at spare nogle få kroner giver en sikkerhedsafvejning, der ikke er det værd. Kapitlet om hvordan du registrerer et domæne handler om, hvad du skal kigge efter, når du vælger registrator.
Forny din domæneregistrering, før den udløber
Et udløbet domæne er et sårbart domæne. Når din registrering udløber, går domænet ind i en respitperiode og bliver derefter ledigt for alle at registrere. Angribere overvåger udløbende domæner, især dem med etablerede brands og backlinks, og registrerer dem i det øjeblik, de bliver ledige. På det tidspunkt kræver det at få domænet tilbage, at du forhandler med den, der har registreret det, hvilket kan være dyrt eller umuligt.
Slå automatisk fornyelse til på alle domæner, du ejer. Sæt en kalenderpåmindelse mindst 60 dage før udløb som backup. Sørg for, at din betalingsmetode er aktuel, så automatisk fornyelse ikke fejler i det stille. Vil du forstå hele tidslinjen for udløb og hvad der sker i hvert trin, gennemgår kapitlet om hvad domæneudløb er, og hvordan du tjekker det hver fase i detaljer. Kapitlet om hvordan du køber et domænenavn permanent handler om langsigtede registreringsstrategier, der mindsker risikoen for udløb endnu mere.
Hvad skal du gøre, hvis dit domæne er blevet kapret?
Hastighed betyder noget. Jo hurtigere du handler, jo bedre er chancen for at få det tilbage. Her er rækkefølgen af, hvad du skal gøre.
Kontakt din registrators support med det samme og meld den uautoriserede overførsel. Giv så meget dokumentation som muligt, blandt andet de oprindelige registreringskvitteringer, betalingshistorik og al korrespondance, der viser dig som den retmæssige ejer. Registratorer har procedurer til at håndtere meldinger om kapring, og de kan nogle gange fryse eller vende en overførsel, hvis den er startet for nylig og ikke er helt færdig.
Er domænet allerede overført til en anden registrator, så indgiv en klage til ICANN gennem deres tvistproces for overførsler. Processen er lavet specifikt til at håndtere uautoriserede overførsler og kan kræve, at en registrator vender en. Den tager typisk 30 til 60 dage og kræver dokumentation for ejerskab.
Dokumentér samtidig alt. Tag skærmbilleder af din registratorkonto, alle mails, du har fået, og alle ændringer, der er synlige i WHOIS. Den dokumentation støtter både ICANN-klagen og ethvert retsligt skridt, du måtte få brug for.
Skift adgangskode og slå 2FA til på din registratorkonto og på din kontaktmail i WHOIS med det samme, selv hvis domænet allerede er flyttet. Har en angriber kompromitteret de konti, udsætter det andre domæner, du ejer, og angriberen kan forstyrre ethvert forsøg på at få domænet tilbage.
Hvor lang tid tager det at få domænet tilbage?
Tiden varierer meget, afhængigt af hvor hurtigt du handler, hvor samarbejdsvillig den modtagende registrator er, og om domænet har skiftet hænder mere end én gang. ICANNs formelle tvistproces tager uger til måneder. Frivilligt samarbejde fra den modtagende registrator kan fremskynde det, men er ikke garanteret. Retssager gennem en retskendelse tager endnu længere tid og er ikke sikre at vinde.
Det er sværere at komme sig over domænekapring end over de fleste sikkerhedshændelser, fordi der ikke er nogen "fortryd"-knap. En kompromitteret adgangskode kan nulstilles. En hacket mailkonto kan genoprettes. Et overført domæne er under en andens kontrol, på en anden konto, måske hos en anden registrator i et andet land. De oprindelige registreringsdokumenter hjælper, men de er ikke altid nok i sig selv.
Derfor betyder forebyggelsestrinene ovenfor mere end trinene til at få domænet tilbage. Målet er at gøre det så svært at kapre dit domæne, at en angriber går videre til et nemmere mål. Vil du undgå de mest almindelige fejl, der lader domæner stå åbne fra start, handler kapitlet om fejl med domænenavne, du bør undgå om de bredere mønstre, der udsætter domæneejere for risiko.
