O que aconteceu: o time Chrome Secure Web and Networking publicou em 6 de outubro que atacantes comprometeram a infraestrutura que atende três domínios de topo de país: o .gh de Gana, o .sl de Serra Leoa e o .as de Samoa Americana. Com o controle dos registros autoritativos de DNS, passaram pela validação de controle de domínio das autoridades certificadoras e obtiveram certificados HTTPS válidos para domínios do Google e de outras organizações. O Google afirma que seus sistemas não foram comprometidos e que não tem razão para acreditar que as CAs emissoras tenham agido de forma indevida. O Chrome bloqueou por CRLSet os certificados dos domínios do Google, trabalhou com as CAs para revogá-los e depois varreu os registros de Certificate Transparency em busca de outras vítimas, entre elas marcas globais e serviços de uso amplo, bloqueando também os certificados delas. O aviso diz o que esse bloqueio não cobre: usuário de outro navegador segue exposto e o Google não garante que a análise encontrou todos os domínios afetados.
A parte difícil de explicar para a diretoria é que nada aqui foi quebrado. O TLS funcionou. A autoridade certificadora seguiu o procedimento. O certificado é matematicamente válido e a cadeia fecha até a raiz.
A validação de domínio pergunta uma coisa só: quem responde por este nome no DNS? Quem assume o registro de um país responde por todos os nomes daquele país. A pergunta foi respondida corretamente. Só não foi respondida pelo dono.
Por que três países pequenos
Registro de topo de país não é um mercado homogêneo. Alguns são operados pela comunidade técnica local, outros são terceirizados para empresas que cuidam de vários namespaces ao mesmo tempo. O Google descreve o comprometimento como sendo da infraestrutura que atende esses três, e não dos sistemas dos donos dos domínios. Nem o aviso nem a cobertura nomearam os operadores, as CAs emissoras ou a quantidade de certificados.
O efeito é de atacado. Quem controla o DNS autoritativo de um .gh não ataca um domínio, ataca a zona inteira. Qualquer nome ali passa a ser emitível, e o atacante fica com o DNS e com a chave privada do certificado ao mesmo tempo, o que é o conjunto completo para interceptar tráfego ou servir conteúdo próprio sob a marca de outra empresa.
A janela não fecha quando o DNS volta
Desde 15 de março de 2026 o teto de validade de um certificado público é de 200 dias, e o teto de reuso de validação de domínio também. Um certificado emitido durante o sequestro continua válido por até 200 dias depois dele, e a validação em cache pode ser reaproveitada para emitir certificados novos mesmo depois de o dono recuperar o DNS. O calendário do SC-081v3 só aperta isso em 15 de março de 2027, quando os dois caem para 100 dias, e em 15 de março de 2029, quando a validade vai a 47 dias e o reuso de validação a 10.
É por isso que a recomendação do Google sobre CAA não é prevenção. Registro CAA não impede emissão enquanto o atacante manda no DNS, porque ele reescreve o CAA também. O que o CAA faz, com accounturi e validationmethods, é cortar o reaproveitamento depois que o DNS legítimo volta.
Quem precisa monitorar o quê
- Monitorar Certificate Transparency em toda a carteira de domínios, inclusive os estacionados e os regionais que ninguém olha. Foi assim que o Google achou as outras vítimas.
- Quem tem domínio em
.gh,.slou.asprecisa revisar as entradas recentes de CT em busca de emissão inesperada. - Publicar CAA restritivo, com vínculo de conta ACME e restrição de método de validação.
- Não tratar bloqueio de navegador como controle. CRLSet é do Chrome. Cliente de API, agente, aplicativo móvel e integração servidor a servidor não enxergam nada disso.
O elo que ninguém no Brasil costuma inventariar
O .br tem uma vantagem estrutural nessa conversa. O registro é operado diretamente pelo NIC.br, que oferece DNSSEC e segundo fator na conta do titular. São mais de cinco milhões de domínios sob uma operação única e conhecida, não sob um contrato terceirizado de operação técnica.
Isso resolve metade do problema. A outra metade é a carteira internacional. Empresa brasileira com presença regional costuma ter domínios defensivos em dezenas de ccTLDs comprados anos atrás, renovados no automático, sem monitoramento de CT e sem CAA publicado. São exatamente esses nomes que um incidente como o desta semana transforma em certificado válido na mão de outra pessoa, sem que ninguém do lado de cá receba um alerta.
Outros sinais do dia
- Causa
A validação de domínio confia no DNS, e só nele
Controlar o registro autoritativo é suficiente para provar controle do nome a uma CA. Nenhuma etapa do processo verifica quem é o titular.
- Alcance
O Certificate Transparency revelou outras vítimas
Depois de proteger os próprios domínios, o Google varreu os logs de CT e achou marcas globais e serviços de uso amplo também afetados.
- Limite
O bloqueio do Chrome não protege quem não usa Chrome
CRLSet vale no navegador. A revogação junto às CAs é o que alcança outros clientes, e o Google admite não garantir cobertura completa.
- Prazo
200 dias de validade e 200 de reuso de validação
O teto atual do SC-081v3 dá ao atacante uma janela que sobrevive ao fim do sequestro. Cai para 100 dias em março de 2027.
- Resposta
CAA com accounturi serve para o depois, não para o durante
Enquanto o DNS está sequestrado o atacante reescreve o CAA. O valor do registro é impedir emissão por validação em cache depois.
Fontes e aprofundamento
- Google · Chrome's Response to Recent ccTLD Registry Hijacks, aviso do time Chrome Secure Web and Networking, com a resposta por CRLSet e as recomendações de CT e CAA.
- BleepingComputer · Hackers hijack Google domains after breaching ccTLD registries, com a explicação de como o controle do DNS satisfaz a validação por registro TXT.
- The Register · Attackers hijacked top-level domains, minted fake security certs for Google and other orgs, com o que o Google não revelou: operadores, CAs emissoras e número de certificados.
- CyberInsider · Google blocks rogue HTTPS certificates after domain registry hijacks, com a sequência da resposta e a ressalva de que não se sabe se os certificados foram usados.
- TLS Radar · The 47-Day Certificate Schedule: SC-081v3, DCV Reuse, and What to Automate, com o calendário de validade e de reuso de validação de domínio até 2029.
- NIC.br · NIC.br passa a marca de cinco milhões de domínios registrados, para a operação do registro .br e os recursos de DNSSEC e segundo fator do Registro.br.