Las consecuencias de perder un dominio son inmediatas y serias. Tu web se cae, tu correo deja de funcionar y cualquier visitante que escriba tu dirección llega a un sitio que no controlas. Para una marca que ha construido su reputación en torno a un nombre concreto, el daño va mucho más allá de la interrupción técnica. Recuperar un dominio secuestrado es posible, pero es lento, incierto y a veces no se consigue. El mejor enfoque, con diferencia, es dificultar el secuestro desde el principio.
¿Qué es el secuestro de dominio?
El secuestro de dominio es cuando alguien toma el control de un dominio tuyo sin tu permiso. El atacante transfiere el dominio a otro registrador, cambia la titularidad del dominio a otra cuenta o hace ambas cosas en secuencia. Cuando la transferencia se completa, pierdes la capacidad de gestionar el dominio, renovarlo o apuntarlo a tu servidor.
Es distinto de la ocupación de dominios, en la que alguien registra un nombre parecido al tuyo. El secuestro apunta a un dominio que ya es tuyo y en torno al cual has construido tu marca. El objetivo del atacante suele ser vendértelo de vuelta a un precio inflado, retenerlo para pedir un rescate, redirigir tu tráfico o hacerse con tu correo para acceder a otras cuentas vinculadas a esa dirección.
Para entender por qué es posible, ayuda saber cómo funciona normalmente una transferencia de dominio. Cuando mueves un dominio de un registrador a otro, das un código de autorización y confirmas la solicitud. La transferencia tarda varios días en completarse y se puede cancelar durante esa ventana. Los secuestradores explotan este proceso entrando en tu cuenta del registrador o en tu correo, autorizando ellos mismos la transferencia y completándola antes de que notes nada raro. Puedes leer más sobre cómo funciona el proceso de transferencia en el capítulo sobre qué es una transferencia de dominio.
¿Cómo ocurre el secuestro de dominio?
El secuestro casi siempre empieza por una de cuatro vías de entrada. Cerrar las cuatro es la forma de protegerte.
Ataques de phishing contra el acceso a tu registrador
El método más común es un correo de phishing que imita un mensaje de tu registrador de dominios. El mensaje puede avisarte de que tu dominio está a punto de caducar, de que se detectó un inicio de sesión sospechoso o de que debes verificar tu cuenta. El enlace del correo lleva a una página de acceso falsa que captura tu usuario y tu contraseña. Con esas credenciales, el atacante entra en tu cuenta real e inicia una transferencia.
Los correos de phishing dirigidos a titulares de dominios se han vuelto muy convincentes. Copian exactamente la imagen y el lenguaje de las comunicaciones reales de los registradores. La única defensa fiable es no hacer clic nunca en enlaces de correos que te piden iniciar sesión. En su lugar, abre directamente la web de tu registrador desde el navegador y revisa tu cuenta desde ahí.
Cuentas de correo comprometidas
Tu cuenta del registrador es tan segura como el correo vinculado a ella. Si un atacante accede a tu correo, puede usar la función de "olvidé mi contraseña" de tu registrador para restablecer tu acceso y quedarse con tu cuenta. Por eso el correo de contacto de tu registrador es uno de los activos más sensibles que tienes. Una contraseña débil o reutilizada en esa cuenta de correo crea un camino directo hacia tu dominio.
Contraseñas débiles o reutilizadas
Una contraseña débil en tu cuenta del registrador es una invitación abierta. Los atacantes usan herramientas automáticas que toman combinaciones de usuario y contraseña filtradas en otras brechas de datos y las prueban de forma automática en las páginas de acceso de los registradores. Si reutilizas una contraseña de cualquier otro servicio que haya sido comprometido alguna vez, tu dominio está en riesgo.
Ataques de ingeniería social
Algunos secuestradores se saltan por completo los métodos técnicos y contactan directamente con el soporte de tu registrador haciéndose pasar por ti. Dicen haber perdido el acceso a su cuenta y piden al soporte que restablezca las credenciales. Si tus datos de contacto WHOIS son visibles públicamente, ya tienen tu nombre, tu correo y tu dirección para respaldar su versión. Es uno de los motivos por los que la privacidad WHOIS importa para la seguridad del dominio, un tema que cubre el capítulo anterior sobre qué es la privacidad WHOIS.
¿Cuáles son las consecuencias del secuestro de dominio?
