Sequestro de domínios e e-mails falsos

Módulo 7: Manter o domínio seguro e saudável · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Após esta lição, saberá reconhecer as formas como os domínios são sequestrados ou os titulares são enganados, e saberá como proteger a sua conta e os seus domínios contra isso.

Conceitos-chave: sequestro de domínio, conta no seu registrar, verificação em dois passos, gestão de acessos, fatura falsa, oferta de registo, slamming, e-mail falso em nome do registry, registry lock, código de transferência como chave

Porque é que o seu domínio é um alvo

Quem gere o seu nome de domínio também recebe o e-mail desse nome. E com esse e-mail pode clicar em "esqueci-me da palavra-passe" em quase todas as outras contas: a sua contabilidade, o seu banco, a sua loja online, as suas redes sociais. Um domínio vale, portanto, muito mais do que o site que está alojado nele.

Há quatro formas de as coisas correrem mal:

1. Alguém entra na sua conta no seu registrar e altera os servidores de nomes, o DNS ou o titular.
2. Alguém obtém o seu código de transferência e leva o domínio para outro registrar (lição 6.3).
3. O seu domínio expira e outra pessoa regista-o (módulo 5).
4. É enganado com uma fatura falsa ou um e-mail falso, sem que aconteça nada a nível técnico.

Contra cada uma destas quatro situações, pode fazer alguma coisa.

A porta da frente: a sua conta no registrar

Muitos sequestros não começam com um ataque ao registry, mas com um início de sessão na conta do titular. Basta uma palavra-passe reutilizada ou um clique numa página de início de sessão falsa. Quem entra pode fazer tudo o que o titular pode fazer.

Eis como manter essa porta fechada:

• Uma palavra-passe própria e forte que não utilize em mais lado nenhum. Um gestor de palavras-passe ajuda.
• Verificação em dois passos. Além da palavra-passe, precisa então de um segundo código, enviado por e-mail ou gerado numa aplicação de autenticação. Uma aplicação é mais segura: quem se apoderar da sua caixa de correio continua sem ter o seu telemóvel.
• Um endereço de início de sessão que não esteja no próprio domínio. Se o domínio deixar de funcionar ou for sequestrado, continuará a querer conseguir iniciar sessão e receber o e-mail do seu registrar.
• Saiba quem tem acesso. Dê a um colega ou ao seu webdesigner um utilizador próprio com direitos limitados, em vez da sua palavra-passe. Retire quem já não deve ter acesso, como um antigo funcionário ou um webdesigner anterior.

Código de transferência, bloqueio de transferência e registry lock

O código de transferência é a chave do seu domínio (lição 6.3). Peça-o apenas quando for o próprio a transferir e entregue-o apenas ao registrar para onde vai.

Quando a extensão o permite, ative o bloqueio de transferência. O registry recusa então uma transferência, mesmo que alguém tenha o código. Com .com e a maioria dos gTLD isso é possível; com .nl, .eu, .be e .nu geralmente não. Aí, o próprio código é a proteção.

Para nomes de que depende realmente muito, existe um registry lock: um bloqueio junto do próprio registry. A SIDN oferece-o para .nl com o nome .nl Control. Com ele, ninguém, nem mesmo o seu registrar, pode alterar algo no registo sem que a SIDN verifique primeiro junto do titular se o pedido é verdadeiro. Pede-o através do seu registrar. Implica, no entanto, trabalho adicional em cada alteração. Para a maioria dos nomes, isso não compensa a vantagem; para o nome principal de uma grande organização ou loja online, muitas vezes compensa.

Faturas falsas e ofertas de registo

Nem todos os ataques são técnicos. Muitas burlas giram em torno de uma única coisa: que o titular pague.

Faturas falsas. A SIDN alerta regularmente para "faturas" de nomes de domínio enviadas por entidades com nomes como Domeinregistratie Nederland, DNS Registraties NL ou Web Registraties Nederland. Muitas vezes, em letra pequena no fundo, lê-se que não se trata de uma fatura, mas de uma oferta. O conselho: não pagar e comunicar o caso à Fraudehelpdesk (o serviço neerlandês de apoio em matéria de fraude).

Ofertas de registo. Uma variante conhecida: recebe uma mensagem a dizer que "outra pessoa quer registar o seu nome com outra extensão", mas que o titular tem prioridade, desde que pague depressa. Não existe nenhum "direito de primeiro registo". Verifique o próprio se o nome está livre, pergunte ao seu registrar e comunique o caso à Fraudehelpdesk.

Slamming. Recebe uma carta ou um e-mail que parece uma fatura de renovação, mas que é na verdade uma oferta para transferir o seu domínio para outra entidade. Quem paga e assina fica, de repente, num registrar que não conhece.

