Trả lời nhanh
Làm sao bảo vệ tài khoản nhà đăng ký khỏi bị chiếm?
Bảo vệ tài khoản nhà đăng ký bằng mật khẩu ngẫu nhiên dài không dùng ở nơi nào khác, xác thực hai yếu tố, càng ít người dùng càng tốt, và một lộ trình khôi phục mà cuộc gọi hỗ trợ không thể vượt qua. Wardmint đếm được hai sự cố trong bảng của mình, vào tháng 7 năm 2024 và tháng 2 năm 2026, nơi điểm yếu là đăng nhập hoặc luồng hỗ trợ của nhà đăng ký hoặc nền tảng, không phải bản ghi DNS.
Các kiểm soát tài khoản và sự cố mà mỗi kiểm soát giải quyết
| Kiểm soát | Nó ngăn điều gì | Trường hợp công khai nó giải quyết |
|---|---|---|
| Tự nhận tài khoản của mọi tên miền đã chuyển về chính bạn | Kẻ tấn công tạo tài khoản trước | Chuyển từ Squarespace, 9 đến 12 tháng 7 năm 2024 (điểm yếu OAuth) |
| Quy tắc cuộc gọi hỗ trợ: không thay đổi khi có yêu cầu qua điện thoại | Kỹ thuật xã hội nhắm vào nhân viên hỗ trợ | Avantis, tháng 2 năm 2026 (tài khoản bị chiếm sau một cuộc gọi hỗ trợ) |
| Xác thực hai yếu tố trên tài khoản | Đăng nhập bằng mật khẩu bị đánh cắp | Lời khuyên của Name.com sau các chuyển hướng ngày 30 đến 31 tháng 10 năm 2026 |
| Mật khẩu dài duy nhất trong kho bảo mật | Tái sử dụng và đoán thông tin đăng nhập | Thực hành chung |
| Ít người dùng được đặt tên, gỡ bỏ khi rời đi | Truy cập của người trong cuộc và cựu thành viên | Luân chuyển DAO và người đóng góp |
| Địa chỉ đăng nhập đã đánh dấu | Lừa đảo đăng nhập nhà đăng ký | Thực hành chung |
Vì sao tài khoản nhà đăng ký là mục tiêu?
Vì nó có thể đổi name server, bản ghi DS và chủ sở hữu, và không đoạn mã nào trên chuỗi của bạn có thể hoàn tác điều đó. Kẻ chiếm quyền đăng nhập với danh nghĩa bạn có thể trỏ tên miền đi bất cứ đâu rồi yêu cầu chứng chỉ cho đích mới.
Hồ sơ công khai cho thấy mô thức này. Krebs on Security báo cáo vào tháng 7 năm 2024 rằng các tên miền chuyển từ Google Domains sang Squarespace có thể bị kẻ tấn công tạo tài khoản bằng email gắn với tên miền trước khi chủ sở hữu làm điều đó, và Squarespace quy điều này cho một điểm yếu liên quan đến đăng nhập OAuth. Blockaid viết vào tháng 2 năm 2026 rằng Avantis bị xâm phạm qua một tài khoản Squarespace bị chiếm sau khi thông tin thanh toán bị lấy trong một cuộc gọi hỗ trợ. Ngày 30 và 31 tháng 10 năm 2026, các tên miền của khoảng một chục trang DeFi đăng ký tại một nhà đăng ký bị chuyển hướng; nhà đăng ký khôi phục chúng và khuyến nghị kiểm tra DNS và xác thực hai yếu tố.
Theo cách đếm của Wardmint ngày 12 tháng 11 năm 2026, hai trong bảy sự cố trong bảng của họ (đợt tháng 7 năm 2024 và vụ Avantis tháng 2 năm 2026) xoay quanh một luồng đăng nhập hoặc hỗ trợ tại nhà đăng ký hoặc nền tảng. Bộ đầy đủ nằm trong các dự án tiền mã hóa nào đã mất người dùng vì chiếm DNS.
Bạn nên dùng thiết lập mật khẩu và đăng nhập nào?