Los efectos de un secuestro exitoso llegan más allá del propio dominio. Tu web se cae en cuanto el atacante cambia los ajustes DNS. Los visitantes ven errores o llegan a una página que no creaste. El correo enviado a tu dominio rebota o va a la bandeja del atacante, incluidos los correos de restablecimiento de contraseña de cualquier servicio vinculado a esa dirección. Todas las cuentas que usan el correo de tu dominio quedan expuestas.
El daño a la marca se acumula rápido. Los clientes que intentan contactarte no pueden. Los socios que te escriben no reciben respuesta. Si el atacante pone una página fraudulenta en tu dominio, los visitantes pueden ser engañados o que les roben datos, y el nombre de tu marca quedará asociado a esa experiencia.
Recuperar el dominio mediante el proceso de disputas de ICANN o una orden judicial puede llevar de semanas a meses. No hay garantía de recuperación. Algunos dominios se transfieren a registradores de países donde es difícil reclamar, y algunos atacantes venden los dominios tan rápido que el rastro se complica. Cuanto más tarda la recuperación, más se deterioran las posiciones en buscadores y la reputación del correo de una marca.
¿Cómo se previene el secuestro de dominio?
La prevención es sencilla. Cada una de las medidas siguientes cubre una de las vías de entrada que usan los atacantes. Juntas hacen que secuestrar tu dominio sea bastante más difícil que atacar a alguien que no ha dado estos pasos.
Mantén activado el bloqueo del registrador (bloqueo de transferencia)
El bloqueo del registrador, también llamado bloqueo de transferencia o bloqueo de dominio, es un ajuste de estado que impide que tu dominio se transfiera a otro registrador hasta que lo desactives de forma expresa. Con el bloqueo activado, cualquier solicitud de transferencia se rechaza automáticamente. La mayoría de los registradores ofrecen esta función y la dejan desactivada por defecto, que es lo contrario de lo que te conviene.
Entra ahora mismo en tu cuenta del registrador y comprueba si el bloqueo de tu dominio está activado. Si no lo está, actívalo. El único momento en que debes desactivarlo es cuando estés haciendo tú mismo una transferencia del dominio, y debes volver a activarlo en cuanto se complete.
Usa una contraseña fuerte y única para tu cuenta del registrador
La contraseña de tu cuenta del registrador debe ser larga, aleatoria y no usarse en ningún otro sitio. Un gestor de contraseñas lo hace fácil. Genera una contraseña de al menos 16 caracteres y guárdala en un gestor de contraseñas, en lugar de apuntarla o intentar recordarla. No reutilices nunca la contraseña de otro servicio para el acceso a tu registrador.
Activa la verificación en dos pasos en tu cuenta del registrador
La verificación en dos pasos (2FA) exige un segundo elemento de verificación, normalmente un código de una app de autenticación, además de tu contraseña al iniciar sesión. Aunque un atacante consiga tu contraseña mediante phishing o una brecha de datos, no puede entrar en tu cuenta sin controlar también tu segundo factor. La mayoría de los registradores importantes admiten 2FA. Si el tuyo no, es un motivo para plantearte cambiar a uno que sí.
Usa una app de autenticación en lugar de la verificación por SMS siempre que puedas. Los códigos SMS pueden interceptarse con ataques en los que alguien engaña a tu operador móvil para pasar tu número a un dispositivo que controla. Un autenticador basado en app resiste mejor este tipo de ataque.
Mantén seguro y accesible el correo de contacto de WHOIS
La dirección de correo del registro WHOIS de tu dominio es la que usa tu registrador para enviar las solicitudes de confirmación de transferencia. Si un atacante inicia una transferencia, el correo de confirmación va a esa dirección. Si ya no tienes acceso a ella, o si la controla el atacante, la transferencia puede completarse sin que lo sepas.
Usa una dirección de correo dedicada para el registro de tu dominio, no un correo personal que podrías abandonar ni una bandeja compartida a la que otros tengan acceso. Asegúrate de que esa cuenta tenga una contraseña fuerte y 2FA activado. Revísala con la frecuencia suficiente para ver un correo de confirmación de transferencia antes de que se cierre la ventana de transferencia.
Activa la privacidad WHOIS para reducir el riesgo de ingeniería social
Cuando la privacidad WHOIS está desactivada, tu nombre, tu correo, tu teléfono y tu dirección postal se pueden buscar públicamente en la base de datos mundial de WHOIS. Esa información le da a quien practica ingeniería social todo lo que necesita para hacerse pasar por ti al contactar con el soporte de tu registrador. La privacidad WHOIS sustituye tus datos personales de contacto por datos genéricos de contacto del registrador, y elimina la materia prima de este tipo de ataque.
