DNS-Hijacking-Betrügereien: Wie Angreifer Ihren Datenverkehr umleiten
DNS-Hijacking tritt auf, wenn Cyberkriminelle unbefugten Zugriff auf die Einstellungen des Domain Name System (DNS) erlangen und legitimen Website-Verkehr auf betrügerische Server unter ihrer Kontrolle umleiten. Dieser ausgefeilte Angriff zielt typischerweise auf Unternehmen und Website-Betreiber ab, indem er ihre Domain-Registrar-Konten, Web-Hosting-Kontrollpanels oder Schwachstellen in der DNS-Infrastruktur kompromittiert. Laut dem FBI Internet Crime Complaint Center führte DNS-Hijacking 2023 zu über 27 Millionen US-Dollar an gemeldeten Verlusten, wobei einzelne Geschäftsopfer durchschnittlich 10.000 bis 50.000 US-Dollar während Angriffsperioden verloren. Der Angriff funktioniert durch die Änderung von DNS-Einträgen – dem Adressbuch des Internets, das Domänennamen in IP-Adressen übersetzt. Wenn Betrüger diese Einträge ändern, können sie den gesamten Verkehr, der für eine legitime Website bestimmt ist, auf ihre eigenen böswilligen Server umleiten. Besucher sehen in ihrem Browser die scheinbar korrekte URL, interagieren aber tatsächlich mit einer gefälschten Seite, die zur Erfassung von Anmeldedaten, Zahlungsinformationen oder zur Verbreitung von Malware konzipiert ist. Die Folgen gehen über unmittelbare finanzielle Verluste hinaus: Unternehmen erleiden Reputationsschäden, verlieren das Vertrauen der Kunden und können mit behördlichen Strafen für Datenschutzverletzungen rechnen. DNS-Hijacking-Kampagnen sind seit großen Angriffen im Jahr 2019, die Regierungs- und Privatsektor-Domänen ins Visier nahmen, immer ausgefeilter geworden. Moderne Angriffe kombinieren häufig Social Engineering zur Kompromittierung von Registrar-Konten, Ausnutzung schwacher Authentifizierungssysteme und schnelle Bereitstellung überzeugender Kopien-Websites. Der durchschnittliche DNS-Hijacking-Vorfall dauert 1–7 Tage bis zur Erkennung, wobei einige Angriffe jedoch wochenlang andauern und stillschweigend vertrauliche Daten von ahnungslosen Benutzern erfassen. Für Unternehmen umfasst die finanzielle Auswirkung direkten Diebstahl, Kosten für Incident Response, Rechtsanwaltsgebühren und langfristige Kundenabwanderung, die laut Cybersicherheits-Branchenberichten durchschnittlich 23% beträgt.
Common Tactics
- • Betrüger verwenden Credential-Stuffing-Angriffe oder Phishing-E-Mails, die auf Domain-Registrar-Kontoinhaber abzielen, um Anmeldedaten zu stehlen, und greifen dann auf DNS-Management-Panels zu, um Nameserver-Einstellungen ohne Wissen des Eigentümers zu ändern.
- • Angreifer nutzen schwache oder Standard-Passwörter auf Web-Hosting-Kontrollpanels und Domain-Registrar-Konten aus, besonders bei Unternehmen, die keine Zwei-Faktor-Authentifizierung auf diesen kritischen Systemen aktiviert haben.
- • Kriminelle reichen betrügerische Kontowiederherstellungsanfragen bei Domain-Registraren ein, geben sich als legitime Domain-Eigentümer mit gefälschter Dokumentation aus oder nutzen laxe Verifizierungsverfahren bei Budget-Registraren aus.
- • Ausgefeilte Angreifer kompromittieren vorgelagerte DNS-Infrastruktur durch Ausnutzung von Schwachstellen in DNS-Server-Software oder BGP-Routing-Protokollen, wodurch sie DNS-Abfragen abfangen können, ohne direkt auf Opferkonten zuzugreifen.
- • Betrüger erstellen im Voraus nahezu identische Replica-Websites, vollständig mit SSL-Zertifikaten von Diensten wie Let's Encrypt, um sicherzustellen, dass umgeleitete Besucher eine überzeugende gefälschte Seite mit HTTPS-Verschlüsselungsindikatoren sehen.
- • Nachdem Angreifer DNS-Einträge hijackt haben, überwachen sie häufig den E-Mail-Verkehr, indem sie MX-Einträge auf ihre Server umleiten, um Passwort-Zurücksetzer-Anfragen und Geschäftskommunikation abzufangen und ihre Zugriffe zu verlängern sowie Informationen für weitere Angriffe zu sammeln.
How to Identify
- Ihre Website ist plötzlich nicht erreichbar oder zeigt unerwartete Inhalte, während Ihr Domain-Registrar-Konto DNS-Eintragsänderungen anzeigt, die Sie nicht autorisiert haben, insbesondere Änderungen an A-Einträgen, Nameservern oder MX-Einträgen mit Zeitstempeln außerhalb der Geschäftszeiten.
- Mehrere Kunden oder Benutzer berichten, dass Ihre Website anders aussieht, ungewöhnliche Anmeldeinformationen anfordert oder SSL-Zertifikatswarnungen anzeigt, die einen Mismatch zwischen Domänenname und Zertifikatdetails andeuten.
- E-Mail-Dienste funktionieren nicht mehr korrekt – eingehende Nachrichten werden nicht empfangen, ausgehende E-Mails werden zurückgewiesen, oder Sie bemerken unbefugten Zugriff auf Geschäfts-E-Mail-Konten, was auf MX-Eintrag-Manipulation hindeutet.
