In sintesi
Chi controlla il DNS del vostro dominio può ottenere un certificato vero e accettato dai browser. Il 6 ottobre 2026 il team di sicurezza di Chrome di Google ha comunicato che alcuni attaccanti avevano dirottato i registri nazionali di Ghana (.gh), Sierra Leone (.sl) e Samoa Americane (.as), modificato record DNS autoritativi e ottenuto certificati HTTPS validi per diversi domini Google e per altre organizzazioni.
Google afferma che i propri sistemi non sono stati violati e che le autorità di certificazione sembrano aver rispettato le regole. Chrome blocca i certificati. La lezione per tutti gli altri sta nella parte dello stack che pochi team guardano: registri, registrar e l'automazione di DNS e certificati dietro il vostro ambiente cloud.
Come hanno fatto gli attaccanti a ottenere veri certificati per domini Google?
Prima di emettere un certificato HTTPS, un'autorità di certificazione verifica che il richiedente controlli il dominio. Un metodo comune chiede di pubblicare un record DNS con un valore casuale. Chi può modificare il DNS autoritativo del dominio supera il controllo. È il principio stesso della validazione del dominio, ed è anche il suo punto debole.
In questo caso gli attaccanti non hanno colpito Google. Sono saliti di un livello, ai sistemi che gestiscono tre domini di primo livello nazionali. Con quel controllo hanno riscritto il DNS autoritativo di domini sotto .gh, .sl e .as, compresi i domini locali di Google per quei Paesi, e hanno poi richiesto certificati che qualsiasi browser avrebbe accettato. The Register e BleepingComputer sottolineano che Google non ha reso noti né le CA emittenti né le altre aziende colpite.
Cosa hanno fatto Google e Chrome?
Google ha inserito i certificati fraudolenti per i propri servizi nei CRLSets, il meccanismo con cui Chrome blocca rapidamente i certificati in emergenza, e ha ottenuto la revoca dalle CA emittenti, così da proteggere anche altri browser e client. Ha poi analizzato i log pubblici di Certificate Transparency, trovato certificati di altre organizzazioni che sembravano legati alla stessa campagna, li ha bloccati in Chrome e ha avvisato i titolari dove possibile. Secondo Google, gli utenti di Chrome non devono fare nulla.
L'avvertenza importante viene da Google stessa: poiché i dirottamenti DNS sono complessi, l'azienda non può garantire di aver trovato ogni dominio colpito. I titolari di domini sotto le tre estensioni, e chiunque abbia un dominio nazionale del proprio marchio presso un piccolo registro, dovrebbero controllare da sé lo storico dei certificati invece di aspettare una notifica.
Cosa cambia per i team software negli Stati Uniti e nell'UE
Primo: la vostra fiducia TLS è solida quanto il registro più debole da cui dipendete. Molte aziende registrano domini nazionali per marketing, tutela del marchio o negozi locali e poi li dimenticano. Spesso questi domini stanno presso piccoli registri e rivenditori la cui sicurezza nessuno ha mai valutato. Un dirottamento lì può produrre un certificato valido per un dominio che i vostri clienti riconoscono.
Secondo: i record CAA non sono più igiene facoltativa. Un record Certification Authority Authorization indica quali CA possono emettere certificati per il vostro dominio. Google raccomanda espressamente record CAA restrittivi che limitino l'emissione anche ai vostri account ACME e ai vostri metodi di validazione. Non ferma chi controlla del tutto il vostro DNS e può riscrivere il record, ma restringe le strade per tutti gli altri e fa fallire per impostazione predefinita un'emissione tramite una CA o un account inattesi.
Terzo: il monitoraggio Certificate Transparency trasforma un attacco silenzioso in un allarme. Ogni certificato pubblicamente affidabile viene registrato. Monitorando quei log Google ha individuato le altre vittime, ed è il modo più rapido per vedere un certificato inatteso prima che venga usato contro i vostri utenti. Per le realtà europee soggette a NIS2 o DORA, e per le aziende statunitensi che rispondono a requisiti SOC 2 o a questionari di sicurezza dei clienti, «monitoriamo CT per i nostri domini» è un controllo facile da dimostrare.
Cosa significa per le aziende italiane?