Sådan håndterer WEMASY domænesikkerhed
Når du registrerer et domæne gennem WEMASY, er overførselslåsen slået til som standard på alle domæner. WHOIS-beskyttelse er med i hver registrering uden ekstra omkostning. Din domæneregistrering er knyttet direkte til din WEMASY-konto, så du styrer domænet fra det samme login som din hjemmeside.
Automatisk fornyelse er slået til som standard for alle domæner registreret gennem WEMASY, og der sendes fornyelsespåmindelser 90, 60 og 30 dage før udløb, så der ikke er risiko for en overset fornyelse. Se, hvad der er med i hver plan, på WEMASY Priser.
Ofte stillede spørgsmål om domænekapring
Kan et domæne blive kapret, selv om jeg ikke har gjort noget forkert?
Ja. Kapring skyldes ikke altid uagtsomhed fra ejerens side. Et databrud hos en tjeneste, hvor du genbrugte din adgangskode til registratoren, en snedig phishingmail, der var svær at opdage, eller et social engineering-opkald til din registrators support kan alle lykkes, selv om du har været forsigtig. Derfor betyder beskyttelse i lag noget, med registratorlås, 2FA og WHOIS-beskyttelse. Ingen enkelt foranstaltning er skudsikker alene, men sammen hæver de sværhedsgraden markant. Med WEMASYs hjemmesidebygger kan du sætte det op direkte på din hjemmeside.
Forhindrer registratorlåsen alle typer domænekapring?
Registratorlåsen forhindrer uautoriserede overførsler til en anden registrator. Den forhindrer ikke en angriber, der allerede har fået adgang til din registratorkonto, i at ændre dine DNS-poster, nameservere eller kontaktoplysninger. For fuld beskyttelse skal du have registratorlås plus en stærk adgangskode, 2FA og en sikker kontaktmail. Hvert lag blokerer en forskellig type angreb.
Hvad er forskellen på domænekapring og DNS-kapring?
Domænekapring overfører ejerskabet af selve domæneregistreringen. DNS-kapring ændrer, hvor domænet peger hen, uden at overføre ejerskabet. Ved DNS-kapring ændrer angriberen DNS-posterne på din registratorkonto for at omdirigere trafik til en server, vedkommende kontrollerer, men dit navn står stadig på registreringen. Begge dele er alvorlige, og begge kræver kontosikkerhed for at forebygge. Registratorlås adresserer specifikt domænekapring ved at blokere overførsler. DNS-kapring forebygges ved at sikre adgangen til kontoen med en stærk adgangskode og 2FA.
Hvis mit domæne bliver kapret, fjerner Google så min side fra indekset?
Ikke med det samme. Googles indeks afspejler den sidst crawlede tilstand af din side. Men hvis angriberen ændrer dine DNS-poster, så de peger på andet indhold, crawler Google til sidst det nye indhold og opdaterer indekset. Overtræder det nye indhold Googles retningslinjer, kan der følge en manuel straf. Jo længere domænet er uden for din kontrol, jo mere kan dine placeringer i søgning og din sides omdømme forringes. Hurtig handling er vigtig for at beskytte din synlighed i søgning, ikke kun adgangen til din hjemmeside.
Skal jeg registrere mit domæne det samme sted, hvor jeg hoster min hjemmeside?
Der er forskellige holdninger til det. At holde domæne og hosting samlet gør styringen enklere og mindsker antallet af konti, du skal sikre. Nogle brands foretrækker at registrere deres domæne adskilt fra hostingudbyderen som forholdsregel, så et brud på den ene konto ikke straks udsætter begge. Begge løsninger kan gøres sikre med god kontohygiejne. Holder du dem samlet, er det vigtigste at sikre, at den fælles konto har en stærk adgangskode, 2FA slået til og registratorlås på.
Næste kapitel handler om SSL-certifikater og domæner, blandt andet hvad et SSL-certifikat gør, hvordan det hænger sammen med dit domæne, og hvorfor det påvirker, hvordan besøgende og browsere opfatter din side.