DNS劫持诈骗：攻击者如何重定向您的流量

常见手法

• •骗子使用凭证填充攻击或针对域名注册商账户持有人的网络钓鱼电子邮件来窃取登录凭证，然后访问DNS管理面板以在所有者不知情的情况下更改名称服务器设置。
• •攻击者利用虚拟主机控制面板和域名注册商账户上的弱密码或默认密码，特别是针对未在这些关键系统上启用双因素身份验证的企业。
• •犯罪分子向域名注册商提交虚假账户恢复请求，冒充合法域名所有者，伪造文件或利用廉价注册商服务中的宽松验证程序。
• •老练的攻击者通过利用DNS服务器软件或BGP路由协议中的漏洞来入侵上游DNS基础设施，使他们能够拦截DNS查询，而无需直接访问受害者账户。
• •骗子提前创建几乎完全相同的仿冒网站，配有来自Let's Encrypt等服务的SSL证书，确保被重定向的访问者看到带有HTTPS加密指标的令人信服的虚假网站。
• •在劫持DNS记录后，攻击者通常通过将MX记录重定向到其服务器来监控电子邮件流量，捕获密码重置请求和业务沟通以延长其访问权限并收集情报以进行进一步攻击。

如何识别

• 您的网站突然变得无法访问或显示意外内容，而您的域名注册商账户显示未经授权的DNS记录更改，特别是在非工作时间对A记录、名称服务器或MX记录的修改，并附带时间戳。
• 多个客户或用户报告您的网站外观不同、请求不寻常的登录信息，或显示SSL证书警告，表明域名和证书详情不匹配。
• 电子邮件服务工作不正常——收不到传入消息、发出的电子邮件无法送达，或您发现业务电子邮件账户受到未经授权的访问，这表明MX记录被篡改。
• 您的域名注册商发送关于账户更改、名称服务器修改或您未授权的转移请求的意外确认电子邮件，通常表明攻击者正在积极操纵您的账户。
• 分析平台显示网站流量突然、无法解释地下降，或流量来源和地理分布出现变化，同时您同时收到您的网站被安全软件标记的报告。
• 您无法登录到您的域名注册商账户，因为电子邮件地址、密码或安全设置已在未经您授权的情况下更改，或您收到账户锁定通知。

如何保护自己

• 对所有与域名管理相关的域名注册商账户、虚拟主机控制面板和电子邮件账户启用双因素身份验证——使用身份验证器应用程序而不是基于短信的代码，后者可能被通过SIM卡交换攻击拦截。
• 实施注册商锁定或转移锁定功能，防止未经授权的域名转移，并在进行任何DNS更改之前要求额外验证，为关键修改创建强制性的等待期。
• 使用具有强大安全实践、24/7安全支持和记录在案的事件响应程序的知名域名注册商——避免客户服务差劲或身份验证要求薄弱的廉价注册商。
• 使用dig或nslookup等工具定期审计您的DNS记录，以验证A记录、名称服务器和MX记录是否与您记录的配置相匹配，并设置自动监控以在几分钟内提醒您发生未经授权的更改。
• 在您的域上实施DNSSEC（域名系统安全扩展），对DNS记录进行密码学签名，使攻击者即使入侵DNS设置也很难成功重定向流量。
• 维护正确DNS配置、注册商账户详情和注册商安全团队紧急联系信息的离线文档，在攻击期间检测到未经授权的访问时能够快速响应。

真实案例

常见问题

本地举报渠道 — 中国大陆

您所在地区针对此类诈骗的官方举报渠道。

权威资源

与此类诈骗相关的权威政府机构与官方反诈组织（含指引）。