A defesa é a mesma nos três casos. Saiba em que registrar estão os seus domínios (lição 7.4) e pague apenas as faturas que também encontra na sua própria conta nesse registrar. Lembre-se também: a SIDN não vende nomes .nl diretamente aos titulares. Quem se apresenta como "a entidade de registo" e lhe quer vender algo diretamente não é, portanto, a SIDN.

E-mails falsos em nome da ICANN ou do registry

Também existem e-mails verdadeiros sobre o seu domínio. Com .com e outros gTLD, o seu registrar pode, por exemplo, pedir-lhe que verifique os seus dados de registo, que confirme o endereço de e-mail do titular ou que aprove uma transferência. Precisamente porque esses e-mails existem, são imitados.

Eis como reconhecer um e-mail falso:

• tem de pagar através de uma ligação no e-mail, quando o seu registrar lhe disponibiliza uma fatura na sua conta;
• ameaça-se que o seu domínio expira ou é eliminado ainda hoje;
• a ligação leva a um site desconhecido, e não ao seu registrar ou ao registry;
• tem de iniciar sessão através dessa ligação, ou recebe uma oferta de "registo em motores de pesquisa";
• o e-mail refere-se a um domínio que não tem, ou vem de uma empresa da qual não é cliente.

Em caso de dúvida, não clique em nada. Aceda o próprio à sua conta no registrar e verifique aí se se passa alguma coisa.

Se, mesmo assim, algo correr mal

Se o seu site deixar de funcionar de repente, ou se o seu e-mail deixar de chegar, verifique na sua conta se os servidores de nomes ou os registos DNS foram alterados. Se o domínio desapareceu ou foi transferido, contacte de imediato o seu registrar, com uma prova de que é o titular (lição 6.3). Depois, altere as suas palavras-passe, reveja os utilizadores e verifique sobretudo os registos MX: quem os altera lê o seu e-mail.

Na prática: como funciona na WebOké

No O meu WebOké, inicia sessão com a sua palavra-passe e um código de início de sessão enviado por e-mail (manual WebOké 3.2). Também pode configurar uma aplicação de autenticação (3.3). Quem tem acesso é definido em A minha administração › Utilizadores (11.3). O bloqueio de transferência encontra-se na página do domínio, no cartão Avançado, em Transfer-lock. Noutros registrars, funciona de forma semelhante: procure verificação em dois passos, utilizadores ou membros da equipa, e um bloqueio de transferência ou de domínio.

Resumo

• Quem gere o seu domínio gere também o seu e-mail e, com isso, a recuperação de palavras-passe das suas outras contas.
• Proteja a sua conta no registrar com uma palavra-passe forte, verificação em dois passos e utilizadores próprios para outras pessoas.
• Ative o bloqueio de transferência sempre que possível; para nomes .nl importantes existe o .nl Control.
• Faturas falsas, ofertas de registo e slamming: pague apenas o que encontra na sua própria conta.
• Não clique em ligações de e-mails sobre o seu domínio; verifique o próprio na sua conta.

Questionário

Exercício

Exercício D7.1: A sua conta bem protegida. Reveja a conta com que gere os seus domínios, na WebOké ou noutro registrar. Ative o que ainda está desativado e elimine o que já não deve lá estar.

Assinale:

• A verificação em dois passos está ativada (na WebOké: código de início de sessão por e-mail ou uma aplicação de autenticação, manual 3.2 e 3.3).
• Verificou quem tem acesso e retirou antigos funcionários ou webdesigners anteriores (manual 11.3).
• O bloqueio de transferência está ativado em todos os domínios em que isso é possível.
• O endereço de início de sessão da sua conta não está num domínio que gere através dessa conta.
• Sabe como reconhecer uma fatura verdadeira do seu registrar e onde a encontra na sua conta.

Responda:

1. Que forma de verificação em dois passos utiliza, e em que outras contas relacionadas com o seu domínio (e-mail, DNS, alojamento) ainda não está ativada?
2. Quem tinha acesso à sua conta, e a quem retirou ou limitou o acesso?
3. Em quais dos seus domínios é possível um bloqueio de transferência e está agora ativado? Em quais não é possível, e porquê?
4. Como vai verificar, a partir de agora, se uma fatura ou um e-mail sobre o seu domínio é verdadeiro?

Para saber mais

• E-mails da ICANN ou do registo sobre o seu domínio: verdadeiras ou falsas, e o que deve fazer?
• O meu domínio foi transferido sem que eu o tenha solicitado
• Manual do WebOké 3.2: O código de início de sessão por e-mail (verificação em dois passos)
• Manual do WebOké 3.3: Utilizar uma aplicação de autenticação
• Manual do WebOké 11.3: Convidar utilizadores e atribuir permissões