Google heeft bekendgemaakt dat meerdere Google-domeinen werden geraakt door een recente gijzeling van ccTLD DNS-controle bij derde partijen. Daarbij zijn aanvallers erin geslaagd om via gemanipuleerde DNS-informatie onbevoegde HTTPS-certificaten te laten uitgeven. Het incident speelde zich af in de week voorafgaand aan de bekendmaking en richtte zich op specifieke landdomeinen.
Concreet ging het om ccTLD’s .gh (Ghana), .sl (Sierra Leone) en .as (American Samoa). Dat betekent dat alle domeinen met die suffixen, dus binnen die zones, in de kern risico konden lopen—ook wanneer ze niet bij Google horen.
Wat er gebeurde bij de ccTLD DNS-hijacks
Volgens Google bestond de aanval uit het aanpassen van gezaghebbende DNS-records door de aanvallers. In plaats van alleen DNS-verkeer te verstoren, konden ze vervolgens ook ongeautoriseerde HTTPS-certificaten verkrijgen. Die certificaten dekken zowel bepaalde Google-domeinen als domeinen van andere organisaties.
Google benadrukt dat de betrokken Certificate Authorities (CAs) niet als schuldigen worden gezien. De aard van de aanval maakt duidelijk waarom certificaatuitgifte in dit geval niet simpelweg te herleiden is tot een fout van een CA.
Hoe Google de schade beperkt heeft
Zodra Google de activiteit ontdekte, heeft het bedrijf direct maatregelen genomen richting eindgebruikers. Google heeft de onbevoegde certificaten voor Google-domeinen geblokkeerd in Chrome. Daarnaast is contact gezocht met de CAs om die certificaten terug te laten trekken (revocation).
Op basis van gegevens uit Certificate Transparency (CT) logs stelt Google bovendien dat meer organisaties zijn geraakt dan alleen Google. Er zouden meerdere grote merken en populaire online diensten zijn betrokken.
Waarom het niet altijd bij één “direct” moment stopt
Een belangrijk punt in de waarschuwing is dat niet elke situatie eindigt zodra het hackmoment is gestopt. Google geeft aan dat sommige domeinen mogelijk nog steeds getroffen zijn.
De reden zit in hoe validatiestappen worden verwerkt. CAs mogen validatie-uitkomsten cachen en hergebruiken. Dat kan ertoe leiden dat, ook nadat een aanvaller de DNS-overname verliest, er opnieuw certificaten kunnen worden uitgegeven als de voorwaarden in het domein daarvoor ruimte laten.
CT-logs monitoren: wat domeinbeheerders moeten doen
Google adviseert domein-eigenaren om vooral hun eigen footprint te volgen via Certificate Transparency logs. Dit geldt extra voor domeinen met suffixen .gh, .sl en .as, omdat die zones door de hijacks zijn geraakt.
Met CT-logmonitoring kunnen beheerders sneller zien wanneer onverwachte certificaataanvragen of -uitgiftes plaatsvinden. Dat is een praktische manier om signalen van misbruik te detecteren, ook wanneer de DNS-problemen zelf al zijn hersteld.
CAA-records publiceren om misbruik te beperken
Naast CT-logs noemt Google CAA (Certification Authority Authorization)-instellingen als belangrijke bescherming. In CAA DNS-records kun je vastleggen welke CAs certificaten mogen uitgeven voor je domein en onder welke voorwaarden.
Google adviseert om, nadat de DNS-controle is hersteld, een restrictief CAA-beleid te publiceren. Specifiek wijst het bedrijf erop dat je beleid moet richten op uitgifte die alleen toestaat aan geautoriseerde accounts en via geautoriseerde validatiemethoden.
De rol van CAA na DNS-herstel
Google legt uit dat een restrictieve CAA-instelling helpt voorkomen dat een aanvaller—na het einde van de hijack—nog kan profiteren van gecachede domein-validatie. Door de CAA-regels goed in te richten, wordt het voor ongewenste partijen lastiger om nieuwe certificaten te laten uitgeven op basis van eerdere, reeds gevalideerde states.
Waarom dit security-relevant is voor organisaties
Deze gebeurtenis laat zien hoe DNS-controle en certificaatuitgifte samenhangen. Zodra een aanvaller gezaghebbende DNS-records kan beïnvloeden, kan dat verder reiken dan alleen “verkeer omleiden” of “verkeerde content tonen”. In het slechtste geval kan het ook leiden tot certificaten die webbezoekers vertrouwen laten opbouwen in een HTTPS-verbinding.
Daarom is deze waarschuwing relevant voor iedere organisatie die een eigen domeinlandschap beheert—zeker wanneer domeinen zich bevinden in zones die eerder door derden zijn beïnvloed. Het gaat niet alleen om welke systemen je hebt, maar ook om hoe je met certificaten, DNS-autoriteit en logging omgaat.
Praktische checklist voor domeinbeheerders
Op basis van de door Google gedeelde aanbevelingen kun je de volgende stappen gebruiken om je situatie te toetsen:
- Controleer CT-logs voor alle domeinen, en besteed extra aandacht aan domeinen binnen .gh, .sl en .as.
- Monitor onverwachte certificaatuitgiftes en reageer snel wanneer er afwijkingen verschijnen.
- Herstel en bevestig DNS-controle op gezaghebbend niveau (authoritative DNS).
- Publiceer restrictieve CAA DNS-records die certificaatuitgifte beperken tot geautoriseerde CAs, accounts en validatiemethoden.
- Wees alert op restimpact: sommige domeinen kunnen nog steeds risico lopen, ook als de initiële verstoring al is beëindigd.
Meer context: gerelateerde security-thema’s
Hoewel dit bericht specifiek over DNS-hijacks en certificaten gaat, past het in een bredere trend: aanvallen verschuiven steeds vaker naar delen van de keten die “onder de radar” lijken. Denk aan vraagstukken rond AI-gestuurde aanvalsroutes of supply chain-kwetsbaarheden. Als je wilt doorgronden hoe dergelijke mechanismen doorwerken naar incidentafhandeling en verdediging, kan dit artikel interessant zijn: AI velocity paradox: waarom security achterblijft.
Wil je daarnaast zien hoe misbruik van infrastructuur of afhankelijkheden in praktijk kan leiden tot dataverlies of compromittering, dan sluit dit inhoudelijk aan: ARTEX AI pentesting bij datadiefstal.
Conclusie
De melding van Google maakt duidelijk dat ccTLD DNS-hijacks niet alleen DNS verstoren, maar ook kunnen leiden tot ongeautoriseerde HTTPS-certificaten. Chrome heeft de getroffen certificaten geblokkeerd en Google heeft samen met CAs revocaties doorgezet. Tegelijk wijst Google erop dat sommige domeinen nog risico kunnen lopen door caching van domein-validatie.
Voor organisaties komt de kernboodschap neer op drie acties: monitor CT-logs, verifieer DNS-controle en zet restrictieve CAA-records klaar zodat certificaatuitgifte na herstel minder misbruikbaar is.
Bron: https://www.securityweek.com/google-domains-impacted-by-recent-cctld-domain-hijacks/
