Qué hacer
esta semana 9 de octubre de 2026
alta · global

Ataques a registros ccTLD obtienen certificados TLS válidos para Google

Google confirmó que entre el 22 y el 27 de septiembre de 2026 atacantes comprometieron los registros de los ccTLD .gh (Ghana), .sl (Sierra Leona) y .as (Samoa Americana), modificaron registros DNS autoritativos y obtuvieron al menos 12 certificados TLS válidos para nombres de Google y YouTube —emitidos por Let's Encrypt y ZeroSSL— pasando la validación de control de dominio (DCV) con respuestas DNS falsificadas.

Esta semana — prioridad 1

Suscribirse a monitoreo de Certificate Transparency para todos los dominios de producción, incluidos los que están bajo .cl y bajo cualquier ccTLD de terceros países usado por la organización. esfuerzo bajo · attack M1047 · cis 13.1 · iso27001 A.8.16
Publicar o endurecer registros CAA declarando únicamente las CA efectivamente contratadas. esfuerzo bajo · cis 4.1 · iso27001 A.8.9
Implementar monitoreo de cambios en registros NS y DS de los dominios propios, independiente del monitoreo de certificados. esfuerzo bajo · cis 13.1 · iso27001 A.8.16

Este mes — prioridad 2

Confirmar con el registrador y con NIC Chile (u otro registro aplicable) si existen funciones de registry-lock o control de cambios reforzado, y activarlas para los dominios críticos. esfuerzo medio · cis 12.2 · iso27001 A.5.23
Automatizar la renovación de certificados anticipando ciclos de validación más cortos (hasta 10 días de reutilización de validación hacia 2029, según el calendario del CA/Browser Forum). esfuerzo medio · cis 4.1 · iso27001 A.8.24

Indicadores a bloquear

Tipo	Indicador
dominio	google[.]com[.]gh
dominio	google[.]sl
dominio	google[.]as

Qué necesitas tener logueado

Eventos de un poller de Certificate Transparency (crt.sh, CertStream, cert-spotter) normalizados y reenviados al SIEM
Registros de cambio de NS/DS del propio dominio, obtenidos del registrador o de un monitor externo de DNS
Alertas de discrepancia entre el emisor de un certificado y el registro CAA publicado, si el proveedor de DNS las expone como evento

Las reglas de detección de este análisis están listas para descargar en https://www.vantis.cl/noticias/hijack-registros-cctld-certificados-tls-confianza-dns/reglas.txt — incluyen la versión Sigma canónica y las traducciones a los motores que apliquen.