תשובה מהירה
איך מגנים על חשבון הרשם שלכם מפני השתלטות?
הגנו על חשבון רשם עם סיסמה אקראית וארוכה שאינה משמשת בשום מקום אחר, אימות דו-שלבי, מעט משתמשים ככל האפשר, ותהליך שחזור שמנוע שיחת תמיכה לא יכול לעקוף. Wardmint ספרה שני אירועים בטבלה שלה, ביולי 2024 ובפברואר 2026, שבהם נקודת החולשה הייתה כניסה לרשם או לפלטפורמה או זרימת תמיכה, ולא רשומות ה-DNS.
בקרות חשבון והאירוע שכל אחת מהן עונה לו
| בקרה | מה היא מונעת | מקרה ציבורי שהיא עונה לו |
|---|---|---|
| תבעו בעצמכם את חשבון כל דומיין שהועבר | תוקף שיוצר את החשבון קודם | העברות Squarespace, 9 עד 12 ביולי 2024 (חולשה ב-OAuth) |
| כלל שיחת תמיכה: בלי שינויים לפי בקשה קולית | הנדסה חברתית של נציג תמיכה | Avantis, פברואר 2026 (חשבון נלקח לאחר שיחת תמיכה) |
| אימות דו-שלבי בחשבון | כניסה עם סיסמה גנובה | המלצת Name.com אחרי ההפניות מ-30 עד 31 באוקטובר 2026 |
| סיסמה ייחודית וארוכה בכספת | שימוש חוזר בפרטי גישה וניחושים | פרקטיקה כללית |
| מעט משתמשים בשם, מוסרים בעזיבה | גישה של פנימיים ושל חברים לשעבר | מחזור תורמים ו-DAO |
| כתובת כניסה מסומנת | פישינג של כניסות לרשם | פרקטיקה כללית |
למה חשבון הרשם הוא המטרה?
כי הוא יכול לשנות את שרתי השמות, את רשומת ה-DS ואת הבעלים, ואין קוד על השרשרת שלכם שיכול לבטל את זה. תוקף שמתחבר בשמכם יכול להצביע את הדומיין לכל מקום שירצה, ואז לבקש תעודה ליעד החדש.
הרשומה הציבורית מראה את הדפוס. Krebs on Security דיווחה ביולי 2024 שדומיינים שעברו מ-Google Domains ל-Squarespace היו פתוחים לתוקף שיצר חשבון עם האימייל שקשור לדומיין לפני הבעלים, ו-Squarespace ייחסה זאת לחולשה הקשורה להתחברות OAuth. Blockaid כתבה בפברואר 2026 ש-Avantis נפרצה דרך חשבון Squarespace שנלקח לאחר שפרטי חיוב הוצאו בשיחת תמיכה. ב-30 וב-31 באוקטובר 2026 דומיינים של כתריסר אתרי DeFi שנרשמו אצל רשם אחד הופנו מחדש; הרשם שחזר אותם וקרא לבדיקות DNS ולאימות דו-שלבי.
לפי הספירה של Wardmint מ-12 בנובמבר 2026, שניים משבעת האירועים בטבלה שלה (גל יולי 2024 ומקרה Avantis בפברואר 2026) נשענים על זרימת כניסה או תמיכה אצל רשם או פלטפורמה. הסט המלא נמצא באילו פרויקטים של קריפטו איבדו משתמשים בגלל השתלטות DNS.
איזו הגדרת סיסמה וכניסה כדאי להשתמש בה?
השתמשו בסיסמה אקראית של לפחות 20 תווים, שנוצרת ונשמרת על ידי מנהל סיסמאות, ואל תשתמשו בה חוזר. הודעת צ'אט משותפת או גיליון אלקטרוני אינם כספת. אם יותר מאדם אחד צריך גישה, השתמשו בכספת צוותית עם יומן ביקורת, ורשמו מי ראה את הסוד.
הפעילו אימות דו-שלבי לחשבון. מפתח אבטחה פיזי הוא הגורם השני החזק ביותר הנפוץ, כי הוא לא מוסר קוד לדף פישינג. אפליקציית אימות היא הבחירה הבאה; קוד בהודעת טקסט הוא החלש ביותר. שמרו את קודי השחזור במצב לא מקוון, בשני מקומות, ורשמו מי יכול להגיע אליהם.
ב-Wardmint נכנסים עם מספר חשבון וסיסמה, ואפשר להפעיל אימות דו-שלבי באזור הלקוח; תשובות באימייל תוך 12 שעות, 7 ימים בשבוע, כולל עזרה ב-DNSSEC, ברשומות CAA ובדוחות שימוש לרעה. מכיוון שנדרש רק אימייל מאומת אחד לכל דומיין לצורך הרישום עצמו, השאירו את האימייל של החשבון בתיבת דואר שאתם שולטים בה, והגנו עליה בדיוק כמו על החשבון.
מי צריך גישה, ואיך מטפלים בשיחת תמיכה?
מנו בעלים אחד וגיבוי אחד, תעדו את שניהם, וכתבו כלל שלפיו לא מבצעים שינוי על סמך שיחה. המקרה של Avantis מראה למה. אם התמיכה יכולה לשנות חשבון אחרי שיחת טלפון, אז חוזק הסיסמה שלכם כבר לא משנה.
לדאו או לקרן, החליטו מראש מי מחזיק בפרטי הגישה, איך הקופה ממלאת את היתרה, ואיך הגישה משתנה כשתורם עוזב. השיטות לחזקה משותפת נמצאות באיך DAO צריך להחזיק ולשלם על הדומיינים שלו. הסירו גישה באותו יום שאדם עוזב את הצוות, והחליפו את הסיסמה המשותפת באותו יום.
