Rychlá odpověď
Jak chráníte účet registrátora před převzetím?
Chraňte účet registrátora dlouhým náhodným heslem, které nepoužíváte nikde jinde, dvoufaktorovým ověřením, co nejmenším počtem uživatelů a obnovovací cestou, kterou podpůrný hovor nemůže obejít. Wardmint napočítal ve své tabulce dva incidenty, v červenci 2024 a únoru 2026, kde slabým místem bylo přihlášení nebo podpůrný postup registrátora či platformy, ne záznamy DNS.
Kontroly účtu a incident, na který každá odpovídá
| Kontrola | Co zabrání | Veřejný případ, na který odpovídá |
|---|---|---|
| Převezměte účet každé přesunuté domény sami | Útočník založí účet dřív | Migrace Squarespace, 9. až 12. července 2024 (slabina OAuth) |
| Pravidlo podpůrného hovoru: žádné změny na základě hlasové žádosti | Social engineering podpůrného agenta | Avantis, únor 2026 (účet převzat po podpůrném hovoru) |
| Dvoufaktorové ověření účtu | Přihlášení s ukradeným heslem | Doporučení Name.com po přesměrováních z 30. až 31. října 2026 |
| Jedinečné dlouhé heslo v trezoru | Opakované použití a uhadování přihlašovacích údajů | Obecná praxe |
| Málo jmenovaných uživatelů, odebraných při odchodu | Přístup insiderů a bývalých členů | Obměna v DAO a u přispěvatelů |
| Záložková adresa přihlášení | Phishing přihlášení k registrátorovi | Obecná praxe |
Proč je cílem účet registrátora?
Protože může změnit jmenné servery, záznam DS a vlastníka a žádný kód na vašem řetězci to nemůže vrátit zpět. Útočník, který se přihlásí jako vy, může doménu nasměrovat kamkoli a pak si vyžádat certifikát pro nový cíl.
Veřejný záznam ukazuje tentýž vzorec. Krebs on Security v červenci 2024 uvedl, že domény přesunuté z Google Domains na Squarespace byly otevřené útočníkovi, který si založil účet s e-mailem spojeným s doménou dřív, než to udělal vlastník, a Squarespace to přičetl slabině související s přihlášením OAuth. Blockaid v únoru 2026 napsal, že Avantis byl kompromitován přes účet Squarespace převzatý poté, co byly v podpůrném hovoru vylákány fakturační údaje. Dne 30. a 31. října 2026 byly domény tuctu DeFi webů registrovaných u jednoho registrátora přesměrovány; registrátor je obnovil a naléhal na kontroly DNS a dvoufaktorové ověření.
Podle počtu Wardmint ze 12. listopadu 2026 dva ze sedmi incidentů v jeho tabulce (vlna z července 2024 a případ Avantis z února 2026) stojí na přihlašovacím nebo podpůrném postupu u registrátora nebo platformy. Celý soubor je v které krypto projekty přišly o uživatele kvůli únosu DNS.
Jaké nastavení hesla a přihlášení použít?
Použijte náhodné heslo o délce alespoň 20 znaků, vygenerované a uložené správcem hesel, a nikdy je neopakujte. Zpráva v chatu nebo tabulka nejsou trezor. Pokud k přístupu potřebuje více lidí, použijte týmový trezor se záznamem auditu a zapište, kdo tajemství viděl.
Zapněte dvoufaktorové ověření účtu. Hardwarový bezpečnostní klíč je nejsilnější běžný druhý faktor, protože nepředává kód phishingové stránce. Aplikace autentifikátoru je další volba; kód poslaný SMS je nejslabší. Záložní kódy uložte offline na dvě místa a zapište si, kdo se k nim dostane.
U Wardmint se přihlašujete číslem účtu a heslem a dvoufaktorové ověření můžete zapnout v klientské zóně; odpovědi na e-maily do 12 hodin, 7 dní v týdnu, včetně pomoci s DNSSEC, záznamy CAA a hlášeními zneužití. Protože pro samotnou registraci stačí jeden ověřený e-mail na doménu, držte e-mail účtu na schránce, kterou ovládáte, a chraňte ji stejně přísně jako účet.
Kdo má mít přístup a jak řešíte podpůrný hovor?
Určete jednoho vlastníka a jednoho záložního, oba zdokumentujte a napište pravidlo, že žádná změna se neprovede na základě hovoru. Případ Avantis ukazuje proč. Pokud může podpora změnit účet po telefonátu, na síle vašeho hesla už nezáleží.
Pro DAO nebo nadaci předem rozhodněte, kdo drží přihlašovací údaje, jak pokladna dobíjí zůstatek a jak se přístup mění, když přispěvatel odejde. Postupy sdíleného držení jsou v jak má DAO držet a platit za své domény. Přístup odeberte týž den, kdy někdo tým opustí, a sdílené heslo tehdy změňte.