- Ihr Domain-Registrar sendet unerwartete Bestätigungs-E-Mails über Kontowiederherstellungen, Nameserver-Änderungen oder Transferanfragen, die Sie nicht eingeleitet haben, was oft darauf hindeutet, dass ein Angreifer aktiv Ihr Konto manipuliert.
- Analyseplattformen zeigen einen plötzlichen, unerklärlichen Rückgang des Website-Verkehrs oder Änderungen in Verkehrsquellen und geografischer Verteilung, während Sie gleichzeitig Meldungen erhalten, dass Ihre Website von Sicherheitssoftware gekennzeichnet wird.
- Sie können sich nicht bei Ihrem Domain-Registrar-Konto anmelden, da die E-Mail-Adresse, das Passwort oder die Sicherheitseinstellungen ohne Ihre Genehmigung geändert wurden, oder Sie erhalten Benachrichtigungen über Kontosperrungen.
How to Protect Yourself
- Aktivieren Sie Zwei-Faktor-Authentifizierung auf allen Domain-Registrar-Konten, Web-Hosting-Kontrollpanels und E-Mail-Konten, die mit Domain-Verwaltung verbunden sind – verwenden Sie Authentifizierungs-Apps anstelle von SMS-basierten Codes, die durch SIM-Swapping-Angriffe abgefangen werden können.
- Implementieren Sie Registrar-Sperr- oder Transfer-Lock-Funktionen, die unbefugte Domain-Übertragungen verhindern und vor DNS-Änderungen zusätzliche Bestätigung erfordern, was eine obligatorische Wartezeit für kritische Änderungen schafft.
- Verwenden Sie einen seriösen Domain-Registrar mit starken Sicherheitspraktiken, 24/7-Sicherheitsunterstützung und dokumentierten Incident-Response-Verfahren – vermeiden Sie Budget-Registrare mit schwachem Kundenservice oder schwachen Authentifizierungsanforderungen.
- Überprüfen Sie regelmäßig Ihre DNS-Einträge mit Tools wie dig oder nslookup, um sicherzustellen, dass A-Einträge, Nameserver und MX-Einträge Ihrer dokumentierten Konfiguration entsprechen, und richten Sie automatisierte Überwachung ein, um Sie innerhalb von Minuten vor unbefugten Änderungen zu warnen.
- Implementieren Sie DNSSEC (Domain Name System Security Extensions) auf Ihrer Domäne, um DNS-Einträge kryptografisch zu signieren und es Angreifern erheblich schwerer zu machen, den Datenverkehr erfolgreich umzuleiten, selbst wenn sie DNS-Einstellungen kompromittieren.
- Führen Sie eine Offline-Dokumentation Ihrer korrekten DNS-Konfiguration, Registrar-Kontodaten und Notfallkontaktinformationen für das Sicherheitsteam Ihres Registrars, um eine schnelle Reaktion zu ermöglichen, wenn Sie während eines Angriffs unbefugten Zugriff erkennen.
Real-World Examples
Ein kalifornisches E-Commerce-Unternehmen mit jährlichem Umsatz von 2 Millionen US-Dollar entdeckte, dass seine Website Kunden nach feststellen verdächtiger Kreditkartengebühren auf eine gefälschte Checkout-Seite umleitet. Die Untersuchung zeigte, dass Angreifer eine Phishing-E-Mail verwendet hatten, um das Konto des Inhabers bei einem Domain-Registrar drei Tage zuvor zu kompromittieren und DNS-Einträge zu ändern, um auf eine Replica-Website zu verweisen. Während des 72-Stunden-Hijackings sammelten die Betrüger Zahlungsinformationen von 147 Kunden, was zu 43.000 US-Dollar Betrugsgebühren und zusätzlichen 87.000 US-Dollar an Incident-Response-Kosten, Chargebacks und entgangenem Geschäft führte.
Ein professionelles Dienstleistungsunternehmen verlor fünf Tage lang Zugriff auf geschäftliche E-Mails, als Angreifer nach Ausnutzung eines schwachen Passworts auf ihrem Hosting-Konto die MX-Einträge ihrer Domäne hijackten. Die Kriminellen fingen eingehende E-Mails mit Kundenverträgen, Finanzinformationen und Passwort-Zurücksetzer-Links ab, die sie verwendeten, um auf die Bank- und Cloud-Storage-Konten des Unternehmens zuzugreifen. Die finanzielle Gesamtauswirkung überstieg 125.000 US-Dollar, wenn gestohlene Gelder, Rechtsanwaltsgebühren, obligatorische Kundenmitteilungen gemäß Datenschutzverletzungsgesetzen und ein 31%iger Kundenrückgang über die folgenden sechs Monate berücksichtigt werden.
Die Website einer gemeinnützigen Organisation wurde für 11 Tage hijackt, bevor die Erkennung erfolgte, als Angreifer das Domain-Registrar-Konto nach einem Social-Engineering-Angriff auf das Kundenservice-Team des Registrars kompromittierten. Die gefälschte Website sammelte Zahlungsinformationen und Anmeldedaten von 230 Personen, die glaubten, legitime karitative Beiträge zu leisten. Neben den 67.000 US-Dollar in gestohlenen Spenden war die Organisation mit erheblichen Reputationsschäden, einer formellen Untersuchung durch staatliche Wohltätigkeitsbehörden und 34.000 US-Dollar an Cybersicherheitsverbesserungen und Krisenkommunikation konfrontiert, um das Vertrauen der Spender wiederherzustellen.