I domini .it sono gestiti dal Registro .it presso l'IIT-CNR di Pisa, un registro maturo; il rischio per le imprese italiane sta piuttosto ai margini del portafoglio. Le aziende del made in Italy che esportano registrano spesso domini nazionali per filiali, distributori, fiere e tutela del marchio, non di rado tramite agenzie o partner locali, e la funzione IT spesso non ne conosce nemmeno l'esistenza. Sono proprio i piccoli registri di questo tipo a essere stati colpiti. Un certificato valido sul dominio estero di un marchio italiano noto basta per un phishing credibile contro clienti e rivenditori.
Sul piano normativo il tema rientra direttamente negli obblighi NIS2, recepiti in Italia con il D.Lgs. 138/2024 e vigilati dall'Agenzia per la Cybersicurezza Nazionale (ACN): la direttiva richiede la gestione del rischio nella catena di fornitura e include espressamente registri di domini di primo livello e fornitori di servizi DNS. Per banche e intermediari, DORA aggiunge i requisiti sui fornitori ICT. In pratica: inserite il portafoglio domini con registrar e registro nell'inventario di asset e fornitori, documentate CAA e DNSSEC come misure tecniche e conservate le evidenze di un monitoraggio CT continuo per i prossimi audit.
Cosa controllare questa settimana?
- Censire ogni dominio di proprietà. Compresi domini nazionali, domini di campagna e tutto ciò che le agenzie hanno registrato per vostro conto. Annotate registro e registrar di ciascuno.
- Interrogare i log Certificate Transparency. Cercate certificati emessi da metà settembre 2026 che non avete richiesto, poi attivate avvisi CT continui sull'intero portafoglio.
- Pubblicare record CAA restrittivi. Autorizzate solo le CA che usate davvero e, dove la CA lo supporta, vincolate l'emissione al vostro account ACME e al metodo di validazione preferito.
- Attivare le protezioni di registrar e registro. Usate il registry lock dove disponibile, abilitate DNSSEC, imponete l'MFA sugli account del registrar e rivedete gli accessi.
- Dismettere o accorpare i domini dimenticati. Un dominio che nessuno sorveglia è un dominio di cui nessuno si accorgerà se viene dirottato. Reindirizzatelo da un registrar ben gestito o lasciatelo scadere in modo consapevole.
Domande frequenti
Cosa è successo ai domini .gh, .sl e .as?
Gli attaccanti hanno compromesso i sistemi usati per gestire i registri nazionali di Ghana (.gh), Sierra Leone (.sl) e Samoa Americane (.as), riscritto record DNS autoritativi per domini sotto queste estensioni e sfruttato quel controllo per ottenere certificati HTTPS validi. Google ha reso noti gli incidenti il 6 ottobre 2026.
I sistemi di Google sono stati violati?
No. Google afferma che i propri sistemi non sono stati compromessi. Gli attaccanti controllavano a livello di registro il DNS dei domini nazionali di Google, come google.com.gh, e questo bastava a superare i controlli di possesso del dominio svolti dalle autorità di certificazione.
Le autorità di certificazione hanno sbagliato?
Google dichiara di non avere motivo di ritenere che le CA emittenti abbiano agito in modo scorretto. La validazione del dominio dimostra chi controlla il DNS in quel momento, non chi ne è il titolare legale, quindi un dirottamento a livello di registro la aggira per costruzione.
Gli utenti di Chrome devono fare qualcosa?
No. Google ha bloccato i certificati individuati in Chrome tramite CRLSets e ne ha ottenuto la revoca dalle CA emittenti, proteggendo anche gli utenti di altri browser e client. Sono stati bloccati anche i certificati di altre organizzazioni trovati nei log Certificate Transparency.
Cosa deve fare la nostra azienda?
Pubblicare record CAA restrittivi che indichino solo le CA effettivamente usate e, dove possibile, vincolino l'emissione al vostro account ACME e ai vostri metodi di validazione. Monitorare i log Certificate Transparency per ogni dominio di proprietà, compresi quelli nazionali. Verificare le protezioni di registrar e registro come registry lock e DNSSEC.
Fonti
Google — Chrome’s response to recent ccTLD registry hijacks
BleepingComputer — Hackers hijack Google domains after breaching ccTLD registries
The Register — Attackers hijacked top-level domains, minted fake security certs for Google and other orgs
SecurityWeek — Google domains impacted by recent ccTLD hijacks