Krótka odpowiedź
Jak chronić konto rejestratora przed przejęciem?
Chroń konto rejestratora długim losowym hasłem, używanym nigdzie indziej, uwierzytelnianiem dwuskładnikowym, jak najmniejszą liczbą użytkowników i ścieżką odzyskiwania, której nie obejdzie rozmowa ze wsparciem. Wardmint naliczył w swojej tabeli dwa incydenty, z lipca 2024 i lutego 2026, w których słabym punktem było logowanie do rejestratora lub platformy albo proces wsparcia, a nie rekordy DNS.
Zabezpieczenia konta i incydent, na który każde odpowiada
| Zabezpieczenie | Czemu zapobiega | Publiczny przypadek, na który odpowiada |
|---|---|---|
| Samodzielnie przejmij konto każdej przeniesionej domeny | Założeniu konta przez atakującego jako pierwszego | Migracje Squarespace, 9 do 12 lipca 2024 (słabość OAuth) |
| Zasada rozmów ze wsparciem: żadnych zmian na prośbę głosową | Socjotechnice wobec konsultanta wsparcia | Avantis, luty 2026 (konto przejęte po rozmowie ze wsparciem) |
| Uwierzytelnianie dwuskładnikowe na koncie | Logowaniu z użyciem skradzionego hasła | Zalecenie Name.com po przekierowaniach z 30 do 31 października 2026 |
| Unikalne długie hasło w sejfie | Ponownemu użyciu danych logowania i zgadywaniu | Praktyka ogólna |
| Niewielu nazwanych użytkowników, usuwanych przy odejściu | Dostępowi osób wewnętrznych i byłych członków | Rotacja w DAO i wśród współtwórców |
| Zakładka z adresem logowania | Phishingowi na logowania do rejestratorów | Praktyka ogólna |
Dlaczego konto rejestratora jest celem?
Ponieważ może zmienić serwery nazw, rekord DS i właściciela, a żaden kod w Państwa łańcuchu bloków tego nie cofnie. Przejmujący, który loguje się jako Państwo, może skierować domenę, dokąd zechce, a następnie zażądać certyfikatu dla nowego miejsca docelowego.
Publiczny zapis pokazuje ten wzorzec. Krebs on Security podał w lipcu 2024, że domeny przeniesione z Google Domains do Squarespace były otwarte dla atakującego, który założył konto z adresem e-mail powiązanym z domeną przed właścicielem, a Squarespace przypisało to słabości związanej z logowaniem OAuth. Blockaid napisał w lutym 2026, że Avantis zostało naruszone przez konto Squarespace przejęte po wyłudzeniu danych rozliczeniowych podczas rozmowy ze wsparciem. 30 i 31 października 2026 domeny tuzina witryn DeFi zarejestrowanych u jednego rejestratora zostały przekierowane; rejestrator je przywrócił i wezwał do sprawdzenia DNS oraz uwierzytelniania dwuskładnikowego.
Według zliczenia Wardmint z 12 listopada 2026 dwa z siedmiu incydentów w jego tabeli (fala z lipca 2024 i przypadek Avantis z lutego 2026) opierają się na logowaniu lub procesie wsparcia u rejestratora lub platformy. Pełny zestaw znajduje się w które projekty kryptowalutowe straciły użytkowników przez przejęcie DNS.
Jakiej konfiguracji hasła i logowania używać?
Używaj losowego hasła o długości co najmniej 20 znaków, wygenerowanego i przechowywanego przez menedżer haseł, i nigdy nie używaj go ponownie. Wiadomość na wspólnym czacie lub arkusz kalkulacyjny nie jest sejfem. Jeśli dostęp potrzebny jest więcej niż jednej osobie, należy użyć sejfu zespołowego ze śladem audytu i zapisać, kto widział sekret.
Należy włączyć uwierzytelnianie dwuskładnikowe dla konta. Sprzętowy klucz bezpieczeństwa jest najsilniejszym powszechnym drugim składnikiem, ponieważ nie oddaje kodu stronie phishingowej. Aplikacja uwierzytelniająca jest następnym wyborem; kod wysłany SMS-em jest najsłabszy. Kody odzyskiwania należy przechowywać offline, w dwóch miejscach, i zapisać, kto ma do nich dostęp.
W Wardmint logują się Państwo numerem konta i hasłem, a uwierzytelnianie dwuskładnikowe można włączyć w panelu klienta; odpowiedzi e-mailem w ciągu 12 godzin, 7 dni w tygodniu, także pomoc w sprawie DNSSEC, rekordów CAA i zgłoszeń nadużyć. Ponieważ do samej rejestracji potrzebny jest tylko jeden zweryfikowany e-mail na domenę, adres konta należy trzymać na skrzynce, którą Państwo kontrolują, i chronić tę skrzynkę równie rygorystycznie jak konto.
Kto powinien mieć dostęp i jak obsługiwać rozmowę ze wsparciem?
Wyznacz jednego właściciela i jedną osobę zapasową, udokumentuj obie i spisz zasadę, że żadna zmiana nie jest dokonywana na podstawie rozmowy telefonicznej. Przypadek Avantis pokazuje dlaczego. Jeśli wsparcie może zmienić konto po rozmowie telefonicznej, siła Państwa hasła przestaje mieć znaczenie.
W przypadku DAO lub fundacji należy z góry ustalić, kto trzyma dane dostępowe, jak skarbiec doładowuje saldo i jak zmienia się dostęp, gdy współtwórca odchodzi. Praktyki wspólnego powiernictwa opisuje jak DAO powinno przechowywać swoje domeny i za nie płacić. Dostęp należy odebrać tego samego dnia, gdy ktoś opuszcza zespół, i wtedy zmienić wspólne hasło.
