El secuestro de dominio es cuando alguien consigue el control no autorizado de un dominio que es tuyo. Te lo quitan desde tu cuenta del registrador, se lo transfieren y, de pronto, tu web, tu correo y tu identidad online pertenecen a otra persona. Puede ocurrir en cuestión de horas, y deshacerlo puede llevar meses.
El secuestro de un nombre de dominio no es lo mismo que registrar un nombre parecido al tuyo. Eso es ciberokupación. El secuestro apunta a un dominio que ya es tuyo, uno en torno al cual quizá hayas pasado años construyendo una marca. El objetivo del atacante es quedarse con lo que has construido y usarlo contra ti.
¿En qué se diferencia el secuestro de dominio de la ciberokupación?
La ciberokupación es cuando alguien registra un dominio que no piensa usar, normalmente porque coincide con una marca conocida o con una palabra clave popular. El okupa espera venderlo más tarde con beneficio. Es molesto, pero no toca nada de lo que ya tienes.
El secuestro de dominio es un ataque directo contra tu propiedad actual. El atacante entra en tu cuenta del registrador o engaña a tu registrador para que le ceda el control. Cuando la transferencia se completa, el dominio es suyo. Tu web se cae. Tu correo se detiene. Tus visitantes llegan a una página que no creaste. La diferencia entre la okupación y el secuestro es la diferencia entre que alguien aparque en tu plaza reservada y que alguien te robe el coche.
¿Cómo ocurre el secuestro de dominio?
Los secuestradores casi siempre entran por uno de cuatro métodos. Cada uno aprovecha una debilidad distinta, y la mayoría de los dueños de dominios tienen ahora mismo al menos uno de estos huecos abierto.
Correos de phishing
El método más común es un correo falso que parece de tu registrador de dominios. El mensaje avisa de que tu dominio está a punto de caducar, de que hay actividad sospechosa en tu cuenta o de que debes verificar tu identidad. Un enlace del correo te lleva a una página de inicio de sesión idéntica a la real. Cuando introduces tus credenciales, el atacante las captura e inicia sesión en tu cuenta real. Desde ahí, inicia una transferencia y mueve tu dominio antes de que te des cuenta.
Cuentas de correo comprometidas
Cada cuenta de registrador está asociada a una dirección de correo. Si un atacante entra en ese correo, puede restablecer la contraseña de tu registrador con el enlace de "olvidé mi contraseña". No necesita tus credenciales del registrador para nada. Solo necesita acceso al buzón que recibe el enlace de restablecimiento. Una contraseña débil en tu correo es una puerta trasera a tu dominio.
Contraseñas débiles o reutilizadas
Los atacantes usan herramientas automáticas que prueban en cientos de webs, incluidos los registradores de dominios, combinaciones de usuario y contraseña robadas en filtraciones de datos. Si usaste en tu registrador la misma contraseña que en cualquier otra cuenta que haya sido vulnerada alguna vez, tu dominio está expuesto. No importa lo segura que te pareciera la contraseña cuando la creaste. Si está en una base de datos filtrada, ya está comprometida.
Ingeniería social
Algunos secuestradores se saltan por completo la vía técnica y llaman al soporte de tu registrador. Se hacen pasar por ti. Dicen que han perdido el acceso a su cuenta y piden al soporte que restablezca las credenciales o apruebe una transferencia. Si tus datos personales son visibles en la base de datos pública WHOIS, el atacante ya tiene tu nombre, correo y dirección para respaldar la historia. Es uno de los argumentos más fuertes para activar la privacidad WHOIS en cada dominio que tengas.
¿Qué pasa después de que secuestren un dominio?
El daño empieza de inmediato y se extiende rápido.
Tu web se cae en cuanto el atacante cambia los ajustes DNS. Los visitantes que escriben tu dirección ven una página de error, una pantalla en blanco o, peor, una página que ha creado el atacante. Si el atacante publica algo fraudulento, el nombre de tu marca queda asociado a ello.
