Hackers obtienen certificados TLS falsos para dominios de Google mediante secuestro de DNS

Hackers han obtenido certificados TLS falsos para Google y otros servicios web de alto perfil tras comprometer tres dominios de nivel superior de código de país (ccTLD). Los atacantes manipularon registros DNS autorizados y delegaciones de servidores de nombres, redirigiendo el tráfico para eludir las comprobaciones de validación de propiedad de dominio. Google confirmó el incidente y advirtió que las intervenciones del navegador no pueden proteger totalmente a los usuarios en la web.

Al tomar el control de los ccTLD objetivo, los actores de amenazas alteraron las direcciones IP de sitios seleccionados para cumplir con los requisitos de validación de la Autoridad de Certificación. Google declaró: "Aunque Chrome tomó medidas para identificar y bloquear certificados no autorizados, no se debe confiar en la intervención del navegador para proteger a los usuarios". La empresa añadió que, debido a la complejidad de los secuestros de DNS, no puede garantizar que se hayan identificado todos los dominios afectados o que los usuarios ajenos a Chrome estén seguros.

Esta brecha recuerda compromisos de identidad digital anteriores, como el hackeo de DigiNotar en 2011. En esa operación, los atacantes falsificaron certificados para Google.com y más de 200 dominios, interceptando comunicaciones de 300,000 usuarios. Aunque las Autoridades de Certificación cumplieron con los protocolos de seguridad, las vulnerabilidades en la infraestructura de gestión de DNS permitieron la emisión ilícita.

Los desarrolladores de navegadores han implementado bloqueos locales para interceptar certificados falsos, evitando procesos de revocación estándar que suelen ser lentos. Aunque la amenaza inmediata ha sido mitigada, los expertos en ciberseguridad advierten que cualquier certificado no descubierto durante el periodo de secuestro sigue representando riesgos graves de vigilancia y robo de credenciales.