Pro nejdůležitější domény zvažte Ochranu domény za +29 US$/rok za doménu: doména je registrována na jméno DomaineGoat LLC, vy zůstáváte příjemcem s bezplatným převodem na své jméno, zámek převodu je zapnutý a každou stížnost přečte člověk před jakoukoli akcí. Volba je popsána v co je Ochrana domény. Snižuje to, co účet drží, a nenahrazuje silné přihlášení.
Jak chránit účet registrátora v sedmi krocích
Zinventarizujte každý účet a doménu
Vypište každý účet registrátora, domény v něm a lidi, kteří se mohou přihlásit. Zahrňte účty zděděné po migracích.
Převezměte přesunuté účty
Pokud registrátor pohltil váš starý účet, přihlaste se a ověřte, že účet pro každou doménu držíte vy, a ne cizí osoba.
Vyměňte heslo
Vygenerujte náhodné heslo o 20 znacích nebo více v trezoru a používejte je jen pro tento účet.
Zapněte dvoufaktorové ověření
Dávejte přednost hardwarovému klíči, pak aplikaci autentifikátoru. Záložní kódy uložte offline na dvou místech.
Omezte a zaznamenávejte přístup
Určete jednoho vlastníka a jednoho záložního, ostatní odeberte a u každé změny zapište datum a důvod.
Napište pravidlo podpůrného hovoru
Domluvte se, že nikdo nemění DNS, vlastníka ani kontakty na základě hovoru nebo chatu, a řekněte to svému týmu.
Přidejte přihlášení do záložek a hlídejte phishing
Registrátora otevírejte jen ze záložky. Každý e-mail, který vás žádá o přihlášení k registrátorovi, berte jako možný pokus o phishing.
Jak poznáte phishingovou stránku, která kopíruje vašeho registrátora?
Před zadáním čehokoli zkontrolujte adresu a nikdy nesledujte přihlašovací odkaz z e-mailu. Phishing registrátora spoléhá na naléhavost: zpráva říká, že doména brzy vyprší nebo má stížnost. Otevřete registrátora ze záložky a hledejte stejné oznámení v účtu.
Použijte správce hesel, který vyplňuje přihlašovací údaje jen na přesně uložené adrese, takže falešná přihlašovací stránka nedostane nic. Hardwarové klíče přidávají stejnou ochranu druhému faktoru. Pokud někdy zadáte heslo na pochybné stránce, okamžitě je změňte, ukončete všechny relace a zkontrolujte záznamy DNS a kontaktní e-mail.
Druhou vrstvou je expirace. Doména, která propadne, může převzít kdokoli, a povinnost obnovy je popsána v jak zabránit vypršení domén. Širší plán zpevnění je v jak zabezpečit doménu proti únosu DNS.
Otázky k bezpečnosti účtu registrátora
Stačí dvoufaktorové ověření?
Je nutné, ale samo o sobě nestačí. Případ Avantis prošel podpůrným hovorem. Přidejte pravidlo žádných změn na základě hovoru a malý počet uživatelů.
Chrání zámek převodu účet?
Ne. Zastaví převody k jinému registrátorovi. Nezastaví někoho, kdo má přihlášení, v tom, aby měnil jmenné servery nebo záznamy.
Má účet používat sdílený týmový e-mail?
Použijte schránku, kterou tým ovládá, chráněnou dvoufaktorovým ověřením, a ne osobní adresu jednoho člena. Každá doména také potřebuje jeden ověřený e-mail pro svou registraci.
Co když přispěvatel s přístupem odejde?
Změňte heslo, odeberte mu přístup, obměňte záložní kódy a zkontrolujte záznamy DNS, to vše téhož dne.
Může Ochrana domény nahradit silné přihlášení?
Ne. Doménu dá na jméno společnosti a přidá lidskou kontrolu stížností; účet přesto potřebuje silné přihlášení.
Shrnutí
- Účet u registrátora může měnit jmenné servery, záznamy DS a vlastníka.
- Veřejné úniky z let 2024 a 2026 prošly slabinou přihlášení nebo podpůrným hovorem.
- Používejte náhodné heslo o 20 znacích nebo více, v trezoru, nikde jinde.
- Zapněte dvoufaktorové ověření, nejlépe s hardwarovým klíčem.
- Určete jednoho vlastníka a jednoho záložního; ty, kdo odejdou, odeberte týž den.
- Napište pravidlo, že žádná změna se neprovede jen na základě hovoru.
- Ochrana domény stojí +29 US$/rok a nenahrazuje silné přihlášení.
Zdroje (3)
- Výzkumníci: slabá výchozí bezpečnostní nastavení umožnila únos domén Squarespace — Krebs on Security (čteno 2026-11-12)
- Únos frontendu a útočná plocha Web2 ohrožující protokoly Web3 — Blockaid (čteno 2026-11-12)
- Hackeři unesou tucet DeFi webů registrovaných u Name.com — The Block (čteno 2026-11-12)