Advertencia: los dominios caducados son fáciles de elegir para los hackers

Aprendí una dura lección esta semana. En pocas palabras, un spammer de Vietnam ha secuestrado mi cuenta de Google Apps for Domains (ahora llamada Google Apps for Business) y actualmente está enviando correos electrónicos de personas desde mi antigua dirección de correo electrónico (jack@anthrocopy.com) completo con mi firma, número de teléfono ynombre y todo lo que contiene. Anthrocopy.com era un nombre informal de dba que utilicé hace años para mi negocio de escritura independiente, pero lo eliminé lentamente y dejé que el dominio expirara. Ahora, alguien más se ha mudado al lugar, al estilo cangrejo ermitaño, y probablemente están contactando a todos mis viejos contactos comerciales sobre Viagra barato.

Me puse en contacto con Google al respecto y su respuesta oficial fue "Lamento decirte que no podemos ayudarte con este problema ya que ya no eres el propietario de ese dominio".

Lo suficientemente justo. Después de todo, dejo que el dominio caduque, lo que permite que otra persona lo compre, y al hacerlo, les dejo tomar mi antigua cuenta de Gmail, la cuenta de Google Docs y cualquier otro servicio web de terceros en el que pueda haber utilizado la autenticación de Google para iniciar sesión . El soporte técnico de Google me recomendó que me pusiera en contacto con la policía, pero creo que el FBI tiene más pescado para freír que un spammer vietnamita que pretende ser un escritor independiente de buenos modales.

Entonces, parece que el único recurso que me quedafue para correr la voz de que había sido secuestrado y, en el proceso, tal vez proporcionar un anuncio de servicio público sobre dejar que sus registros de dominio caduquen sin cerrar todos los demás servicios asociados. Los detalles de esos dos esfuerzos siguen.

¿Por qué recibo notificaciones de entrega fallidas de correos electrónicos que no envié?

No estoy seguro de por qué me sucedió esto, pero últimamente,Recibí muchas notificaciones de entrega fallidas o respuestas automáticas fuera de la oficina para correos electrónicos que nunca envié. Uno de estos correos electrónicos es lo que me alertó sobre el hecho de que algo malo estaba sucediendo con mi identidad en línea.

Spoofing de correo electrónico versus cuenta de correo electrónico comprometida

Los primeros que recibí fueron un simple caso de falsificación de correo electrónico. Es decir, alguien estaba enviando correos electrónicos. diciendo que eran de mí, pero los encabezados de lael correo electrónico demostró que realmente no se enviaban desde mi cuenta. La suplantación de correo electrónico es un ataque común, a menudo automatizado, y en su mayoría es inofensivo, ya que la mayoría de los servidores de correo saben cómo reconocer un correo electrónico falsificado. Los registros SPF pueden ayudar a este esfuerzo.

Aquí hay un ejemplo de un simple correo electrónico falso:

Pero luego, recibí una entrega fallidanotificación que incluía el mensaje original. Y noté que tenía una dirección de correo electrónico real que una vez usé (jack@anthrocopy.com) y mi firma de correo electrónico también. Esto era evidencia de que alguien no solo decía que era yo, sino que también enviaba correos electrónicos legítimos desde mi dirección anterior. En realidad fue enviado a través de Gmail.

¿Cómo podría ser esto? Parecía que mi antigua cuenta de Google Apps for Domains tenía las credenciales de mi dirección de correo electrónico principal aún activa. No está bien.

Primero, me preocupaba que una computadora que teníarecientemente dado a un amigo estaba siendo abusado. Pero busqué la dirección IP (1.54.46.59) del encabezado del remitente, y parecía que el correo electrónico había sido enviado por alguien en Vietnam. Revisé mi registro de StatCounter y también descubrí que el hacker había estado visitando mi página web:

Parece que alguien es específicamente yintentando persistentemente robar mi identidad. No tengo ni idea de porqué. Pero al robarme Anthrocopy.com a mí y a mi cuenta asociada de Google Apps for Domains, parece que han progresado un poco.

Cómo los hackers pueden acceder a su Gmail comprando un dominio vencido

Google Apps for Domains es diferente de uncuenta normal de Gmail o Google Docs o Google Drive, ya que está asociada con un dominio que puede haber registrado de una empresa distinta de Google. En 2010, registré Anthrocopy.com con Namecheap.com. Después de terminar mi carrera independiente para trabajar como escritor técnico a tiempo completo, dejé que el dominio expirara. De alguna manera, el pirata informático descubrió que tenía una cuenta de Google Apps for Domain, a pesar de que ya no era dueño del dominio. Entonces, el 20 de junio de 2014, alguien lo compró a través de moniker.com, según Whois.

