Varning: Utgått domäner är enkla val för hackare

Jag lärde mig en svår lektion den här veckan. Lång historia kort, en spammare från Vietnam har kapat mitt Google Apps for Domains (nu kallad Google Apps for Business) -konto och skickar för närvarande e-postmeddelanden från min gamla e-postadress (jack@anthrocopy.com) komplett med min signatur, telefonnummer ochnamn och allt på det. Anthrocopy.com var ett informellt dba-namn som jag använde för flera år sedan för min frilansskrivningsverksamhet, men jag fasade långsamt ut det och lät domänen upphöra. Nu har någon annan flyttat till platsen, eremitkrabba-stil, och kontaktar förmodligen alla mina gamla affärskontakter om billig Viagra.

Jag kontaktade Google om det och deras officiella svar var "Jag är ledsen att säga att vi inte kan hjälpa dig med det här problemet eftersom du inte äger den domänen längre."

Rimligt nog. När allt kommer omkring låter jag domänen löpa ut och låter därmed någon annan köpa den, och på det sättet låter jag dem kommandera mitt gamla Gmail-konto, Google Docs-konto och alla andra tredjeparts webbtjänster som jag kanske har använt Google-autentisering för att logga in . Googles tekniska support rekommenderade att jag kontaktar brottsbekämpning, men jag tror att FBI har större fisk att steka än vissa vietnamesiska spammare som låtsas vara en mild manad frilansförfattare.

Så det verkar som det enda sättet kvar för migvar att sprida ordet att jag hade blivit kapad och i processen kanske tillhandahåller ett offentligt tillkännagivande om att låta dina domänregistreringar upphöra utan att avveckla alla andra tillhörande tjänster. Detaljerna om dessa två ansträngningar följer.

Varför får jag misslyckade leveransmeddelanden för e-postmeddelanden som jag inte skickade?

Jag är inte säker på varför det hände mig, men på sistoneJag har fått många misslyckade leveransmeddelanden eller autosvar på kontoret för e-postmeddelanden som jag aldrig skickat. En av dessa e-postmeddelanden är det som tippade mig till det faktum att någonting som inte fanns med min online identitet.

E-post Spoofing kontra kompromiserat e-postkonto

De första par som jag fick var ett enkelt fall av e-post spoofing. Det vill säga att någon skickade e-postmeddelanden säger att de var från mig, men rubrikernae-postmeddelandet bevisade att de verkligen inte skickades från mitt konto. E-postforfalskning är en vanlig, ofta automatiserad attack, och är mestadels ofarlig, eftersom de flesta e-postservrar vet hur man identifierar en förfalskad e-post. SPF-poster kan hjälpa denna ansträngning.

Här är ett exempel på ett enkelt falskt e-postmeddelande:

Men då fick jag en misslyckad leveransmeddelande som inkluderade det ursprungliga meddelandet. Och jag märkte att den hade en verklig e-postadress som jag en gång använde (jack@anthrocopy.com) och min e-postsignatur också. Detta var bevis på att inte bara någon sa att de var jag, de skickade faktiskt legitima e-postmeddelanden från min gamla adress. Det skickades faktiskt via Gmail.

Hur kan detta vara? Det verkade som om mitt gamla Google Apps for Domains-konto hade referenser för min fortfarande aktiva huvud-e-postadress i den. Inte bra.

Först var jag orolig för att jag hade en datorsom nyligen gavs till en vän missbrukades. Men jag letade upp IP-adressen (1.54.46.59) från avsändarens rubrik, och det verkade som e-postmeddelandet skickades från någon i Vietnam. Jag kontrollerade min StatCounter-logg och fann också att hackaren hade besökt min webbsida:

Det verkar som att någon är specifikt ochförsöker ständigt stjäla min identitet. Jag har ingen aning om varför. Men genom att stjäla Anthrocopy.com från mig och mitt tillhörande Google Apps for Domains-konto verkar det som om de har gjort några framsteg.

Hur hackare kan få åtkomst till din Gmail genom att köpa en löpt ut domän

Google Apps för domäner skiljer sig från ennormalt Gmail- eller Google Docs-konto eller Google Drive-konto eftersom det är kopplat till en domän som du kanske har registrerat från ett annat företag än Google. Tillbaka 2010 registrerade jag Anthrocopy.com på Namecheap.com. Efter att jag avslutat min frilanskarriär för att arbeta som heltidsteknisk författare, låter jag domänen upphöra. På något sätt fick hackaren veta att jag hade ett Google Apps for Domain-konto, även om jag inte längre ägde domänen. Så den 20 juni 2014 köpte någon det via moniker.com, enligt Whois.

Det är rättvist spel. Om jag inte vill ha ett domännamn längre kan någon annan köpa det. Men de tog det ett steg längre och hackade till mitt Google Apps for Domains-konto. De gjorde detta genom att använda Google Apps for Business-kontoåterställningsformuläret, vilket ger dig tillgång till alla Google Apps-konton om du kan bevisa att du äger ett domännamn. Istället för att använda en lösenordsåterställning eller ett lösenordstips kan du bara skapa en CNAME-post för domänen som bevisar att du äger domänen. Därefter ger Google dig nycklarna till kontot. För 10 dollar har någon i Vietnam just fått tillgång till alla mina gamla Gmail-inställningar, historik och sparade inloggningsuppgifter.