Los detalles completos de cómo funciona la privacidad WHOIS y qué protege se cubren en el capítulo anterior sobre la privacidad WHOIS. Si todavía no está activada en tu dominio, activarla ahora elimina un riesgo más.
Registra tu dominio con un registrador de confianza
No todos los registradores tienen los mismos estándares de seguridad ni las mismas prácticas de atención al cliente. Un registrador con verificación de identidad rigurosa, procedimientos claros de escalado en disputas de cuentas y buen soporte de 2FA tiene menos probabilidades de entregar tu dominio a alguien que se hace pasar por ti que uno que se apoya en una verificación mínima. Registrar un dominio con un proveedor barato para ahorrar unos euros crea un equilibrio de seguridad que no compensa. El capítulo sobre cómo registrar un dominio cubre en qué fijarte al elegir registrador.
Renueva el registro de tu dominio antes de que caduque
Un dominio caducado es un dominio vulnerable. Cuando tu registro vence, el dominio entra en un periodo de gracia y después queda disponible para que cualquiera lo registre. Los atacantes vigilan los dominios que caducan, sobre todo los de marcas consolidadas y con backlinks, y los registran en el momento en que caen. En ese punto, recuperar el dominio exige negociar con quien lo haya registrado, lo que puede ser caro o imposible.
Activa la renovación automática en todos tus dominios. Pon un recordatorio en el calendario al menos 60 días antes de la caducidad como respaldo. Asegúrate de que tu método de pago registrado esté al día para que la renovación automática no falle en silencio. Si quieres entender el calendario completo de caducidad y qué pasa en cada fase, el capítulo sobre qué es la caducidad de un dominio y cómo comprobarla cubre cada fase en detalle. El capítulo sobre cómo comprar un nombre de dominio de forma permanente cubre estrategias de registro a largo plazo que reducen aún más el riesgo de caducidad.
¿Qué debes hacer si han secuestrado tu dominio?
La rapidez importa. Cuanto antes actúes, más posibilidades de recuperarlo. Este es el orden de las acciones.
Contacta de inmediato con el soporte de tu registrador e informa de la transferencia no autorizada. Aporta toda la documentación que puedas, incluidos los recibos del registro original, el historial de pagos y cualquier correspondencia que te acredite como titular legítimo. Los registradores tienen procedimientos para gestionar los avisos de secuestro y a veces pueden congelar o revertir una transferencia si se inició hace poco y no se ha completado del todo.
Si el dominio ya se ha transferido a otro registrador, presenta una reclamación ante ICANN mediante su proceso de disputas de transferencia. Este proceso está diseñado específicamente para tratar las transferencias no autorizadas y puede obligar a un registrador a revertir una. Suele tardar de 30 a 60 días y requiere documentación que acredite la titularidad.
En paralelo, documenta todo. Haz capturas de pantalla de tu cuenta del registrador, de los correos que recibiste y de cualquier cambio visible en WHOIS. Esta documentación respalda tanto la reclamación ante ICANN como cualquier acción legal que tengas que emprender.
Cambia la contraseña y activa 2FA en tu cuenta del registrador y en tu correo de contacto de WHOIS de inmediato, aunque el dominio ya se haya movido. Si un atacante comprometió esas cuentas, dejarlas abiertas expone otros dominios tuyos y permite al atacante interferir en cualquier intento de recuperación.
¿Cuánto tarda la recuperación?
El tiempo de recuperación varía mucho según lo rápido que actúes, lo colaborador que sea el registrador receptor y si el dominio ha cambiado de manos más de una vez. El proceso formal de disputas de ICANN tarda de semanas a meses. La cooperación voluntaria del registrador receptor puede acelerarlo, pero no está garantizada. Los procedimientos legales mediante una orden judicial tardan aún más y no tienen éxito asegurado.
Es más difícil recuperarse de un secuestro de dominio que de la mayoría de los incidentes de seguridad porque no existe un botón de "deshacer". Una contraseña comprometida se puede restablecer. Una cuenta de correo hackeada se puede recuperar. Un dominio transferido está bajo el control de otra persona, en otra cuenta, posiblemente en otro registrador de otro país. Los documentos del registro original ayudan, pero no siempre bastan por sí solos.
