Un secuestro de DNS abrió la puerta a certificados Google falsos

Google informó el martes 6 de octubre de 2026 de que unos atacantes habían comprometido los registros de los dominios de nivel superior nacionales .gh, .sl y .as. Modificaron registros DNS autoritativos y delegaciones de servidores de nombres para determinados dominios. Ese control les permitió redirigir tráfico y superar comprobaciones automatizadas de control del dominio. Los atacantes obtuvieron así certificados X.509 no autorizados para varios dominios de Google, además de para varias grandes marcas internacionales y servicios en línea de uso extendido.

Los certificados TLS vinculan un nombre de dominio como google.com con una clave pública. La clave privada correspondiente debe permanecer bajo el control del operador del servicio. Un certificado no autorizado puede facilitar la suplantación criptográfica del servicio, aunque la infraestructura propia de la organización afectada siga intacta. Google afirmó que las autoridades de certificación implicadas habían cumplido sus procedimientos.

Google no ha identificado los dominios propios afectados ni ha nombrado a las demás organizaciones. Tampoco ha revelado cuántos certificados se emitieron ni si se bloquearon todos los certificados destinados a servicios ajenos a Google. Chrome bloquea ahora todos los certificados no autorizados conocidos. Google colaboró con las autoridades de certificación emisoras para revocar los certificados de sus propios servicios.

La revocación oficial de certificados es lenta. Los fabricantes de navegadores pueden aplicar bloqueos locales con mayor rapidez. Google indicó que los usuarios de Chrome no tienen que hacer nada. Las medidas del navegador no protegen a todos los usuarios y no garantizan que se hayan encontrado todos los dominios afectados. Los propietarios de dominios deben revisar los registros de Certificate Transparency en busca de emisiones inesperadas y publicar registros restrictivos de Certification Authority Authorization en DNS. Los certificados que sigan sin descubrir podrían continuar siendo utilizados.

El incidente tiene precedentes. En 2011, unos atacantes comprometieron la autoridad de certificación neerlandesa DigiNotar y crearon certificados fraudulentos para Google.com y más de 200 dominios con mucho tráfico. Esos certificados se utilizaron contra al menos 300.000 personas vinculadas a Irán. Otros incidentes posteriores se debieron a fallos de autoridades de certificación y a debilidades de los propietarios de dominios.