Des détournements de registres de domaines entraînent l’émission de certificats HTTPS non autorisés pour Google

Le 6 octobre 2026, Google a révélé que des pirates avaient compromis trois registres de domaines nationaux de premier niveau (ccTLD) — le Ghana (.gh), la Sierra Leone (.sl) et les Samoa américaines (.as) — ce qui a permis l'émission de certificats HTTPS non autorisés pour des domaines régionaux de Google et YouTube. L'entreprise a précisé que son infrastructure interne n'avait pas été piratée ; les attaquants ont plutôt modifié les enregistrements DNS autoritatifs au sein des registres afin de réussir les vérifications publiques de validation de domaine.

Portée des détournements de registres

Les journaux de Certificate Transparency ont révélé qu'au moins 12 certificats à validation de domaine non autorisés avaient été délivrés pour sept domaines régionaux entre le 22 et le 27 septembre. Let's Encrypt a émis 11 de ces certificats, tandis que ZeroSSL en a délivré un. Les points d'accès touchés incluaient des domaines régionaux comme google.com.gh, google.sl et google.as, qui n'obtenaient historiquement leurs certificats qu'auprès de Google Trust Services. Google a souligné que les perturbations au niveau des registres avaient également affecté d'autres organisations internationales et services en ligne en dehors de ses propres propriétés.

Mesures d'atténuation et protections des navigateurs

Pour neutraliser les risques d'interception potentiels, Google a déployé des listes d'annulation d'urgence CRLSets dans Chrome afin de bloquer directement les certificats non autorisés au sein du navigateur. La société a également collaboré avec les autorités de certification émettrices pour révoquer les identifiants afin de protéger les utilisateurs sur d'autres plateformes. Le 7 octobre, les données indiquaient que l'ensemble des 12 certificats identifiés avaient été révoqués. Toutefois, Google a averti que les blocages internes de Chrome ne protègent pas automatiquement les personnes utilisant d'autres navigateurs Web ou applications clientes.

Mesures défensives pour les gestionnaires de domaines

Google a conseillé aux administrateurs de domaines de surveiller en permanence les journaux de Certificate Transparency pour repérer toute demande non autorisée et de publier des enregistrements DNS CAA (Certification Authority Authorization) stricts. Même si un enregistrement CAA ne peut pas empêcher une émission frauduleuse pendant un détournement DNS en cours, il empêche les attaquants d'exploiter des validations de domaine mises en cache après la récupération du contrôle du DNS. Selon les exigences de base actuelles du secteur, les autorités de certification peuvent réutiliser une validation de domaine effectuée pendant une durée maximale de 200 jours, ce qui rend l'application des règles CAA essentielle pour prévenir les demandes ultérieures.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Attackers Hijack .gh, .sl, and .as Registries to Obtain Certificates for Google Domains