Dla najważniejszych domen warto rozważyć Ochronę domeny za +29 USD/rok za domenę: domena jest rejestrowana na nazwę DomaineGoat LLC, Państwo pozostają beneficjentem z bezpłatnym przekazaniem na własną nazwę, blokada transferu jest włączona, a każda skarga jest czytana przez człowieka przed jakimkolwiek działaniem. Opcja jest opisana w czym jest Ochrona domeny. Zmniejsza to, co przechowuje konto, i nie zastępuje silnego logowania.
Jak chronić konto rejestratora w siedmiu krokach
Zinwentaryzuj każde konto i domenę
Wypisz każde konto rejestratora, domeny w nim i osoby, które mogą się zalogować. Uwzględnij konta odziedziczone po migracjach.
Przejmij przeniesione konta
Jeśli rejestrator wchłonął Państwa dawnego, zaloguj się i potwierdź, że to Państwo, a nie obca osoba, trzymają konto dla każdej domeny.
Zmień hasło
Wygeneruj losowe hasło o długości 20 znaków lub więcej w sejfie i używaj go tylko dla tego konta.
Włącz uwierzytelnianie dwuskładnikowe
Wybierz najpierw klucz sprzętowy, potem aplikację uwierzytelniającą. Kody odzyskiwania przechowuj offline w dwóch miejscach.
Ogranicz i rejestruj dostęp
Wyznacz jednego właściciela i jedną osobę zapasową, usuń wszystkich pozostałych i zanotuj datę oraz powód każdej zmiany.
Spisz zasadę rozmów ze wsparciem
Ustal, że nikt nie zmienia DNS, właściciela ani kontaktów na podstawie rozmowy lub czatu, i poinformuj zespół.
Zapisz zakładkę logowania i uważaj na phishing
Otwieraj rejestratora tylko z zakładki. Każdy e-mail z prośbą o zalogowanie do rejestratora traktuj jako możliwą próbę phishingu.
Jak rozpoznać stronę phishingową kopiującą Państwa rejestratora?
Sprawdź adres, zanim cokolwiek wpiszesz, i nigdy nie podążaj za linkiem logowania z e-maila. Phishing rejestratorów opiera się na pośpiechu: wiadomość mówi, że domena zaraz wygaśnie lub ma skargę. Otwórz rejestratora z zakładki i poszukaj tego samego powiadomienia na koncie.
Użyj menedżera haseł, który wypełnia dane logowania tylko na dokładnym zapisanym adresie, tak aby strona logowania łudząco podobna nic nie dostała. Klucze sprzętowe dają tę samą ochronę drugiemu składnikowi. Jeśli kiedykolwiek wpiszesz hasło na wątpliwej stronie, zmień je natychmiast, zakończ wszystkie sesje i przejrzyj rekordy DNS oraz e-mail kontaktowy.
Druga warstwa to wygaśnięcie. Domenę, która wygasa, może przejąć każdy, a obowiązek odnawiania opisuje jak zapobiec wygasaniu domen. Szerszy plan wzmocnienia znajduje się w jak zabezpieczyć domenę przed przejęciem DNS.
Pytania o bezpieczeństwo konta rejestratora
Czy uwierzytelnianie dwuskładnikowe wystarcza?
Jest konieczne, ale samo nie wystarcza. Przypadek Avantis przeszedł przez rozmowę ze wsparciem. Należy dodać zasadę braku zmian na podstawie rozmowy i niewielką liczbę użytkowników.
Czy blokada transferu chroni konto?
Nie. Zatrzymuje transfery do innego rejestratora. Nie powstrzymuje osoby z danymi logowania przed zmianą serwerów nazw lub rekordów.
Czy konto powinno używać wspólnego e-maila zespołu?
Należy użyć skrzynki kontrolowanej przez zespół, chronionej uwierzytelnianiem dwuskładnikowym, a nie prywatnego adresu jednego członka. Każda domena potrzebuje też jednego zweryfikowanego e-maila do swojej rejestracji.
Co jeśli współtwórca z dostępem odejdzie?
Zmień hasło, odbierz mu dostęp, wymień kody odzyskiwania i przejrzyj rekordy DNS, wszystko tego samego dnia.
Czy Ochrona domeny może zastąpić silne logowanie?
Nie. Umieszcza domenę na nazwę spółki i dodaje ludzką weryfikację skarg, a konto nadal potrzebuje silnego logowania.
Podsumowanie
- Konto rejestratora może zmienić serwery nazw, rekordy DS i właściciela.
- Publiczne przejęcia z 2024 i 2026 przeszły przez słabość logowania lub rozmowę ze wsparciem.
- Używaj losowego hasła o długości 20 znaków lub więcej, w sejfie, nigdzie indziej nieużywanego.
- Włącz uwierzytelnianie dwuskładnikowe, najlepiej z kluczem sprzętowym.
- Wyznacz jednego właściciela i jedną osobę zapasową; odchodzących usuwaj tego samego dnia.
- Spisz zasadę, że żadna zmiana nie jest dokonywana wyłącznie na podstawie rozmowy.
- Ochrona domeny kosztuje +29 USD/rok i nie zastępuje silnego logowania.
Źródła (3)
- Badacze: słabe domyślne ustawienia zabezpieczeń umożliwiły przejęcia domen Squarespace — Krebs on Security (odczytano 2026-11-12)
- Przejęcie front-endu i powierzchnia ataku Web2 zagrażająca protokołom Web3 — Blockaid (odczytano 2026-11-12)
- Hakerzy przejmują tuzin witryn DeFi zarejestrowanych w Name.com — The Block (odczytano 2026-11-12)