Hackers secuestran dominios de Google tras vulnerar registros de ccTLD

Hackers secuestran dominios de Google tras brechas en registros de dominios de nivel superior

Un grupo de atacantes logró obtener certificados HTTPS no autorizados para varios dominios de Google y secuestró dominios en los dominios de nivel superior de código de país (ccTLD) de Ghana, Samoa Americana y Sierra Leona. Esto fue posible después de comprometer a operadores de terceros y modificar los registros DNS autoritativos, según informó Bill Toulas el 7 de octubre de 2026.

Google subrayó que los ataques afectaron dominios de otras organizaciones en los ccTLD .GH, .SL y .AS, pero que "no implicaron un compromiso de los sistemas de Google".

Al acceder a los registros del Sistema de Nombres de Dominio (DNS), un actor de amenazas puede solicitar un certificado HTTPS a una Autoridad de Certificación (CA) para un dominio que no posee. Las CA emiten certificados después de verificar la propiedad del dominio, un proceso que generalmente requiere que el solicitante cree un registro TXT con un valor aleatorio proporcionado por la CA.

La modificación de los registros DNS autoritativos permitió al actor de amenazas apuntar los dominios .GH, .SL y .AS a infraestructura bajo su control mientras obtenía certificados TLS válidos para esos dominios. Esto permitió al atacante hacerse pasar por marcas legítimas y servir contenido arbitrario a los visitantes desde los dominios afectados.

Google bloqueó de inmediato los certificados no autorizados para sus propiedades en Chrome a través de CRLSets y trabajó con las autoridades emisoras para revocarlos, extendiendo la protección a otros clientes. La compañía afirmó que sus sistemas no se vieron afectados de ninguna manera y que no tiene motivos para creer que las CA emisoras actuaron indebidamente.

Tras examinar los registros de Certificate Transparency (CT), el gigante tecnológico bloqueó certificados adicionales que parecían estar relacionados con los ataques y notificó a las organizaciones afectadas cuando fue posible.

"Después de nuestra mitigación inicial, los datos de los registros de Certificate Transparency (CT) revelaron organizaciones adicionales, incluidas varias marcas globales líderes y servicios en línea ampliamente utilizados, que se cree que se vieron afectadas por los mismos ataques", explicó Google. "Para garantizar que los usuarios de esos sitios estuvieran seguros lo antes posible, bloqueamos proactivamente estos certificados en Chrome".

CRLSets es un "mecanismo de emergencia" de Chrome diseñado para permitir el bloqueo rápido de certificados HTTPS revocados o no confiables seleccionados. Los usuarios de Chrome no necesitan tomar ninguna medida para protegerse de este incidente.

Sin embargo, Google advierte que es posible que no haya identificado todos los dominios afectados, por lo que sus listas de bloqueo actuales podrían no cubrir todas las amenazas potenciales. La compañía también recordó a los usuarios que CRLSets solo cubre a los usuarios de Chrome, lo que significa que los usuarios de otros navegadores podrían no estar protegidos.

"Debido a la complejidad de los secuestros de DNS, no podemos garantizar que nuestro análisis haya identificado todos los dominios afectados, ni que las intervenciones de Chrome protejan de manera confiable a los usuarios que no usan Chrome", afirma Google.

Google insta a los propietarios de dominios a:

Monitorear los registros de CT en todo su portafolio de dominios, incluidos los dominios estacionados.
Publicar registros restrictivos de Autorización de Autoridad de Certificación (CAA) según sea necesario para limitar la emisión a cuentas ACME autorizadas y métodos de validación.

Los registros DNS de CAA no pueden detener la emisión de certificados durante un secuestro de DNS activo, pero evitan la obtención de certificados adicionales utilizando la validación de dominio en caché después de que se restaure el control legítimo del DNS, señala Google.

El anuncio no identificó a los atacantes ni la cantidad de certificados que se confirmó que fueron secuestrados.

Construya su plano de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a la velocidad de la IA, qué deben dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.