Tres dominios nacionales emitieron certificados falsos: el candado no bastó

14 de octubre de 2026 a las 00:00|Autor: Equipo editorial de QUASA|5 lectura mínima| 2

El 6 de octubre de 2026, el equipo de seguridad de Chrome informó de que atacantes comprometieron los registros de tres dominios nacionales: .gh (Ghana), .sl (Sierra Leona) y .as (Samoa Americana). Alteraron registros DNS autoritativos y obtuvieron certificados HTTPS no autorizados para nombres de Google y de otras organizaciones. Los sistemas de Google no fueron comprometidos; Chrome bloqueó los certificados detectados mediante CRLSets y colaboró con las autoridades emisoras para revocarlos.

Una revisión de The Hacker News identificó al menos 12 certificados para siete nombres de Google y YouTube, registrados entre el 22 y el 27 de septiembre de 2026: 11 emitidos por Let’s Encrypt y uno por ZeroSSL. Entre los nombres figuraban google.com.gh, google.sl y google.as. Esas entradas documentan la emisión, pero no demuestran que los certificados se utilizaran para interceptar conexiones de usuarios.

Cómo el DNS abrió paso a certificados ajenos

La alteración ocurrió en una pieza de la cadena de confianza anterior al navegador. El registro de un dominio nacional interviene en la publicación de la información DNS de los nombres bajo su terminación. Al controlar las respuestas autoritativas durante el secuestro, los atacantes pudieron presentar ante una autoridad certificadora señales de control sobre nombres que pertenecían a otras organizaciones.

Una autoridad certificadora comprueba el control del dominio antes de emitir un certificado. Si la comprobación depende de una respuesta DNS manipulada, puede aceptar una solicitud hecha por quien no tiene permiso del titular. En este caso, «falsos» se refiere a esa autorización: los certificados fueron emitidos por autoridades reales para nombres reales, pero a partir de un control obtenido indebidamente. El incidente no exige que la autoridad emisora ni los sistemas del propietario hayan sido vulnerados.

La secuencia fue registro nacional, DNS autoritativo, validación del dominio, certificado y navegador. El candado de HTTPS señala que la conexión está cifrada y que se ha presentado un certificado aceptado para el nombre visitado. No permite al visitante saber si una alteración previa del DNS hizo que la solicitud de ese certificado pareciera legítima. Por eso el riesgo alcanzaba a otros titulares bajo las terminaciones afectadas, aunque los certificados identificados públicamente correspondieran solo a una parte de los nombres expuestos.

El bloqueo en Chrome y sus límites

Chrome incorporó los certificados no autorizados detectados a sus CRLSets para impedir su uso en el navegador. La respuesta también incluyó la revocación por las entidades emisoras, relevante para clientes distintos de Chrome. Matthew McPherrin, de Let’s Encrypt, escribió en el foro de la entidad: «Yes, certificates for Google and Youtube were issued, and have been revoked».

El bloqueo de un navegador depende de los certificados que haya logrado identificar. Los registros de transparencia también apuntaron a otras organizaciones afectadas, cuyos nombres no se hicieron públicos en el aviso. Un titular de un dominio regional debe revisar sus propios nombres aunque Chrome haya actuado: sus visitantes pueden utilizar otros navegadores o aplicaciones, y una intervención basada en certificados conocidos puede dejar fuera una emisión aún no detectada.

La posibilidad técnica de presentar un certificado válido no equivale a una interceptación acreditada. Harían falta datos sobre redirecciones, servidores que lo presentaron o conexiones afectadas para establecer ese uso. Lo documentado es el control indebido del DNS, la emisión de certificados y las medidas de bloqueo y revocación.

Qué revisar en los nombres bajo registros nacionales

Certificate Transparency, o CT, conserva entradas públicas de certificados emitidos. La búsqueda debe abarcar el inventario completo de una organización: sitios activos, nombres regionales poco usados y dominios reservados. Para un titular bajo .gh, .sl o .as, las emisiones recientes merecen una revisión específica; para otros registros nacionales, la misma vigilancia permite reconocer una solicitud ajena sin esperar una alerta del navegador.

Buscar cada nombre y sus posibles subdominios en un servicio de consulta de CT. Revisar los nombres incluidos en cada certificado, su emisor y la fecha en que quedó registrado.
Comparar los resultados con las solicitudes y autoridades certificadoras autorizadas por la organización. Un certificado de un emisor inesperado requiere investigación aunque el sitio habitual continúe funcionando.
Ante una emisión no reconocida, conservar los datos que identifican el certificado y comunicar el caso a la autoridad emisora para que lo investigue. Comprobar también la delegación y las respuestas DNS con el registrador o el operador del registro afectado.

Una entrada de CT demuestra que se emitió un certificado, pero no identifica por sí sola a quien controlaba el DNS ni prueba que se haya mostrado a un visitante. El titular puede resolver la primera duda al cotejar la entrada con sus cambios y solicitudes autorizados. Esa comparación convierte un registro público en una alerta sobre un nombre concreto.

Qué aporta CAA tras recuperar el DNS

Los registros DNS de tipo CAA indican qué autoridades certificadoras pueden emitir para un dominio. Una política restrictiva debe reflejar los emisores que el titular realmente utiliza. Cuando la autoridad lo permite, también puede limitar la emisión a una cuenta ACME autorizada y a métodos concretos de validación.

Durante un secuestro activo del DNS, quien altera las respuestas autoritativas puede modificar también la política CAA que consultará la autoridad certificadora. La protección cobra fuerza una vez recuperado el control legítimo: una validación del dominio completada durante el incidente puede reutilizarse para solicitar certificados posteriores. Restablecer una política CAA restrictiva reduce esa posibilidad, mientras la revisión de CT permite detectar cualquier nueva emisión para los nombres afectados.