レジストラのパスワード設定に注意

JPCERT/CC からちょっと気になる注意喚起が送られてきたのでメモ。

BIND などの DNS サーバに対する攻撃ではなく、レジストラから正規の手段を使ってレコードを書き換える DNS ハイジャックのようです。
注意喚起が来ているということはある程度多発しているんでしょうが、思い当たる事件がこれといってないんですよね。

さらに謎なのが軽減策のところに書かれている下記の部分。
ハイジャックした後で、元に戻すとというのも不思議な攻撃方法ですね。

登録情報の不正書き換えによるドメイン名ハイジャックに関する注意喚起

管理する登録情報が、不正に書き換えられるインシデントに備えて、早期に
検知・対応できるよう、以下の軽減策の適用を検討してください。
- whois などのコマンドを利用し、ネームサーバ情報などの登録情報が正しく設定されているか定期的に確認する (※)
- 登録情報が不正に書き換えられるインシデントに備えて、レジストラの連絡先や問い合わせ方法を事前に確認する
(※) JPCERT/CC は、攻撃者に不正に書き換えられた登録情報が、1〜2日程度で元の登録情報に戻されていたことを確認しています。

† 参考

• （緊急）登録情報の不正書き換えによるドメイン名ハイジャックとその対策について（2014年11月5日公開）