Risposta rapida
Come si protegge il proprio account di registrar dal furto?
Proteggete un account di registrar con una password lunga e casuale usata solo lì, l'autenticazione a due fattori, il minor numero possibile di utenti e un percorso di recupero che una telefonata all'assistenza non possa aggirare. Wardmint ha contato due incidenti nella sua tabella, a luglio 2024 e a febbraio 2026, in cui il punto debole era un accesso o un flusso di assistenza di un registrar o di una piattaforma, non i record DNS.
Controlli dell'account e incidente a cui risponde ciascuno
| Controllo | Cosa previene | Caso pubblico a cui risponde |
|---|---|---|
| Rivendicate voi stessi l'account di ogni dominio migrato | Un attaccante che crea l'account per primo | Migrazioni Squarespace, dal 9 al 12 luglio 2024 (debolezza OAuth) |
| Regola per le telefonate all'assistenza: nessuna modifica su richiesta vocale | Ingegneria sociale su un operatore dell'assistenza | Avantis, febbraio 2026 (account preso dopo una telefonata all'assistenza) |
| Autenticazione a due fattori sull'account | Accesso con una password rubata | Consigli di Name.com dopo i reindirizzamenti del 30-31 ottobre 2026 |
| Password lunga e unica in un vault | Riutilizzo e indovinamento delle credenziali | Pratica generale |
| Pochi utenti nominativi, rimossi alla loro uscita | Accesso di persone interne ed ex membri | Avvicendamento in una DAO e tra i collaboratori |
| Indirizzo di accesso nei segnalibri | Phishing degli accessi al registrar | Pratica generale |
Perché l'account del registrar è il bersaglio?
Perché può cambiare i name server, il record DS e il titolare, e nessun codice sulla vostra catena può annullarlo. Un dirottatore che accede come voi può puntare il dominio dove vuole e poi richiedere un certificato per la nuova destinazione.
Il registro pubblico mostra lo schema. Krebs on Security ha riferito a luglio 2024 che i domini migrati da Google Domains a Squarespace erano esposti a un attaccante che creava un account con l'e-mail legata a un dominio prima del titolare, e Squarespace ha attribuito ciò a una debolezza legata agli accessi OAuth. Blockaid ha scritto a febbraio 2026 che Avantis è stata compromessa tramite un account Squarespace preso dopo che i dati di fatturazione erano stati estratti in una telefonata all'assistenza. Il 30 e 31 ottobre 2026, i domini di una dozzina di siti DeFi registrati presso un unico registrar sono stati reindirizzati; il registrar li ha ripristinati e ha esortato a controllare il DNS e ad attivare l'autenticazione a due fattori.
Secondo il conteggio di Wardmint del 12 novembre 2026, due dei sette incidenti della sua tabella (l'ondata di luglio 2024 e il caso Avantis di febbraio 2026) ruotano attorno a un accesso o a un flusso di assistenza presso un registrar o una piattaforma. L'insieme completo è in quali progetti crypto hanno perso utenti a causa del dirottamento DNS.
Quali impostazioni di password e di accesso usare?
Usate una password casuale di almeno 20 caratteri, generata e conservata da un gestore di password, e non riutilizzatela mai. Un messaggio in una chat condivisa o un foglio di calcolo non è un vault. Se più di una persona ha bisogno dell'accesso, usate un vault di team con traccia di verifica e annotate chi ha visto il segreto.
Attivate l'autenticazione a due fattori sull'account. Una chiave di sicurezza hardware è il secondo fattore comune più forte, perché non consegna un codice a una pagina di phishing. Un'app di autenticazione è la scelta successiva; un codice inviato via SMS è il più debole. Conservate i codici di recupero offline, in due luoghi, e annotate chi può raggiungerli.
Su Wardmint si accede con un numero di account e una password, e si può attivare l'autenticazione a due fattori nell'area clienti; risposte via e-mail entro 12 ore, 7 giorni su 7, compreso l'aiuto con DNSSEC, record CAA e segnalazioni di abuso. Poiché per la registrazione stessa serve solo un'e-mail verificata per dominio, tenete l'e-mail dell'account su una casella che controllate e proteggetela con la stessa severità dell'account.
Chi dovrebbe avere accesso e come gestire una telefonata all'assistenza?
Nominate un titolare e un sostituto, documentateli entrambi e scrivete una regola secondo cui nessuna modifica viene fatta sulla base di una telefonata. Il caso Avantis mostra il perché. Se l'assistenza può modificare un account dopo una conversazione telefonica, la robustezza della vostra password non conta più.
Per una DAO o una fondazione, decidete in anticipo chi detiene le credenziali, come la tesoreria ricarica il saldo e come cambia l'accesso quando un collaboratore se ne va. Le pratiche di custodia condivisa sono in come dovrebbe una DAO detenere e pagare i propri domini. Rimuovete l'accesso lo stesso giorno in cui qualcuno lascia il team, e cambiate allora la password condivisa.
