Respuesta rápida
¿Cómo se protege su cuenta de registrador contra la toma de control?
Proteja una cuenta de registrador con una contraseña larga y aleatoria que no use en ningún otro sitio, autenticación de dos factores, el menor número posible de usuarios y una vía de recuperación que una llamada a soporte no pueda eludir. Wardmint contó dos incidentes en su tabla, en julio de 2024 y febrero de 2026, en los que el punto débil fue el inicio de sesión de un registrador o plataforma, o su flujo de soporte, no los registros DNS.
Controles de la cuenta y el incidente al que responde cada uno
| Control | Qué impide | Caso público al que responde |
|---|---|---|
| Reclame usted mismo la cuenta de cada dominio migrado | Un atacante que cree primero la cuenta | Migraciones de Squarespace, 9 a 12 de julio de 2024 (debilidad de OAuth) |
| Regla de llamadas a soporte: ningún cambio a petición verbal | Ingeniería social contra un agente de soporte | Avantis, febrero de 2026 (cuenta tomada tras una llamada a soporte) |
| Autenticación de dos factores en la cuenta | Inicio de sesión con una contraseña robada | Consejo de Name.com tras las redirecciones del 30 al 31 de octubre de 2026 |
| Contraseña larga y única en una caja fuerte | Reutilización y adivinación de credenciales | Práctica general |
| Pocos usuarios con nombre, eliminados al marcharse | Acceso de personas internas y de antiguos miembros | Rotación en la DAO y entre colaboradores |
| Dirección de inicio de sesión guardada en favoritos | Phishing contra los inicios de sesión del registrador | Práctica general |
¿Por qué es la cuenta del registrador el objetivo?
Porque puede cambiar los servidores de nombres, el registro DS y el titular, y ningún código de su cadena puede deshacerlo. Un secuestrador que inicia sesión como usted puede apuntar el dominio donde quiera y luego solicitar un certificado para el nuevo destino.
El registro público muestra el patrón. Krebs on Security informó en julio de 2024 de que los dominios migrados de Google Domains a Squarespace estaban expuestos a un atacante que creara una cuenta con el correo vinculado a un dominio antes que el titular, y Squarespace lo atribuyó a una debilidad relacionada con los inicios de sesión OAuth. Blockaid escribió en febrero de 2026 que Avantis fue comprometida mediante una cuenta de Squarespace tomada después de extraer datos de facturación en una llamada a soporte. El 30 y 31 de octubre de 2026, los dominios de una docena de sitios DeFi registrados en un mismo registrador fueron redirigidos; el registrador los restableció e instó a comprobar el DNS y a usar autenticación de dos factores.
Según el recuento de Wardmint del 12 de noviembre de 2026, dos de los siete incidentes de su tabla (la oleada de julio de 2024 y el caso de Avantis en febrero de 2026) giran en torno a un inicio de sesión o a un flujo de soporte de un registrador o plataforma. El conjunto completo está en qué proyectos cripto perdieron usuarios por secuestro de DNS.
¿Qué contraseña e inicio de sesión debe usar?
Use una contraseña aleatoria de al menos 20 caracteres, generada y guardada por un gestor de contraseñas, y no la reutilice nunca. Un mensaje de chat compartido o una hoja de cálculo no es una caja fuerte. Si más de una persona necesita acceso, use una caja fuerte de equipo con registro de auditoría, y anote quién ha visto el secreto.
Active la autenticación de dos factores en la cuenta. Una llave de seguridad de hardware es el segundo factor común más fuerte, porque no entrega un código a una página de phishing. Una aplicación de autenticación es la siguiente opción; un código enviado por mensaje de texto es la más débil. Guarde los códigos de recuperación sin conexión, en dos lugares, y anote quién puede acceder a ellos.
En Wardmint, usted inicia sesión con un número de cuenta y una contraseña, y puede activar la autenticación de dos factores en el área de cliente; respuestas por correo en menos de 12 horas, los 7 días de la semana, incluida ayuda con DNSSEC, registros CAA e informes de abuso. Como para el propio registro solo hace falta un correo verificado por dominio, mantenga el correo de la cuenta en un buzón que controle y proteja ese buzón tan estrictamente como la cuenta.
¿Quién debe tener acceso y cómo se gestiona una llamada a soporte?
Designe a un responsable y a un suplente, documente a ambos y escriba una regla según la cual no se hace ningún cambio por el mero hecho de una llamada. El caso de Avantis muestra por qué. Si el soporte puede cambiar una cuenta tras una conversación telefónica, la fortaleza de su contraseña ya no importa.
Para una DAO o una fundación, decida de antemano quién guarda las credenciales, cómo recarga la tesorería el saldo y cómo cambia el acceso cuando se va un colaborador. Las prácticas de custodia compartida están en cómo debe una DAO conservar y pagar sus dominios. Retire el acceso el mismo día en que alguien deja el equipo, y cambie entonces la contraseña compartida.
