El origen del secuestro de dominios de Google en 2026
En octubre de 2026, una serie de ataques dirigidos logró secuestrar dominios de Google correspondientes a los sufijos territoriales de Ghana (.gh), Samoa Americana (.as) y Sierra Leona (.sl). Los atacantes consiguieron este control sin necesidad de vulnerar los sistemas internos de la compañía tecnológica, sino mediante el compromiso de los operadores externos que gestionan estos registros de dominios de nivel superior de código de país (ccTLD) y la posterior modificación de sus registros DNS autoritativos. [1]
El método utilizado por los atacantes explotó el funcionamiento básico de la emisión de certificados de seguridad en internet. Al alterar los registros DNS autoritativos de los ccTLDs afectados, los actores de amenazas redirigieron los dominios hacia una infraestructura bajo su propio control. Con este desvío, pudieron solicitar y obtener certificados HTTPS válidos ante las Autoridades de Certificación (CA), superando el proceso de verificación habitual que exige la creación de un registro TXT con un valor aleatorio. Esto les permitió suplantar la identidad de marcas legítimas y mostrar contenido arbitrario a los visitantes. [1]
Mitigación inmediata y el uso de CRLSets en Chrome
Como respuesta inmediata para mitigar el impacto, Google bloqueó los certificados no autorizados en su navegador Chrome mediante el uso de CRLSets, un mecanismo de de emergencia diseñado para inhabilitar rápidamente conexiones HTTPS revocadas o no confiables. Asimismo, la empresa colaboró con las autoridades emisoras para revocar formalmente dichos certificados, extendiendo la protección a otros clientes de la red, y aclaró que no hay indicios de que las CA implicadas hayan actuado de manera incorrecta. [1]
La intervención no se limitó a sus propios dominios. Tras analizar los registros de Transparencia de Certificados (CT), el gigante tecnológico identificó que otras marcas globales de primer nivel y servicios en línea ampliamente utilizados también habían sido comprometidos por el mismo vector de ataque. Ante este hallazgo, Google procedió a bloquear de manera proactiva estos certificados adicionales en Chrome para salvaguardar a los usuarios a la mayor brevedad posible. [1]
Limitaciones de la protección y advertencias de seguridad
A pesar de las medidas adoptadas, existen límites claros en el alcance de la protección. Google ha advertido explícitamente que, debido a la complejidad inherente a los secuestros de DNS, no es posible garantizar que se hayan identificado todos los dominios afectados por el incidente. Además, dado que la herramienta de emergencia CRLSets opera exclusivamente dentro del ecosistema de Chrome, los usuarios que utilicen otros navegadores web podrían no estar protegidos frente a esta amenaza. [1]
Al cierre de los informes iniciales, no se ha revelado la identidad de los atacantes ni la cantidad exacta de certificados comprometidos en la campaña. Como medida preventiva para el futuro, se recomienda a los propietarios de dominios vigilar activamente los registros de Transparencia de Certificados (CT) y publicar registros de Autorización de Autoridad de Certificación (CAA) restrictivos. Aunque estos registros CAA no detienen un secuestro de DNS activo, impiden la emisión de certificados adicionales mediante validaciones almacenadas en caché una vez que se restablece el control legítimo del DNS. [1]
EL FORMATO AUDIOVISUAL
El artículo, en vídeo
El montaje puede incluir material de contexto y recreaciones. Consulta las fuentes para distinguirlos de los registros del caso.
Leer la transcripción del reel
¿Alguna vez has pensado que para hackear a un gigante como Google hace falta tumbar sus propios servidores? Pues la realidad es que el ataque ocurrió atacando a operadores externos de registros de países como Ghana, Samoa Americana y Sierra Leona. Al cambiar los registros que controlan a dónde apunta cada dirección, lograron convencer a las autoridades de que eran dueños legítimos. Eso les dio certificados válidos para hacerse pasar por ellos, demostrando que a veces la puerta trasera está en el eslabón más inesperado. Así de frágil puede ser el mapa de internet.
TRANSPARENCIA EDITORIAL
Fuentes y alcance
Las referencias permiten contrastar la información. Su presencia no equivale a una verificación independiente de todas las afirmaciones.
- FUENTE SECUNDARIAHackers hijack Google domains after breaching ccTLD registries