Você sabia que uma das formas possíveis de atacar o seu site é através da sua própria conta do Registro.br? Isso mesmo, e nós da GUARD inclusive já ajudamos um cliente a restabelecer seu site hackeado exatamente dessa forma.
Hoje você vai aprender na prática uma forma simples de como evitar esse tipo de incidente, aumentando a segurança da sua conta no Registro.br e consequentemente, a segurança dos domínios gerenciados por você ou sua organização.
O que é o Registro.br ?
O Registro.br é uma entidade nacional que gerencia a concessão de domínios .br às pessoas físicas ou jurídicas no Brasil. Dentre suas atribuições, está o controle das autoridades DNS sob os domínios concedidos. Em termos mais simples, é no Registro.br que é definido quais os servidores DNS possuem as configurações de nome de um domínio, como o apontamento para o servidor que hospeda o site, que hospeda o e-mail, dentre outros serviços.
Qual é o risco e impactos?
Se sua credencial no Registro.br for de alguma forma comprometida, e seu login e senha estiverem sob a posse de alguém mal-intencionado, esta pessoa poderá simplesmente mudar os apontamentos DNS do seu domínio, direcionando os usuários do seu site para um servidor que contem outro site, com mensagens ofensivas, ou até mesmo um servidor que possui uma réplica do seu site e que pode ser usado para enganar usuários e roubar dados. Os prejuízos podem ir além do site pois os e-mails da organização também podem ser comprometidos. Isso é muito grave, as consequências podem ser catastróficas, e tudo isso pode ser feito sem nenhuma grande engenhosidade para hackear ou invadir um servidor ou o site.
E o pior: você não poderá fazer NADA para restabelecer seu site, e-mail e domínio enquanto não evidenciar a situação com o Registro.br, que executa um excelente serviço mas possuí processos rigorosos com relação a comprovação de propriedade de contas (e não deveria ser diferente). Enquanto isso, seu domínio e site possuem um novo dono, e mensurar este prejuízo varia do foco de cada negócio. Abaixo a lista de alguns impactos que você ou sua organização estarão sujeitos:
- Interrupção do ciclo normal de atividades (site fora do ar, e-mails sem funcionar, equipes paradas);
- Perda de vendas no caso de e-commerce;
- Prejuízo com a reputação da sua marca/domínio;
- Quebra de confiança dos visitantes do seu site;
- Prejuízos com perda de receita originadas por anúncios;
- Perda no ranking de buscas orgânicas do Google;
- Comprometimento da imagem de pessoa pública (Celebridade ou Político);
Como aumentar a segurança de minha conta no Registro.br ?
Simples! O Registro.br fornece um recurso de autenticação em duas etapas baseado em token, similar ao oferecido por alguns bancos. Se de alguma forma sua senha for descoberta ou roubada, sem o token não será possível logar e alterar nada em sua conta. Uma funcionalidade simples, gratuita que pode evitar uma dor de cabeça e prejuízos quase imensuráveis. A seguir os passos de como ativar este recurso:
Pré-requisitos
- Possuir uma conta no Registro.br
- Possuir um smartphone com o aplicativo Google Authenticator instalado.
Passo 1: Ao logar no Registro.br, identifique e clique o link “Token” no canto superior direito da tela.
Passo 2: Leia atentamente a explicação da caixa de texto “O QUE É TOKEN” e em seguida clique no link “GERAR TOKEN”. Com o aplicativo Google Authenticator do seu smartphone aberto, clique no ícone com sinal de “+” no canto superior direito da tela, e aponte a câmera para o QR Code gerado, e na tela inicial do aplicativo aparecerá um item intitulado Registro.br com um token que se renova 30 segundos.
Passo 3: Insira no token na caixa de texto que aparece no lado direita na tela do site do Registro.br e clique em “ATIVAR TOKEN”.
Passo 4: A tela seguinte exibirá uma lista de 10 códigos (tokens também), que poderão ser utilizados nos casos em que seu smartphone não está funcionando, ou foi roubado, e também para recuperação de senha. Por esta razão é muito importante que seja seguida a recomendação do Registro.br de imprimir e arquivar de forma segura os códigos.
Pronto! Sua configuração foi concluída e para testar, basta fazer logout e tentar acessar novamente. Após inserir seu login e senha, aparecerá uma outra caixa solicitando o token, que deverá ser o que consta no aplicativo Google Authenticator.
Lembre-se que é importante que esta ação seja replicada para todos os usuários envolvidos no seu domínio, principalmente os com perfil de ID Técnico.
Agora meu site está 100% seguro?
Seu domínio e site estão com certeza mais seguros! Você realizou uma ação simples, utilizando um recurso já disponível no Registro.br (não foi necessário pagar nada a mais para utilizá-lo) e você minimizou a chance do seu site ser hackeado e ter prejuízos gigantes. No entanto possuir e manter um site seguro exige um conjunto contínuo de tarefas e esforços. Para continuar atualizado, siga nossos perfis e visite nosso blog regularmente.