Hackers secuestran DNS de Ghana, Sierra Leona y Samoa .as

Hackers tomaron el control del sistema de nombres de dominio (DNS) de tres dominios territoriales de nivel superior para emitir certificados TLS fraudulentos. Los registros afectados fueron Ghana (.gh), Sierra Leona (.sl) y Samoa Americana (.as), según lo que reveló Google en el marco de una brecha de seguridad.

Al modificar la configuración del DNS, los atacantes lograron interceptar el tráfico usado para suplantar a los administradores legítimos. Con esa maniobra, superaron validaciones automatizadas de las autoridades certificadoras que, en condiciones normales, deberían impedir la emisión de credenciales de seguridad no autorizadas.

Certificados TLS falsos para suplantar

La intrusión permitió obtener certificados digitales espurios con nombres de Google y de diversas marcas de alcance global. Los certificados TLS vinculan una conexión cifrada con la identidad del operador del sitio, y si un atacante consigue una credencial válida puede hacerse pasar por la plataforma auténtica.

Google indicó que su infraestructura de servidores y la de las marcas afectadas no registraron accesos no autorizados. El problema, dijo, se originó en el control ilícito sobre la administración de las extensiones nacionales, lo que abrió la puerta a emisiones fraudulentas y a posibles redirecciones durante la navegación.

Bloqueos en Chrome y revocaciones

Para neutralizar el riesgo, Google distribuyó listas de bloqueo en segundo plano dentro de Chrome mediante el sistema CRLSets. Esta función deshabilita credenciales comprometidas sin requerir la reinstalación del navegador.

Además, la compañía coordinó con los emisores la revocación formal de los documentos para proteger a usuarios que navegan desde otras plataformas. Aunque sostuvo que la mitigación reduce el impacto, admitió que no es posible garantizar la identificación de la totalidad de las credenciales generadas, por lo que recomendó que las empresas auditen los registros públicos de transparencia de certificados.

Qué falta y cómo prevenir

Lo que se sabe hasta ahora es que Google no reveló el número exacto de certificados emitidos ni atribuyó la autoría a un grupo específico. También no se confirmó si algún certificado no detectado llegó a utilizarse activamente, y el antecedente evoca el caso DigiNotar de 2011, cuando se falsificaron credenciales de manera masiva.

Como medidas preventivas, Google sugirió implementar registros CAA en las configuraciones DNS para limitar qué entidades pueden emitir certificados para un dominio. Aunque no impiden el secuestro directo del DNS, dificultan la solicitud de nuevos certificados una vez recuperado el control. Para los usuarios y equipos de seguridad, la guía práctica es revisar registros públicos de transparencia y verificar que los controles de emisión estén configurados.