Dùng một mật khẩu ngẫu nhiên dài ít nhất 20 ký tự, do trình quản lý mật khẩu tạo và lưu, và không bao giờ tái sử dụng. Một tin nhắn chat chia sẻ hay bảng tính không phải là kho bảo mật. Nếu nhiều người cần truy cập, hãy dùng kho nhóm có nhật ký kiểm toán, và ghi lại ai đã thấy bí mật.
Bật xác thực hai yếu tố cho tài khoản. Khóa bảo mật phần cứng là yếu tố thứ hai phổ biến mạnh nhất, vì nó không đưa mã cho trang lừa đảo. Ứng dụng xác thực là lựa chọn kế tiếp; mã gửi qua tin nhắn văn bản là yếu nhất. Lưu mã khôi phục ngoại tuyến, ở hai nơi, và ghi lại ai có thể liên hệ được với chúng.
Trên Wardmint, bạn đăng nhập bằng số tài khoản và mật khẩu, và bạn có thể bật xác thực hai yếu tố trong khu vực khách hàng; trả lời email trong vòng 12 giờ, 7 ngày một tuần, kể cả hỗ trợ về DNSSEC, bản ghi CAA và báo cáo lạm dụng. Vì chỉ cần một email đã xác minh cho mỗi tên miền để đăng ký, hãy giữ email tài khoản trên một hộp thư bạn kiểm soát, và bảo vệ hộp thư đó nghiêm ngặt như tài khoản.
Ai nên có quyền truy cập, và bạn xử lý cuộc gọi hỗ trợ thế nào?
Đặt một người điều hành và một người dự phòng, ghi lại cả hai, và viết quy tắc rằng không thay đổi nào được thực hiện chỉ dựa trên một cuộc gọi. Vụ Avantis cho thấy lý do. Nếu hỗ trợ có thể đổi một tài khoản sau một cuộc gọi điện thoại, thì độ mạnh của mật khẩu bạn không còn quan trọng nữa.
Với một DAO hoặc quỹ, hãy quyết định trước ai giữ thông tin xác thực, kho quỹ nạp số dư như thế nào, và quyền truy cập thay đổi ra sao khi một người đóng góp rời đi. Các thực hành cho việc lưu giữ chung nằm trong cách DAO nên giữ và thanh toán tên miền. Hãy gỡ quyền truy cập trong cùng ngày một người rời nhóm, và đổi mật khẩu chung ngay lúc đó.
Với các tên miền quan trọng nhất, hãy cân nhắc Bảo vệ tên miền với mức +29 US$/năm cho mỗi tên miền: tên miền được đăng ký dưới tên DomaineGoat LLC, bạn vẫn là người thụ hưởng với quyền trả lại tên cho chính bạn miễn phí, khóa chuyển nhượng được bật, và mọi khiếu nại đều do một người đọc trước khi có bất kỳ hành động nào. Tùy chọn được mô tả trong Bảo vệ tên miền là gì. Nó làm giảm những gì tài khoản nắm giữ, và nó không thay thế được một đăng nhập mạnh.
Cách bảo vệ tài khoản nhà đăng ký trong bảy bước
Liệt kê mọi tài khoản và tên miền
Liệt kê từng tài khoản nhà đăng ký, các tên miền trong đó và những người có thể đăng nhập. Bao gồm cả các tài khoản được thừa kế từ các đợt chuyển.
Nhận lại các tài khoản đã chuyển
Nếu một nhà đăng ký đã hấp thụ tài khoản cũ của bạn, hãy đăng nhập và xác nhận rằng bạn, không phải người lạ, giữ tài khoản cho từng tên miền.
Thay mật khẩu
Tạo một mật khẩu ngẫu nhiên từ 20 ký tự trở lên trong kho bảo mật và chỉ dùng nó cho tài khoản này.
Bật xác thực hai yếu tố
Ưu tiên khóa phần cứng, rồi đến ứng dụng xác thực. Lưu mã khôi phục ngoại tuyến, ở hai nơi.
Giảm và ghi lại quyền truy cập
Đặt một người điều hành và một người dự phòng, gỡ mọi người khác và ghi ngày và lý do cho mỗi thay đổi.
Viết quy tắc về cuộc gọi hỗ trợ
Thống nhất rằng không ai thay đổi DNS, chủ sở hữu hay thông tin liên hệ chỉ dựa trên một cuộc gọi hoặc trò chuyện, và báo cho cả nhóm.