Per i domini più importanti, valutate la Protezione del dominio a +29 USD/anno per dominio: il dominio è registrato a nome di DomaineGoat LLC, voi restate il beneficiario con una restituzione gratuita a vostro nome, un blocco dei trasferimenti è attivo e ogni reclamo viene letto da una persona prima di qualsiasi azione. L'opzione è descritta in cos'è la Protezione del dominio. Riduce ciò che l'account detiene, e non sostituisce un accesso solido.
Come proteggere un account di registrar in sette passaggi
Fate l'inventario di ogni account e dominio
Elencate ogni account di registrar, i domini in esso contenuti e le persone che possono accedere. Includete gli account ereditati da migrazioni.
Rivendicate gli account migrati
Se un registrar ha assorbito il vostro vecchio registrar, accedete e confermate di essere voi, e non uno sconosciuto, a detenere l'account per ogni dominio.
Sostituite la password
Generate in un vault una password casuale di 20 caratteri o più e usatela solo per questo account.
Attivate l'autenticazione a due fattori
Preferite una chiave hardware, poi un'app di autenticazione. Conservate i codici di recupero offline in due luoghi.
Riducete e registrate gli accessi
Nominate un titolare e un sostituto, rimuovete tutti gli altri e annotate la data e il motivo di ogni modifica.
Scrivete la regola per le telefonate all'assistenza
Concordate che nessuno modifichi DNS, titolare o contatti sulla base di una telefonata o di una chat, e comunicatelo al vostro team.
Mettete l'accesso nei segnalibri e state attenti al phishing
Aprite il registrar solo dal vostro segnalibro. Considerate qualsiasi e-mail che vi chiede di accedere a un registrar come un possibile tentativo di phishing.
Come riconoscere una pagina di phishing che copia il vostro registrar?
Controllate l'indirizzo prima di digitare qualsiasi cosa, e non seguite mai un link di accesso da un'e-mail. Il phishing sui registrar fa leva sull'urgenza: un messaggio dice che il dominio sta per scadere o che c'è un reclamo. Aprite il registrar dal vostro segnalibro e cercate lo stesso avviso nell'account.
Usate un gestore di password che compili le credenziali solo sull'indirizzo esatto salvato, così una pagina di accesso simile non ottiene nulla. Le chiavi hardware aggiungono la stessa protezione al secondo fattore. Se inserite mai una password su una pagina dubbia, cambiatela subito, chiudete tutte le sessioni e rivedete i record DNS e l'e-mail di contatto.
Un secondo livello è la scadenza. Un dominio che scade può essere preso da chiunque, e il compito del rinnovo è trattato in come evitare che i vostri domini scadano. Il piano di rafforzamento più ampio è in come proteggere il proprio dominio dal dirottamento DNS.
Domande sulla sicurezza dell'account del registrar
L'autenticazione a due fattori basta?
È necessaria ma da sola non basta. Il caso Avantis è passato da una telefonata all'assistenza. Aggiungete una regola di nessuna modifica su telefonata e pochi utenti.
Un blocco dei trasferimenti protegge l'account?
No. Impedisce i trasferimenti verso un altro registrar. Non impedisce a chi ha l'accesso di cambiare name server o record.
L'account dovrebbe usare un'e-mail di team condivisa?
Usate una casella controllata dal team, protetta con l'autenticazione a due fattori, non l'indirizzo personale di un solo membro. Ogni dominio ha comunque bisogno di un'e-mail verificata per la sua registrazione.
E se un collaboratore con accesso se ne va?
Cambiate la password, rimuovete il suo accesso, ruotate i codici di recupero e rivedete i record DNS, tutto nello stesso giorno.
La Protezione del dominio può sostituire un accesso solido?
No. Intesta il dominio alla società e aggiunge la revisione umana dei reclami, e l'account ha comunque bisogno di un accesso solido.
In sintesi
- L'account del registrar può cambiare name server, record DS e titolare.
- I dirottamenti pubblici del 2024 e del 2026 sono passati da una debolezza di accesso o da una telefonata all'assistenza.
- Usate una password casuale di 20 caratteri o più, in un vault, usata solo lì.
- Attivate l'autenticazione a due fattori, preferibilmente con una chiave hardware.
- Nominate un titolare e un sostituto; rimuovete chi se ne va lo stesso giorno.
- Scrivete una regola secondo cui nessuna modifica viene fatta solo su telefonata.
- La Protezione del dominio costa +29 USD/anno e non sostituisce un accesso solido.
Fonti (3)
- Ricercatori: impostazioni di sicurezza deboli di default hanno permesso il dirottamento di domini Squarespace — Krebs on Security (letto il 2026-11-12)
- Dirottamento del front end e superficie di attacco Web2 che minaccia i protocolli Web3 — Blockaid (letto il 2026-11-12)
- Hacker dirottano una dozzina di siti DeFi registrati con Name.com — The Block (letto il 2026-11-12)