Tu correo deja de funcionar. Los mensajes enviados a tu dominio rebotan o van directamente al buzón del atacante. Eso incluye los correos de restablecimiento de contraseña de todos los servicios asociados al correo de tu dominio. Cuando controlan tu correo, pueden acceder a tus redes sociales, a tus procesadores de pago y a cualquier plataforma que use esa dirección para recuperar el acceso.
El daño a la marca se acumula rápido. Los clientes que intentan contactarte no pueden. Los socios que envían correos no reciben respuesta. Si el atacante mantiene el dominio el tiempo suficiente, tu posicionamiento en buscadores empieza a caer. Los enlaces que otras webs hicieron a tu contenido ahora apuntan a la página de otra persona. Cuanto más tiempo estés sin acceso, más difícil será recuperar tu posición.
En algunos ejemplos de secuestro de dominio, el atacante contacta con el dueño y exige un pago para devolver el dominio. En otros, lo vende a un tercero que quizá no sepa que fue robado. En cualquier caso, el dueño original se queda desesperado.
¿Se puede recuperar un dominio secuestrado?
A veces. Pero el proceso es lento, incierto y nunca está garantizado.
El primer paso es contactar de inmediato con tu registrador y denunciar la transferencia no autorizada. Si la transferencia aún está en curso, el registrador puede congelarla o revertirla. Aquí la rapidez importa. Cada hora que esperas hace más difícil la recuperación.
Si el dominio ya se ha movido a otro registrador, puedes presentar una queja mediante la Política de Resolución de Disputas de Transferencia de ICANN. Este proceso está diseñado para tratar las transferencias no autorizadas, pero tarda entre 30 y 60 días. Necesitarás documentación que pruebe que eres el legítimo propietario, incluidos los recibos de registro originales, los registros de pago y la correspondencia del registrador.
La vía legal es otra opción, pero es cara y lenta. Las órdenes judiciales pueden obligar a un registrador a devolver un dominio, pero si el dominio se ha transferido a un registrador de otro país, los problemas de jurisdicción complican su cumplimiento. Algunos dominios robados se revenden varias veces, lo que crea una cadena de titularidad difícil de desenredar.
La realidad es que muchos dominios secuestrados nunca se recuperan. El proceso favorece la prevención sobre la cura.
¿Cómo son los escenarios reales de secuestro de dominio?
Imagina una pequeña marca de comercio online que vende a través de su web. Una mañana el fundador abre el portátil y la web está caída. Han cambiado la contraseña de la cuenta del registrador. El dominio apunta ahora a una página en un idioma extranjero. Los correos de los clientes rebotan. Los pedidos en curso no se pueden cumplir porque los correos de confirmación del procesador de pagos llegan a un buzón que el fundador ya no controla.
O piensa en una marca de servicios que depende del correo para comunicarse con sus clientes. Un atacante se apodera del dominio mediante una cuenta de correo comprometida. El atacante recibe ahora todos los correos enviados a la marca, incluidas facturas, contratos y datos de clientes. La marca no se da cuenta de lo ocurrido durante dos días porque la web sigue cargando desde una versión guardada en la memoria caché del navegador.
En otro escenario habitual, un dueño de dominio deja caducar el registro por accidente. Un atacante que vigila los dominios a punto de caducar lo registra en cuestión de minutos. Técnicamente no es secuestro, pero el resultado es el mismo. La marca pierde su dirección web y no tiene ninguna reclamación legal porque el registro caducó.
Todos estos ejemplos tienen algo en común. El daño fue más allá de perder una web. Afectó al correo, a la confianza de los clientes, a los ingresos y, en algunos casos, a la seguridad de los datos.
¿Cómo te proteges del secuestro de dominio?
La prevención consiste en cerrar los cuatro puntos de entrada que usan los atacantes. Este es un resumen rápido.