Đánh dấu trang đăng nhập và cảnh giác với lừa đảo
Chỉ mở nhà đăng ký từ dấu trang của bạn. Coi mọi email yêu cầu bạn đăng nhập vào nhà đăng ký là một khả năng phishing.
Làm sao nhận ra một trang phishing sao chép nhà đăng ký của bạn?
Kiểm tra địa chỉ trước khi bạn gõ bất cứ thứ gì, và không bao giờ làm theo liên kết đăng nhập từ email. Phishing nhà đăng ký dựa vào sự gấp gáp: một thông báo nói tên miền sắp hết hạn hoặc có khiếu nại. Hãy mở nhà đăng ký từ dấu trang và tìm cùng thông báo đó trong tài khoản.
Dùng trình quản lý mật khẩu chỉ điền thông tin đăng nhập trên đúng địa chỉ đã lưu, để một trang đăng nhập giống không nhận được gì. Khóa phần cứng mang lại cùng sự bảo vệ cho yếu tố thứ hai. Nếu bạn từng nhập mật khẩu vào một trang đáng ngờ, hãy đổi nó ngay, kết thúc mọi phiên và rà soát bản ghi DNS cùng email liên hệ.
Lớp thứ hai là hết hạn. Một tên miền đã hết hạn có thể bị bất kỳ ai nhận, và nghĩa vụ gia hạn được nói trong cách ngăn tên miền hết hạn. Kế hoạch gia cố rộng hơn nằm trong cách bảo mật tên miền của bạn trước chiếm quyền DNS.
Câu hỏi về bảo mật tài khoản nhà đăng ký
Xác thực hai yếu tố có đủ không?
Nó cần thiết nhưng không đủ một mình. Vụ Avantis đi qua một cuộc gọi hỗ trợ. Hãy thêm quy tắc không thay đổi qua cuộc gọi và giữ số người dùng ít.
Khóa chuyển nhượng có bảo vệ tài khoản không?
Không. Nó ngăn chuyển sang nhà đăng ký khác. Nó không ngăn người có thông tin đăng nhập đổi name server hoặc bản ghi.
Tài khoản có nên dùng một email nhóm dùng chung không?
Hãy dùng một hộp thư do nhóm kiểm soát, được bảo vệ bằng xác thực hai yếu tố, không dùng địa chỉ cá nhân của một thành viên. Mỗi tên miền cũng cần một email đã xác minh cho việc đăng ký.
Nếu một người đóng góp có quyền truy cập rời đi thì sao?
Đổi mật khẩu, gỡ quyền truy cập của họ, xoay mã khôi phục và rà soát bản ghi DNS, tất cả trong cùng một ngày.
Bảo vệ tên miền có thể thay thế một đăng nhập mạnh không?
Không. Nó đặt tên miền dưới tên công ty và thêm việc con người xem xét khiếu nại, và tài khoản vẫn cần một đăng nhập mạnh.
Tóm tắt
- Tài khoản nhà đăng ký có thể đổi name server, bản ghi DS và chủ sở hữu.
- Các vụ chiếm quyền công khai năm 2024 và 2026 đi qua một điểm yếu đăng nhập hoặc một cuộc gọi hỗ trợ.
- Dùng mật khẩu ngẫu nhiên từ 20 ký tự trở lên, trong kho bảo mật, không dùng ở nơi khác.
- Bật xác thực hai yếu tố, tốt nhất bằng khóa phần cứng.
- Đặt một người điều hành và một người dự phòng; gỡ người rời đi trong cùng ngày.
- Viết quy tắc rằng không thay đổi nào được thực hiện chỉ dựa trên một cuộc gọi.
- Bảo vệ tên miền có giá +29 US$/năm và không thay thế được một mật khẩu mạnh.
Nguồn (3)
- Nhà nghiên cứu: cài đặt bảo mật mặc định yếu đã tạo điều kiện cho vụ chiếm tên miền Squarespace — Krebs on Security (đọc ngày 2026-11-12)
- Chiếm front end và bề mặt tấn công Web2 đe dọa các giao thức Web3 — Blockaid (đọc ngày 2026-11-12)
- Tin tặc chiếm hàng chục website DeFi, tất cả đăng ký với Name.com — The Block (đọc ngày 2026-11-12)