El secuestro de registros de dominios provoca la emisión de certificados HTTPS no autorizados para Google

El 6 de octubre de 2026, Google reveló que un grupo de atacantes comprometió los registros de tres dominios de nivel superior geográficos (ccTLD): Ghana (.gh), Sierra Leona (.sl) y Samoa Americana (.as). Esto permitió la emisión de certificados HTTPS no autorizados para dominios regionales de Google y YouTube. La empresa aclaró que su infraestructura interna no fue vulnerada; en su lugar, los atacantes modificaron los registros DNS autoritativos dentro de los registros para superar las comprobaciones públicas de validación de dominio.

Alcance del secuestro de los registros

Los registros de transparencia de certificados (Certificate Transparency) mostraron al menos 12 certificados no autorizados validados por dominio e emitidos para siete dominios regionales entre el 22 y el 27 de septiembre. Let's Encrypt emitió 11 de estos certificados y ZeroSSL emitió uno. Los puntos de enlace afectados incluyeron dominios regionales como google.com.gh, google.sl y google.as, los cuales históricamente obtenían sus certificados exclusivamente de Google Trust Services. Google señaló que las interrupciones en los registros afectaron también a otras organizaciones internacionales y servicios en línea más allá de sus propias propiedades.

Mitigación y protecciones del navegador

Para neutralizar los posibles riesgos de intercepción, Google implementó listas CRLSet de emergencia en Chrome con el fin de bloquear los certificados no autorizados directamente en el navegador. La compañía también colaboró con las autoridades de certificación emisoras para revocar las credenciales para los usuarios en plataformas distintas a Chrome. Para el 7 de octubre, los registros indicaban que los 12 certificados identificados habían sido revocados. Sin embargo, Google advirtió que los bloqueos internos de Chrome no protegen automáticamente a los usuarios que utilizan otros navegadores web o aplicaciones cliente.

Medidas defensivas para operadores de dominios

Google aconsejó a los administradores de dominios supervisar continuamente los registros de transparencia de certificados para detectar solicitudes no autorizadas y publicar registros estrictos de autorización de la autoridad de certificación (CAA) en el DNS. Aunque un registro CAA no puede impedir la emisión fraudulenta durante un secuestro activo del DNS, evita que los atacantes abusen de las comprobaciones de validación de dominio almacenadas en caché una vez que se recupera el control del DNS. Bajo los requisitos base actuales de la industria, las autoridades de certificación pueden reutilizar una verificación de dominio completada hasta por 200 días, lo que hace que la aplicación de registros CAA sea esencial para prevenir solicitudes posteriores de certificados.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Attackers Hijack .gh, .sl, and .as Registries to Obtain Certificates for Google Domains