Jawaban singkat
Bagaimana cara melindungi akun registrar Anda dari pengambilalihan?
Lindungi akun registrar dengan kata sandi acak yang panjang dan tidak dipakai di tempat lain, autentikasi dua faktor, sesedikit mungkin pengguna, dan jalur pemulihan yang tidak bisa dilewati panggilan dukungan. Wardmint mencatat dua insiden dalam tabelnya, pada Juli 2024 dan Februari 2026, ketika titik lemahnya adalah login atau alur dukungan registrar atau platform, bukan rekaman DNS.
Kontrol akun dan insiden yang dijawab masing-masing
| Kontrol | Apa yang dicegahnya | Kasus publik yang dijawabnya |
|---|---|---|
| Klaim setiap akun domain yang dimigrasikan atas nama Anda sendiri | Penyerang yang membuat akun lebih dulu | Migrasi Squarespace, 9 sampai 12 Juli 2024 (kelemahan OAuth) |
| Aturan dukungan: tidak ada perubahan atas permintaan suara | Rekayasa sosial terhadap agen dukungan | Avantis, Februari 2026 (akun diambil alih setelah panggilan dukungan) |
| Autentikasi dua faktor pada akun | Login dengan kata sandi yang dicuri | Saran Name.com setelah pengalihan 30 sampai 31 Oktober 2026 |
| Kata sandi unik yang panjang di brankas | Penggunaan ulang kredensial dan tebakan | Praktik umum |
| Sedikit pengguna bernama, dihapus saat keluar | Akses orang dalam dan mantan anggota | Pergantian DAO dan kontributor |
| Alamat login yang di-bookmark | Phishing login registrar | Praktik umum |
Mengapa akun registrar menjadi target?
Karena akun itu bisa mengubah nameserver, rekaman DS, dan pemilik, dan tidak ada kode di rantai Anda yang bisa membatalkannya. Peretas yang masuk sebagai Anda dapat mengarahkan domain ke mana pun, lalu meminta sertifikat untuk tujuan baru.
Catatan publik menunjukkan polanya. Krebs on Security melaporkan pada Juli 2024 bahwa domain yang dimigrasikan dari Google Domains ke Squarespace terbuka bagi penyerang yang membuat akun dengan email yang terikat ke domain sebelum pemiliknya melakukannya, dan Squarespace menyebutnya sebagai kelemahan terkait login OAuth. Blockaid menulis pada Februari 2026 bahwa Avantis dikompromikan melalui akun Squarespace yang diambil alih setelah rincian penagihan diekstraksi dalam panggilan dukungan. Pada 30 dan 31 Oktober 2026, domain belasan situs DeFi yang terdaftar di satu registrar dialihkan; registrar memulihkannya dan mendesak pemeriksaan DNS serta autentikasi dua faktor.
Menurut hitungan Wardmint pada 12 November 2026, dua dari tujuh insiden dalam tabelnya (gelombang Juli 2024 dan kasus Avantis Februari 2026) berporos pada alur login atau dukungan di registrar atau platform. Kumpulan lengkapnya ada di proyek kripto mana yang kehilangan pengguna karena pembajakan DNS.
Pengaturan kata sandi dan login seperti apa yang sebaiknya Anda pakai?
Pakai kata sandi acak minimal 20 karakter, dibuat dan disimpan oleh pengelola kata sandi, dan jangan pernah dipakai ulang. Pesan chat bersama atau spreadsheet bukan brankas. Jika lebih dari satu orang perlu akses, gunakan brankas tim dengan jejak audit, dan catat siapa yang pernah melihat rahasianya.
Aktifkan autentikasi dua faktor untuk akun. Kunci keamanan perangkat keras adalah faktor kedua yang paling kuat yang umum tersedia, karena ia tidak menyerahkan kode kepada halaman phishing. Aplikasi autentikator adalah pilihan berikutnya; kode lewat pesan teks adalah yang paling lemah. Simpan kode pemulihan secara offline, di dua tempat, dan catat siapa yang bisa menjangkaunya.
Di Wardmint, Anda masuk dengan nomor akun dan kata sandi, dan Anda dapat mengaktifkan autentikasi dua faktor di area klien; balasan email dalam 12 jam, 7 hari seminggu, termasuk bantuan soal DNSSEC, rekaman CAA dan laporan penyalahgunaan. Karena hanya satu email terverifikasi per domain yang diperlukan untuk pendaftaran itu sendiri, simpan email akun di kotak surat yang Anda kendalikan, dan lindungi kotak surat itu seketat akunnya.
Siapa yang sebaiknya punya akses, dan bagaimana Anda menangani panggilan dukungan?
Tetapkan satu pemilik dan satu cadangan, dokumentasikan keduanya, dan tulis aturan bahwa tidak ada perubahan yang dibuat atas dasar sebuah panggilan. Kasus Avantis menunjukkan alasannya. Jika dukungan dapat mengubah akun setelah percakapan telepon, kekuatan kata sandi Anda tidak lagi berarti.
Untuk DAO atau yayasan, tentukan sejak awal siapa yang memegang kredensial, bagaimana treasury mengisi saldo, dan bagaimana akses berubah ketika seorang kontributor keluar. Praktik untuk kepemilikan bersama ada di bagaimana DAO sebaiknya menyimpan dan membayar domainnya. Cabut akses di hari yang sama ketika seseorang keluar dari tim, dan ganti kata sandi bersama saat itu juga.