Para los dominios más importantes, considere Protección de dominio a +29 US$/año por dominio: el dominio se registra a nombre de DomaineGoat LLC, usted sigue siendo el beneficiario con una devolución gratuita a su propio nombre, el bloqueo de transferencia está activado y una persona lee cada queja antes de cualquier acción. La opción se describe en qué es Protección de dominio. Reduce lo que contiene la cuenta, y no sustituye a un inicio de sesión robusto.
Cómo proteger una cuenta de registrador en siete pasos
Haga un inventario de cada cuenta y dominio
Enumere cada cuenta de registrador, los dominios que contiene y las personas que pueden iniciar sesión. Incluya las cuentas heredadas de migraciones.
Reclame las cuentas migradas
Si un registrador absorbió al anterior, inicie sesión y confirme que usted, y no un desconocido, tiene la cuenta de cada dominio.
Sustituya la contraseña
Genere en una caja fuerte una contraseña aleatoria de 20 caracteres o más y úsela solo para esta cuenta.
Active la autenticación de dos factores
Prefiera una llave de hardware y, después, una aplicación de autenticación. Guarde los códigos de recuperación sin conexión en dos lugares.
Reduzca y registre el acceso
Designe a un responsable y a un suplente, retire a todos los demás y anote la fecha y el motivo de cada cambio.
Escriba la regla de llamadas a soporte
Acuerde que nadie cambia el DNS, el titular ni los contactos por el mero hecho de una llamada o un chat, y comuníqueselo a su equipo.
Guarde el inicio de sesión en favoritos y vigile el phishing
Abra el registrador solo desde su favorito. Trate cualquier correo que le pida iniciar sesión en un registrador como un posible intento de phishing.
¿Cómo detecta una página de phishing que copia a su registrador?
Compruebe la dirección antes de escribir nada, y no siga nunca un enlace de inicio de sesión de un correo. El phishing contra registradores se apoya en la urgencia: un mensaje dice que el dominio está a punto de caducar o tiene una queja. Abra el registrador desde su favorito y busque el mismo aviso en la cuenta.
Use un gestor de contraseñas que rellene las credenciales solo en la dirección exacta guardada, de modo que una página de inicio de sesión parecida no obtenga nada. Las llaves de hardware añaden la misma protección al segundo factor. Si alguna vez introduce una contraseña en una página dudosa, cámbiela de inmediato, cierre todas las sesiones y revise los registros DNS y el correo de contacto.
Una segunda capa es la caducidad. Un dominio que caduca puede ser tomado por cualquiera, y la obligación de renovación se explica en cómo evitar que sus dominios caduquen. El plan de refuerzo más amplio está en cómo proteger su dominio contra el secuestro de DNS.
Preguntas sobre la seguridad de la cuenta del registrador
¿Basta con la autenticación de dos factores?
Es necesaria pero no basta por sí sola. El caso de Avantis pasó por una llamada a soporte. Añada una regla de ningún cambio por llamada y pocos usuarios.
¿Protege un bloqueo de transferencia la cuenta?
No. Impide las transferencias a otro registrador. No impide que alguien con el inicio de sesión cambie los servidores de nombres o los registros.
¿Debe la cuenta usar un correo compartido del equipo?
Use un buzón que controle el equipo, protegido con autenticación de dos factores, y no la dirección personal de un miembro. Cada dominio también necesita un correo verificado para su registro.
¿Y si se va un colaborador con acceso?
Cambie la contraseña, retire su acceso, rote los códigos de recuperación y revise los registros DNS, todo el mismo día.
¿Puede Protección de dominio sustituir un inicio de sesión robusto?
No. Pone el dominio a nombre de la empresa y añade revisión humana de las quejas, y la cuenta sigue necesitando un inicio de sesión robusto.
En resumen
- La cuenta del registrador puede cambiar los servidores de nombres, los registros DS y el titular.
- Los secuestros públicos de 2024 y 2026 pasaron por una debilidad de inicio de sesión o por una llamada a soporte.
- Use una contraseña aleatoria de 20 caracteres o más, en una caja fuerte, que no use en ningún otro sitio.
- Active la autenticación de dos factores, preferiblemente con una llave de hardware.
- Designe a un responsable y a un suplente; retire a quienes se van el mismo día.
- Escriba una regla según la cual no se hace ningún cambio solo por una llamada.
- Protección de dominio cuesta +29 US$/año y no sustituye a un inicio de sesión robusto.
Fuentes (3)
- Investigadores: configuraciones de seguridad débiles por defecto permitieron los secuestros de dominios de Squarespace — Krebs on Security (consultado 2026-11-12)
- Secuestro de front ends y la superficie de ataque Web2 que amenaza a los protocolos Web3 — Blockaid (consultado 2026-11-12)
- Hackers secuestran una docena de sitios web DeFi registrados con Name.com — The Block (consultado 2026-11-12)