Ese es un juego justo. Si ya no quiero un nombre de dominio, otra persona es libre de comprarlo. Sin embargo, dieron un paso más y piratearon mi cuenta de Google Apps for Domains. Lo hicieron mediante el formulario de recuperación de cuenta de Google Apps for Business, que le dará acceso a cualquier cuenta de Google Apps si puede demostrar que posee un nombre de dominio. En lugar de utilizar un restablecimiento de contraseña o una sugerencia de contraseña, puede crear un registro CNAME para el dominio que demuestre que es el propietario del dominio. Luego, Google te da las claves de la cuenta. Por $ 10, alguien en Vietnam acaba de obtener acceso a todas mis antiguas configuraciones de Gmail, historial y credenciales de inicio de sesión guardadas.

Recuperación de una cuenta de Google Apps for Business secuestrada

Alerta de spoiler: no hay forma de recuperar una cuenta de Google Apps for Business comprometida. Si alguien posee el dominio, es dueño de la cuenta de Google Apps for Business asociada. Esa es la posición de Google al respecto, y estoy muy en desacuerdo, pero todavía no los he convencido de que hagan nada al respecto.

Cuando supe lo que había sucedido, me puse en contactoSoporte de Google Enterprise a través de este formulario. Aproximadamente 12 horas después (un sábado, no está mal), recibí una llamada de un amigo que recapituló mi incidente con precisión. Desafortunadamente, me dijo que no había nada que pudiera hacer, si no podía probar que era el dueño del dominio. Le dije que no me importaba el dominio, solo quería que mi información personal y profesional y mis credenciales estuvieran en manos de esa persona aleatoria. El técnico dijo que iba a escalar la situación, pero poco después, recibí el siguiente correo electrónico:

Entonces, en este punto, estoy atascado.

¿Qué voy a hacer con respecto a mi reputación en línea?

Mi próximo paso es enviar un correo electrónico personal atodos los que se me ocurran pueden estar en esa lista de contactos. Y quizás publique una notificación en los sitios web para los dominios que aún controlo. Pero aparte de eso, parece que no hay mucho que pueda hacer, aparte de hacer público lo que sucedió e intentar disculparme y explicarle a cada persona afectada. Espero ganar la batalla de relaciones públicas haciendo saber ampliamente que Anthrocopy.com y jack@anthrocopy.com son falsos y que el verdadero Jack Busch está muy molesto y lo siento mucho.

Aprenda de mis errores: no deje que caduquen los dominios

Solía ​​comprar dominios como locos cada vez que Godaddytuve una venta de nombres de dominio de 99 centavos o pensé en una idea divertida para un sitio web. Ahora, me doy cuenta de que cada uno de esos es una especie de responsabilidad. Cada uno que poseo y luego desconozco se convierte en una vía para que alguien coopte mi identidad. Con Anthrocopy, que fue el único con el que registré una cuenta de Google Apps, ese dominio que compré hace cuatro años y dejé expirar se convirtió en una gran vulnerabilidad.

La lección más amplia de esto es nunca dejar que los viejoslas cuentas caducan o caducan. Mantenga pestañas en cada cuenta que cree en línea. Si decide dejar de usar la cuenta, elimínela. No confíes en el proveedor de servicios para que descarte tus datos una vez que ya no te sean útiles. Ya sea que se trate de una cuenta de Twitter antigua, una cuenta de Facebook antigua (lea nuestro artículo sobre cómo eliminar permanentemente su cuenta de Facebook), un blog antiguo de Xanga o incluso una cuenta de AOL antigua, desenterrarla ahora y eliminarla, o al menos eliminarla de cualquier información personal. En la web, se trata de buscadores, y lo que pierdas será demasiado pequeño para que las fuerzas del orden se involucren.

Recomendación a Google

Si bien aprecio lo rápido que un Googlerepresentante se comunicó conmigo, estoy decepcionado de que no haya más recursos. Una cosa es comprar una propiedad que alguien ha abandonado. Otra cosa es poder comprar esa propiedad y luego asumir su identidad. Me doy cuenta de que debería haber estado más atento a mis cuentas viejas e inactivas, pero siento que sería una política productiva tener una fecha de vencimiento también en las cuentas inactivas. Registré Anthrocopy hace cuatro años y dejé de usarlo por completo hace más de dos años. Creo que en ese momento, no sería molesto para Google enviarme un correo electrónico rápido: "Oye, ¿sigues usando esto? Si no, lo eliminaremos ".

Creo que esta debería ser la política para cualquier cosa. Twitter, Facebook, MySpace, Gmail, etc. Debe haber una purga administrativa de datos para cuentas abandonadas. Esta política debe ser inicial en los términos de servicio y, tal vez, podría dar la opción de deshabilitar la eliminación automática de cuentas inactivas.

Me imagino que están ocurriendo ataques como estosen este momento y continuará ocurriendo hasta que todos sepamos y eliminemos las cuentas antiguas (gran oportunidad) o los proveedores de servicios comiencen a implementar medidas para evitar que las cuentas zombies vuelvan y se coman el cerebro de nuestros antiguos colegas con spam (o peor).

Conclusión

Cometí un error y aprendí mi lección. Estoy haciendo todo lo posible para controlar el daño y evitar que esto vuelva a suceder. Pero si ha tenido una experiencia similar o tiene más información o sugerencias, me encantaría saberlo.