Por eso los pasos de prevención de arriba importan más que los de recuperación. El objetivo es hacer tan difícil secuestrar tu dominio que el atacante pase a un objetivo más fácil. Si quieres evitar los errores más comunes que dejan los dominios expuestos desde el principio, el capítulo sobre errores con el nombre de dominio que debes evitar cubre los patrones más amplios que ponen en riesgo a los titulares de dominios.
Cómo gestiona WEMASY la seguridad del dominio
Cuando registras un dominio con WEMASY, el bloqueo de transferencia está activado por defecto en todos los dominios. La privacidad WHOIS se incluye con cada registro sin coste adicional. El registro de tu dominio está vinculado directamente a tu cuenta de WEMASY, que admite verificación en dos pasos, así que el acceso a la gestión de tu dominio requiere tanto tu contraseña como tu segundo factor.
La renovación automática está activada por defecto en todos los dominios registrados con WEMASY, y se envían recordatorios de renovación 90, 60 y 30 días antes de la caducidad para que no haya riesgo de que se pase una renovación. Consulta qué incluye cada plan en los precios de WEMASY.
Preguntas frecuentes sobre el secuestro de dominios
¿Pueden secuestrarme un dominio aunque no haya hecho nada mal?
Sí. El secuestro no siempre se debe a negligencia del titular. Una brecha de datos en un servicio donde reutilizaste la contraseña de tu registrador, un correo de phishing sofisticado y difícil de identificar o una llamada de ingeniería social al soporte de tu registrador pueden tener éxito aunque hayas sido cuidadoso. Por eso importa la protección por capas, que incluye el bloqueo del registrador, 2FA y la privacidad WHOIS. Ninguna medida es infalible por sí sola, pero juntas aumentan mucho la dificultad. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿El bloqueo del registrador evita todos los tipos de secuestro de dominio?
El bloqueo del registrador evita las transferencias no autorizadas a otro registrador. No impide que un atacante que ya haya accedido a tu cuenta del registrador cambie tus registros DNS, tus servidores de nombres o tus datos de contacto. Para una protección completa necesitas el bloqueo del registrador más una contraseña fuerte, 2FA y un correo de contacto seguro. Cada capa bloquea un tipo distinto de ataque.
¿Qué diferencia hay entre el secuestro de dominio y el secuestro de DNS?
El secuestro de dominio transfiere la titularidad del propio registro del dominio. El secuestro de DNS cambia adónde apunta el dominio sin transferir la titularidad. En el secuestro de DNS, el atacante modifica los registros DNS en tu cuenta del registrador para redirigir el tráfico a un servidor que controla, pero tu nombre sigue en el registro. Ambos son graves y ambos exigen seguridad en la cuenta para prevenirse. El bloqueo del registrador aborda específicamente el secuestro de dominio al bloquear las transferencias. El secuestro de DNS se previene asegurando el acceso a la cuenta con una contraseña fuerte y 2FA.
Si secuestran mi dominio, ¿Google desindexará mi web?
No de inmediato. El índice de Google refleja el último estado rastreado de tu web. Pero si el atacante cambia tu DNS para apuntar a otro contenido, Google acabará rastreando el contenido nuevo y actualizará el índice en consecuencia. Si el contenido nuevo infringe las directrices de Google, podría seguir una penalización manual. Cuanto más tiempo esté el dominio fuera de tu control, más pueden deteriorarse tus posiciones en buscadores y la reputación de tu web. Actuar rápido es importante para proteger tu presencia en buscadores, no solo el acceso a tu web.
¿Debo registrar mi dominio en el mismo sitio donde alojo mi web?
Hay opiniones distintas. Mantener el dominio y el hosting juntos simplifica la gestión y reduce el número de cuentas que tienes que proteger. Algunas marcas prefieren registrar su dominio por separado del proveedor de hosting como precaución, para que el compromiso de una cuenta no exponga de inmediato las dos cosas. Cualquiera de los dos enfoques puede hacerse seguro con buena higiene de cuentas. Si los mantienes juntos, la prioridad es asegurarte de que esa cuenta compartida tenga una contraseña fuerte, 2FA activado y el bloqueo del registrador puesto.
El siguiente capítulo trata los certificados SSL y los dominios: qué hace un certificado SSL, cómo se conecta con tu dominio y por qué afecta a cómo perciben tu web los visitantes y los navegadores.