Захват реестров .gh, .sl и .as: атакующие получили настоящие TLS-сертификаты для доменов Google и других брендов

Злоумышленники взломали инфраструктуру национальных доменных зон Ганы (.gh), Сьерра-Леоне (.sl) и Американского Самоа (.as), подменили авторитативные DNS-записи и получили настоящие TLS-сертификаты для доменов Google и других крупных компаний. 6 октября 2026 года Google сообщила, что Chrome уже блокирует эти сертификаты, а владельцам доменов стоит включить CAA и мониторинг журналов Certificate Transparency.

Серверы самой Google не взламывали. Атака прошла уровнем выше, через реестр доменной зоны, и это главный урок для бизнеса: ваша защита HTTPS не сильнее самого слабого реестра и регистратора, у которых зарегистрированы ваши домены. Проверить, где у компании такие слабые места, помогает аудит информационной безопасности.

Вторая часть задачи техническая. Записи CAA, DNSSEC, выпуск и продление сертификатов лучше держать в коде инфраструктуры и проверять автоматически, а не настраивать руками раз в год. Этим занимается DevOps-практика.

Что случилось с зонами .gh, .sl и .as

Об инцидентах написала команда Chrome Secure Web and Networking в блоге Google. По её данным, атакующие скомпрометировали системы сторонних операторов, которые обслуживают три национальные доменные зоны. Получив доступ, они изменили авторитативные DNS-записи доменов в этих зонах, в том числе локальных доменов Google вида google.com.gh, и запросили на них сертификаты.

Кроме Google, по журналам Certificate Transparency нашлись сертификаты для «нескольких ведущих мировых брендов и популярных онлайн-сервисов». Их названия Google не раскрывает. Кто стоит за атакой и какие удостоверяющие центры выпустили сертификаты, в официальном сообщении тоже не сказано.

Почему удостоверяющий центр выдал сертификат

Перед выпуском сертификата удостоверяющий центр (УЦ) проверяет, что заявитель контролирует домен. Обычно для этого нужно разместить в DNS запись со случайным значением или ответить на запрос по HTTP. Проверяется контроль над DNS в данный момент, а не то, кто юридически владеет доменом.

Если злоумышленник управляет DNS на уровне реестра, он проходит проверку честно, с точки зрения УЦ. Поэтому Google прямо пишет, что не видит причин считать, будто удостоверяющие центры поступили неправильно. Проблема не в одном УЦ, а в самой модели доверия: сертификат подтверждает только то, что DNS указывает на заявителя.

Как отреагировали Google и Chrome

• Блокировка в браузере. Сертификаты для доменов Google добавлены в CRLSets — механизм экстренной блокировки сертификатов в Chrome.
• Отзыв у выпустивших УЦ. Google связалась с удостоверяющими центрами, чтобы те отозвали сертификаты. Это защищает и пользователей других браузеров и клиентов.
• Поиск других жертв. По журналам Certificate Transparency Google нашла сертификаты других организаций, похожие на ту же кампанию, заблокировала их в Chrome и по возможности уведомила владельцев.

Пользователям Chrome ничего делать не нужно. Но Google сама оговаривается, что не может гарантировать, что нашла все затронутые домены, а защита Chrome не распространяется на пользователей других браузеров.

Что проверить компании на этой неделе

1. Составьте полный список доменов. Включите национальные домены, промо-сайты и всё, что регистрировали подрядчики и агентства. Для каждого запишите реестр и регистратора.
2. Просмотрите журналы Certificate Transparency. Найдите сертификаты, выпущенные с середины сентября 2026 года, которые вы не заказывали, и настройте постоянные оповещения по всем доменам.
3. Опубликуйте строгие записи CAA. Разрешите выпуск только тем УЦ, которыми пользуетесь. Где УЦ это поддерживает, привяжите выпуск к своей ACME-учётной записи и методу проверки — именно это советует Google.
4. Включите защиту у регистратора. Registry lock там, где он доступен, DNSSEC, двухфакторная аутентификация и ревизия доступов к кабинету регистратора.
5. Уберите бесхозные домены. Домен, за которым никто не следит, никто и не заметит, когда его перехватят. Перенесите его к надёжному регистратору или откажитесь от него осознанно.

Часто задаваемые вопросы

Взломали ли саму Google? Нет. Google утверждает, что её системы не были скомпрометированы. Атакующие управляли DNS её доменов на уровне реестров национальных зон.

Касается ли это доменов в .ru? Об инцидентах в российских зонах не сообщалось. Но механизм универсален: любой домен зависит от безопасности своего реестра и регистратора, а CT-мониторинг и CAA работают для любой зоны.

Спасает ли CAA, если DNS уже захвачен? Не полностью: тот, кто управляет DNS, может переписать и CAA. Но строгая запись с привязкой к ACME-учётной записи сужает пути для выпуска и помогает не допустить повторного выпуска после того, как контроль над DNS вернули.

Источники

Google — Chrome's response to recent ccTLD registry hijacks, 6 октября 2026 года.

BleepingComputer — Hackers hijack Google domains after breaching ccTLD registries, 7 октября 2026 года.

The Register — Attackers hijacked top-level domains, minted fake security certs for Google and other orgs, 7 октября 2026 года.