Untuk domain yang paling penting, pertimbangkan Perlindungan domain seharga +US$29/tahun per domain: domain didaftarkan atas nama DomaineGoat LLC, Anda tetap sebagai penerima manfaat dengan pengembalian gratis ke nama Anda sendiri, kunci transfer aktif, dan setiap pengaduan dibaca oleh seseorang sebelum tindakan apa pun. Opsi ini dijelaskan di apa itu Perlindungan domain. Opsi ini mengurangi apa yang dipegang akun, dan tidak menggantikan login yang kuat.
Cara melindungi akun registrar dalam tujuh langkah
Inventarisasi setiap akun dan domain
Daftar setiap akun registrar, domain di dalamnya, dan orang yang bisa masuk. Sertakan akun yang diwarisi dari migrasi.
Klaim akun yang dimigrasikan
Jika sebuah registrar menyerap akun lama Anda, masuklah dan konfirmasi bahwa Anda, bukan orang asing, memegang akun untuk setiap domain.
Ganti kata sandi
Buat kata sandi acak minimal 20 karakter di brankas dan gunakan hanya untuk akun ini.
Aktifkan autentikasi dua faktor
Utamakan kunci perangkat keras, lalu aplikasi autentikator. Simpan kode pemulihan secara offline di dua tempat.
Kurangi dan catat akses
Tetapkan satu pemilik dan satu cadangan, hapus orang lain, dan catat tanggal serta alasan setiap perubahan.
Tulis aturan panggilan dukungan
Sepakati bahwa tidak ada yang mengubah DNS, pemilik, atau kontak atas dasar panggilan atau obrolan, dan beri tahu tim Anda.
Tandai login dan waspadai phishing
Buka registrar hanya dari bookmark Anda. Anggap setiap email yang meminta Anda masuk ke registrar sebagai kemungkinan upaya phishing.
Bagaimana cara mengenali halaman phishing yang menyalin registrar Anda?
Periksa alamatnya sebelum Anda mengetik apa pun, dan jangan pernah mengikuti tautan login dari email. Phishing registrar mengandalkan urgensi: sebuah pesan mengatakan domain akan segera kedaluwarsa atau ada pengaduan. Buka registrar dari bookmark Anda dan cari pemberitahuan yang sama di akun.
Gunakan pengelola kata sandi yang hanya mengisi kredensial pada alamat tersimpan yang persis, sehingga halaman login yang mirip tidak mendapat apa pun. Kunci perangkat keras menambahkan perlindungan yang sama pada faktor kedua. Jika Anda pernah memasukkan kata sandi di halaman yang meragukan, ganti segera, akhiri semua sesi, dan tinjau rekaman DNS serta email kontaknya.
Lapisan kedua adalah kedaluwarsa. Domain yang kedaluwarsa dapat diambil siapa saja, dan kewajiban perpanjangan dibahas dalam cara mencegah domain Anda kedaluwarsa. Rencana pengerasan yang lebih luas ada di cara mengamankan domain Anda dari pembajakan DNS.
Pertanyaan tentang keamanan akun registrar
Apakah autentikasi dua faktor sudah cukup?
Perlu, tetapi tidak cukup sendirian. Kasus Avantis melewati panggilan dukungan. Tambahkan aturan tanpa perubahan lewat panggilan dan pengguna yang sedikit.
Apakah kunci transfer melindungi akun?
Tidak. Ia menghentikan pemindahan ke registrar lain. Ia tidak menghentikan seseorang yang memegang login dari mengubah nameserver atau rekaman.
Haruskah akun memakai email tim bersama?
Pakai kotak surat yang dikendalikan tim, dilindungi autentikasi dua faktor, bukan alamat pribadi salah satu anggota. Setiap domain juga memerlukan satu email terverifikasi untuk pendaftarannya.
Bagaimana jika kontributor yang memiliki akses keluar?
Ganti kata sandi, cabut aksesnya, rotasi kode pemulihan, dan tinjau rekaman DNS, semuanya di hari yang sama.
Bisakah Perlindungan domain menggantikan login yang kuat?
Tidak. Ia menempatkan domain atas nama perusahaan dan menambahkan tinjauan manusia atas pengaduan, dan akun tetap membutuhkan login yang kuat.
Ringkasan
- Akun registrar dapat mengubah nameserver, rekaman DS, dan pemilik.
- Pembajakan publik tahun 2024 dan 2026 melewati kelemahan login atau panggilan dukungan.
- Gunakan kata sandi acak minimal 20 karakter, di brankas, dan tidak dipakai di tempat lain.
- Aktifkan autentikasi dua faktor, sebaiknya dengan kunci perangkat keras.
- Tetapkan satu pemilik dan satu cadangan; cabut akses orang yang keluar di hari yang sama.
- Tulis aturan bahwa tidak ada perubahan atas dasar panggilan saja.
- Perlindungan domain berharga +US$29/tahun dan tidak menggantikan login yang kuat.
Sumber (3)
- Peneliti: default keamanan yang lemah memungkinkan pembajakan domain Squarespace — Krebs on Security (dibaca 2026-11-12)
- Front-end hijacking dan permukaan serangan Web2 yang mengancam protokol Web3 — Blockaid (dibaca 2026-11-12)
- Peretas membajak selusin situs DeFi, semuanya terdaftar di Name.com — The Block (dibaca 2026-11-12)