לדומיינים החשובים ביותר, שקלו הגנת דומיין ב-+29 $ לשנה לכל דומיין: הדומיין רשום על שם DomaineGoat LLC, אתם נשארים המוטבים עם החזרה חינמית לשמכם, נעילת העברה פעילה, וכל תלונה נקראת על ידי אדם לפני כל פעולה. האופציה מתוארת במהי הגנת דומיין. היא מקטינה את מה שהחשבון מחזיק, והיא לא מחליפה כניסה חזקה.
איך מגינים על חשבון רשם בשבעה צעדים
רשמו כל חשבון וכל דומיין
רשמו כל חשבון רשם, את הדומיינים שבו ואת האנשים שיכולים להיכנס. כללו חשבונות שירשתם ממעברים.
תבעו חשבונות שעברו
אם רשם ספג את החשבון הישן שלכם, היכנסו ואשרו שאתם, ולא זר, מחזיקים בחשבון לכל דומיין.
החליפו את הסיסמה
צרו סיסמה אקראית של 20 תווים לפחות בכספת, והשתמשו בה רק לחשבון הזה.
הפעילו אימות דו-שלבי
העדיפו מפתח חומרה, ואחר כך אפליקציית אימות. שמרו את קודי השחזור במצב לא מקוון, בשני מקומות.
צמצמו ורשמו גישה
מנו בעלים אחד וגיבוי אחד, הסירו את כל האחרים, ורשמו את התאריך והסיבה לכל שינוי.
כתבו את כלל שיחת התמיכה
הסכימו שאף אחד לא משנה DNS, בעלים או אנשי קשר על סמך שיחה או צ'אט, והודיעו על כך לצוות.
שמרו את הכניסה בסימניה והשגיחו על פישינג
פתחו את הרשם רק מהסימנייה שלכם. התייחסו לכל הודעת מייל שמבקשת להתחבר לרשם כאל ניסיון פישינג אפשרי.
איך מזהים עמוד פישינג שמעתיק את הרשם שלכם?
בדקו את הכתובת לפני שאתם מקלידים דבר, ואל תלחצו לעולם על קישור כניסה מתוך מייל. פישינג של רשם מסתמך על דחיפות: הודעה אומרת שהדומיין עומד לפוג או שיש עליו תלונה. פתחו את הרשם מהסימנייה שלכם וחפשו את אותה הודעה בחשבון.
השתמשו במנהל סיסמאות שממלא פרטי כניסה רק בכתובת השמורה המדויקת, כך שעמוד כניסה דומה לא מקבל כלום. מפתחות חומרה מוסיפים את אותה הגנה לגורם השני. אם הזנתם פעם סיסמה בעמוד מפוקפק, שנו אותה מיד, סיימו את כל ההתחברויות, ובדקו את רשומות ה-DNS ואת אימייל האיש הקשר.
שכבה שנייה היא תפוגה. דומיין שפג יכול להילקח על ידי כל אחד, ומחובת החידוש מכוסה באיך למנוע מהדומיינים שלכם לפוג. תוכנית ההקשחה הרחבה נמצאת באיך מאבטחים את הדומיין מפני השתלטות DNS.
שאלות על אבטחת חשבון הרשם
האם אימות דו-שלבי מספיק?
הוא הכרחי, אבל לא מספיק לבדו. המקרה של Avantis עבר דרך שיחת תמיכה. הוסיפו כלל של בלי שינויים לפי שיחה, ומעט משתמשים.
האם נעילת העברה מגינה על החשבון?
לא. היא עוצרת העברות לרשם אחר. היא לא עוצרת מי שיש לו את הכניסה משינוי שרתי השמות או הרשומות.
האם החשבון צריך להשתמש בדוא"ל משותף של הצוות?
השתמשו בתיבת דואר שהצוות שולט בה, מוגנת באימות דו-שלבי, ולא בכתובת אישית של חבר צוות אחד. לכל דומיין נדרש גם אימייל מאומת אחד לרישום.
מה אם תורם עם גישה עוזב?
שנו את הסיסמה, הסירו את הגישה שלו, החליפו את קודי השחזור ובדקו את רשומות ה-DNS, הכול באותו יום.
האם הגנת דומיין יכולה להחליף כניסה חזקה?
לא. היא מעבירה את הדומיין לשם החברה ומוסיפה ביקורת אנושית של תלונות, והחשבון עדיין צריך כניסה חזקה.
לסיכום
- החשבון של הרשם יכול לשנות שרתי שמות, רשומות DS ובעלות.
- השתלטויות ציבוריות מ-2024 וכן 2026 עברו דרך חולשה בכניסה או דרך שיחת תמיכה.
- השתמשו בסיסמה אקראית של 20 תווים לפחות, בכספת, ורק לחשבון הזה.
- הפעילו אימות דו-שלבי, עדיף עם מפתח חומרה.
- מנו בעלים אחד וגיבוי אחד; הסירו עוזבים באותו יום.
- כתבו כלל שלפיו לא מבצעים שינוי על סמך שיחה בלבד.
- הגנת דומיין עולה +29 $ לשנה ולא מחליפה כניסה חזקה.
מקורות (3)
- חוקרים: ברירות מחדל חלשות של אבטחה אפשרו פריצות לדומיינים של Squarespace — Krebs on Security (נקרא ב-2026-11-12)
- השתלטות על החזית ומשטח התקיפה של Web2 שמאיים על פרוטוקולי Web3 — Blockaid (נקרא ב-2026-11-12)
- Hackers hijack a dozen DeFi websites registered with Name.com — The Block (נקרא ב-2026-11-12)