DNS劫持诈骗：攻击者如何重定向您的流量
DNS劫持发生在网络犯罪分子未经授权访问域名系统设置并将合法网站流量重定向到其控制的欺诈服务器时。这种复杂的攻击通常通过入侵受害者的域名注册商账户、虚拟主机控制面板或利用DNS基础设施中的漏洞来针对企业和网站所有者。根据FBI互联网犯罪投诉中心的数据，DNS劫持在2023年导致超过2700万美元的报告损失，单个企业受害者在攻击期间平均损失10000至50000美元。 这种攻击通过更改DNS记录（互联网的地址簿，将域名翻译成IP地址）来进行。当骗子修改这些记录时，他们可以将所有针对合法网站的流量重定向到其恶意服务器。访问者在浏览器中看到的是看似正确的网址，但实际上是在与设计用来窃取登录凭证、支付信息或传播恶意软件的虚假网站互动。其后果超出了直接经济盗窃的范围：企业遭受声誉损害、客户信任丧失，并可能因数据泄露而面临监管处罚。 DNS劫持活动自2019年针对政府和私营部门域名的重大攻击以来变得日益复杂。现代攻击通常将社会工程学相结合来入侵注册商账户，利用薄弱的身份验证系统，并迅速部署令人信服的仿冒网站。平均DNS劫持事件在被检测到前会持续1-7天，不过某些攻击会持续数周之久，无声地从毫无防范的用户那里收集敏感数据。对于企业而言，经济影响包括直接盗窃、事件响应成本、法律费用和长期客户流失，根据网络安全行业报告，客户流失平均达23%。
常见手法
- • 骗子使用凭证填充攻击或针对域名注册商账户持有人的网络钓鱼电子邮件来窃取登录凭证，然后访问DNS管理面板以在所有者不知情的情况下更改名称服务器设置。
- • 攻击者利用虚拟主机控制面板和域名注册商账户上的弱密码或默认密码，特别是针对未在这些关键系统上启用双因素身份验证的企业。
- • 犯罪分子向域名注册商提交虚假账户恢复请求，冒充合法域名所有者，伪造文件或利用廉价注册商服务中的宽松验证程序。
- • 老练的攻击者通过利用DNS服务器软件或BGP路由协议中的漏洞来入侵上游DNS基础设施，使他们能够拦截DNS查询，而无需直接访问受害者账户。
- • 骗子提前创建几乎完全相同的仿冒网站，配有来自Let's Encrypt等服务的SSL证书，确保被重定向的访问者看到带有HTTPS加密指标的令人信服的虚假网站。
- • 在劫持DNS记录后，攻击者通常通过将MX记录重定向到其服务器来监控电子邮件流量，捕获密码重置请求和业务沟通以延长其访问权限并收集情报以进行进一步攻击。
如何识别
- 您的网站突然变得无法访问或显示意外内容，而您的域名注册商账户显示未经授权的DNS记录更改，特别是在非工作时间对A记录、名称服务器或MX记录的修改，并附带时间戳。
- 多个客户或用户报告您的网站外观不同、请求不寻常的登录信息，或显示SSL证书警告，表明域名和证书详情不匹配。
- 电子邮件服务工作不正常——收不到传入消息、发出的电子邮件无法送达，或您发现业务电子邮件账户受到未经授权的访问，这表明MX记录被篡改。
- 您的域名注册商发送关于账户更改、名称服务器修改或您未授权的转移请求的意外确认电子邮件，通常表明攻击者正在积极操纵您的账户。
- 分析平台显示网站流量突然、无法解释地下降，或流量来源和地理分布出现变化，同时您同时收到您的网站被安全软件标记的报告。
- 您无法登录到您的域名注册商账户，因为电子邮件地址、密码或安全设置已在未经您授权的情况下更改，或您收到账户锁定通知。
如何保护自己
- 对所有与域名管理相关的域名注册商账户、虚拟主机控制面板和电子邮件账户启用双因素身份验证——使用身份验证器应用程序而不是基于短信的代码，后者可能被通过SIM卡交换攻击拦截。
- 实施注册商锁定或转移锁定功能，防止未经授权的域名转移，并在进行任何DNS更改之前要求额外验证，为关键修改创建强制性的等待期。
- 使用具有强大安全实践、24/7安全支持和记录在案的事件响应程序的知名域名注册商——避免客户服务差劲或身份验证要求薄弱的廉价注册商。
- 使用dig或nslookup等工具定期审计您的DNS记录，以验证A记录、名称服务器和MX记录是否与您记录的配置相匹配，并设置自动监控以在几分钟内提醒您发生未经授权的更改。
- 在您的域上实施DNSSEC（域名系统安全扩展），对DNS记录进行密码学签名，使攻击者即使入侵DNS设置也很难成功重定向流量。
- 维护正确DNS配置、注册商账户详情和注册商安全团队紧急联系信息的离线文档，在攻击期间检测到未经授权的访问时能够快速响应。
真实案例
一家年收入200万美元的加州电子商务公司发现他们的网站在一名客户报告可疑信用卡费用后被重定向到虚假结账页面。调查显示，攻击者在三天前通过网络钓鱼电子邮件入侵了所有者的域名注册商账户，将DNS记录指向仿冒网站。在72小时的劫持期间，骗子从147个客户那里收集了支付信息，导致43000美元的欺诈费用和额外87000美元的事件响应成本、退款和业务损失。
一家专业服务公司在攻击者通过利用其虚拟主机账户上的弱密码来劫持其域的MX记录后，业务电子邮件断了五天。犯罪分子拦截了包含客户合同、财务信息和密码重置链接的传入电子邮件，他们利用这些来访问公司的银行和云存储账户。当计入被盗资金、法律费用、根据数据泄露法律进行的强制性客户通知以及随后六个月内31%的客户流失率时，总经济影响超过125000美元。
一家非营利组织的网站在被检测前遭到11天的劫持，当时攻击者通过对注册商客户服务的社会工程学攻击入侵了其域名注册商账户。虚假网站从230个相信他们正在进行合法慈善捐款的个人那里收集了捐赠支付信息和登录凭证。除了67000美元的被盗捐款外，该组织还面临重大声誉损害、州慈善监管机构的正式调查，并花费34000美元进行网络安全改进和危机沟通以恢复捐赠者信心。