Los atacantes podrían secuestrar subdominios creados por las empresas para servicios externos que ya no usan, aseguran investigadores.

Muchas empresas establecen subdominios para su uso con servicios externos, pero olvidan desactivarlos cuando dejan de usar esos servicios, creando un vacío explotable por los atacantes. 

Debido a que muchos proveedores de servicios no validan correctamente la propiedad de los subdominios de sus servidores, los atacantes pueden configurar nuevas cuentas y subdominios olvidados reclamándolos como suyos. 

La eliminación o actualización de las entradas de DNS para subdominios suena como un procedimiento común, pero de acuerdo a los investigadores de Detectify, proveedor en Estocolmo de servicios de escaneo de seguridad web, este tipo de escaneos están bastante generalizados entre las empresas. 

"Hemos identificado al menos 17 proveedores de servicio que no verifican la propiedad del subdominio correctamente, permitiendo que esta vulnerabilidad sea aprovechada: Heroku, Github, Bitbucket, Squarespace, Shopify, Escritorio, Trabajo en equipo, Unbounce, Helpjuice, HelpScout, Pingdom, Tictail, Campaign Monitor, CargoCollective, StatusPage.io y Tumblr", aseguraron investigadores de Detectify. "También hemos identificado al menos 200 organizaciones actualmente afectadas". 

El riesgo para los administradores de sitios web depende de los permisos a terceros. Si el servicio permite a los usuarios crear páginas web o redirecciones, los atacantes podrían aprovechar la situación para lanzar ataques de phishing creíbles, creando copias del sitio web principal. 

En un escenario de ataque descrito por Detectify, una empresa puede crear un subdominio para su uso con un servicio de venta de entradas para apoyo externo, pero más tarde se cerrará su cuenta y olvida eliminar el subdominio. Los atacantes podrían entonces crear una nueva cuenta con el mismo servicio y reclamar subdominio de la empresa, que ya cuenta con la configuración necesaria de DNS, lo que les permite establecer un sitio web falso y reclamarlo como propio.

Algunos de los subdominios expuestos a este tipo de secuestro encontrados por Detectify pertenecían a diferentes tipos de organizaciones, incluyendo agencias gubernamentales, proveedores de servicios de salud, compañías de seguros y bancos.