Återställa ett kapade Google Apps for Business-konto

Spoiler varning: det finns inget sätt att återställa ett kompromissat Google Apps for Business-konto. Om någon äger domänen äger de tillhörande Google Apps for Business-konto. Det är Googles ståndpunkt om det, och jag håller inte mycket om, men jag har inte övertygat dem om att göra någonting åt det ännu.

När jag fick veta vad som hade hänt kontaktade jagGoogle Enterprise Support via detta formulär. Cirka 12 timmar senare (på en lördag, inte illa), fick jag ett samtal från en vänlig kollega som exakt återkallade min incident. Tyvärr sa han till mig att jag inte kunde göra något om jag inte kunde bevisa att jag ägde domänen. Jag sa till honom att jag inte brydde mig om domänen, jag ville bara ha min personliga och professionella information och referenser från den slumpmässiga personens händer. Tekniken sa att han skulle eskalera situationen, men kort därefter fick jag följande e-post:

Så just nu är jag fast.

Vad ska jag göra om min online-rykte?

Mitt nästa steg är att skicka ett personligt e-postmeddelande tillalla jag kan tänka på det kan finnas i den kontaktlistan. Och kanske lägger ett meddelande på webbplatserna för de domäner som jag fortfarande kontrollerar. Men förutom det ser det ut som det inte finns mycket jag kan göra, annat än att offentliggöra vad som hände och försöka be om ursäkt och förklara för varje person som drabbats. Jag hoppas vinna PR-striden genom att göra det allmänt känt att Anthrocopy.com och jack@anthrocopy.com är falska och att den verkliga Jack Busch är väldigt upprörd och väldigt ledsen.

Lär dig av Mina misstag: Don’t Let Domains Lapse

Jag brukade köpa domäner som galen när Godaddyhade en försäljning av domännamn på 99 cent eller jag tänkte på en rolig idé för en webbplats. Nu inser jag att var och en av dem är något ansvar. Var och en som jag äger och sedan förnekar blir en väg för någon att kooperera min identitet. Med Anthrocopy, som var den enda jag registrerade ett Google Apps-konto med, förvandlades den domänen som jag köpte för fyra år sedan och lade ut till en enorm sårbarhet.

Den bredare lektionen härifrån är att aldrig låta gamlakonton förfaller eller löper ut. Håll koll på alla konton du skapar online. Om du väljer att sluta använda kontot tar du bort det. Lita inte på att tjänsteleverantören ska skräpa dina data när de inte längre är användbara för dig. Oavsett om det är ett gammalt Twitter-konto, ett gammalt Facebook-konto (läs vår artikel om hur du tar bort ditt Facebook-konto permanent), en gammal Xanga-blogg eller till och med ett gammalt AOL-konto, gräva upp det nu och ta bort det, eller åtminstone skrubba det från personlig information. På webben är det fyndare, och det du förlorar är för lite potatis för att brottsbekämpande kan engagera sig.

Rekommendation till Google

Medan jag uppskattar hur snabbt en Googlerepresentant räckte ut till mig, jag är besviken över att det inte finns någon ytterligare möjlighet. Det är en sak att köpa en fastighet som någon har övergivit. Det är en annan sak att kunna köpa upp den egendomen och sedan anta sin identitet efteråt. Jag inser att jag borde ha varit mer vaksam om mina gamla, inaktiva konton, men jag känner att det vore en produktiv policy att ha ett utgångsdatum för inaktiva konton också. Jag registrerade Anthrocopy för fyra år sedan och slutade använda den helt för mer än två år sedan. Jag tror då att det inte skulle vara irriterande för Google att skicka ett snabbt e-postmeddelande: “Hej, använder du fortfarande det här? Om inte, tar vi bort det. "

Jag tycker att detta borde vara policyn för vad som helst. Twitter, Facebook, MySpace, Gmail osv. Det bör finnas en administrativ rensning av data för övergivna konton. Den här policyn borde vara på förhand med servicevillkoren och du kanske kan ge möjlighet att inaktivera automatisk radering av inaktiva konton.

Jag föreställer mig att attacker som dessa pågårjust nu och kommer att fortsätta att inträffa tills vi alla klickar upp och tar bort gamla konton (fet chans) eller tjänsteleverantörer börjar genomföra åtgärder för att förhindra att zombiekonton kommer tillbaka och äter hjärnan från våra tidigare kollegor med skräppost (eller värre).

Slutsats

Jag gjorde ett misstag och lärde mig min lektion. Jag gör mitt bästa för att utföra skadekontroll och förhindra att detta händer igen. Men om du har haft en liknande upplevelse eller har ytterligare inblick eller förslag skulle jag gärna vilja veta.