Activa el bloqueo de dominio (también llamado bloqueo de transferencia) en cada dominio que tengas. Impide que prospere cualquier solicitud de transferencia salvo que desactives el bloqueo a mano. Usa una contraseña segura y única para tu cuenta del registrador y activa la autenticación en dos pasos para que una contraseña robada no baste por sí sola. Mantén seguro el correo de contacto de WHOIS con su propia contraseña segura y autenticación en dos pasos. Activa la privacidad WHOIS para evitar ataques de ingeniería social.
Para ver paso a paso cada medida de protección, lee el capítulo sobre cómo proteger tu dominio del secuestro. Esa guía explica en detalle cada capa de defensa.
¿Cómo protege WEMASY contra el secuestro de dominio?
Los dominios registrados con WEMASY vienen con el bloqueo de transferencia activado por defecto. La privacidad WHOIS está incluida sin coste extra en cada registro, así que tus datos personales nunca aparecen en la base de datos pública. La gestión de tu dominio está ligada a tu cuenta de WEMASY, que admite autenticación en dos pasos.
La renovación automática está activada por defecto, y WEMASY envía recordatorios de renovación 90, 60 y 30 días antes de la caducidad. Esto elimina el riesgo de perder un dominio porque el registro caducó sin que nadie se diera cuenta. Para saber más sobre las funciones de seguridad del dominio y qué incluye cada plan, visita los precios de WEMASY.
Preguntas frecuentes sobre el secuestro de dominio
¿Es ilegal el secuestro de dominio?
Sí. En la mayoría de las jurisdicciones, el secuestro de dominio se considera una forma de robo de identidad o de fraude. Infringe las políticas de ICANN y, según el país, puede acarrear cargos penales. Sin embargo, su aplicación varía mucho. Probar el secuestro y lograr que las fuerzas de seguridad actúen puede ser difícil, sobre todo cuando el atacante opera a través de fronteras internacionales. La vía legal existe, pero rara vez es rápida. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Cuánto se tarda en recuperar un dominio secuestrado?
Si tu registrador detecta la transferencia no autorizada antes de que se complete, la recuperación puede llevar unos días. Si el dominio ya se ha movido a otro registrador, el proceso de disputa de ICANN suele tardar entre 30 y 60 días. Los procedimientos legales pueden llevar varios meses o más. En algunos casos, el dominio no se recupera nunca. La rapidez de tu primera reacción es el factor más importante para que la recuperación salga bien.
¿Puede la autenticación en dos pasos evitar por completo el secuestro de dominio?
La autenticación en dos pasos hace el secuestro bastante más difícil, pero ninguna medida por sí sola lo evita por completo. Un atacante que comprometa tu número de teléfono con una duplicación de SIM puede interceptar los códigos por SMS. Las apps de autenticación son más seguras, pero siguen dependiendo de que el dispositivo esté a salvo. La protección más fuerte combina la autenticación en dos pasos con el bloqueo de dominio, una contraseña única y la privacidad WHOIS. Cada capa bloquea un método de ataque distinto.
¿Qué diferencia hay entre el secuestro de dominio y el secuestro de DNS?
El secuestro de dominio transfiere la titularidad del propio registro del dominio. El atacante pasa a ser el titular registrado. El secuestro de DNS cambia adónde apunta el dominio sin transferir la titularidad. Tu nombre sigue en el registro, pero tus visitantes son enviados a un servidor que controla el atacante. Ambos son graves, pero el secuestro de dominio es más difícil de revertir porque el atacante tiene el registro.
¿Te avisa WEMASY si alguien intenta transferir tu dominio?
Sí. Cuando se inicia una solicitud de transferencia de un dominio registrado con WEMASY, se envía un correo de confirmación a la dirección de contacto del dueño del dominio. Con el bloqueo de transferencia activado por defecto, la solicitud se rechazará automáticamente salvo que el dueño haya desactivado el bloqueo a mano. Esto te da tiempo para investigar cualquier intento no autorizado antes de que se aplique ningún cambio.
El siguiente capítulo trata el robo de dominios con más detalle, incluido cómo acaban los dominios robados en el mercado secundario y qué opciones legales existen para los dueños que pierden su dominio de forma permanente.