Bảo mật tài khoản tên miền để không mất quyền sở hữu

Bảo mật tài khoản tên miền thường bị xem nhẹ hơn bảo mật website hay email, nhưng đây lại là nơi doanh nghiệp mất quyền kiểm soát nhiều nhất. Đường mất phổ biến không phải một cuộc tấn công kỹ thuật phức tạp: một nhân viên phụ trách IT nghỉ việc, hộp thư cá nhân họ dùng để đăng ký tên miền bị chiếm, kẻ xấu đặt lại mật khẩu tài khoản quản lý rồi chuyển tên miền đi. Công ty mất luôn website, email theo tên miền và cả thương hiệu đã gây dựng nhiều năm.

Bảo mật tài khoản tên miền quan trọng thế nào với doanh nghiệp

Tài khoản quản lý tên miền quan trọng vì tên miền là gốc của mọi dịch vụ số: website, email công ty, hệ thống nội bộ đều trỏ DNS về đó. Ai nắm tài khoản quản lý tên miền, người đó đổi được DNS, đổi chủ thể, thậm chí chuyển tên miền đi nơi khác. Mất tài khoản này là mất luôn hạ tầng phía sau, không chỉ một trang web.

Theo quy định tên miền tại BizMaC, chủ thể tự chịu trách nhiệm bảo mật mật khẩu tài khoản quản lý và mọi thao tác thực hiện từ tài khoản đó, kể cả khi không do chính chủ thể thực hiện. Nhà đăng ký chỉ hỗ trợ xử lý sau khi sự cố xảy ra, không thể đảo ngược một lệnh chuyển tên miền đã hoàn tất.

Vì sao email quản trị tên miền của nhân viên cũ là rủi ro lớn nhất

Rủi ro lớn nhất đến từ việc email quản trị tên miền gắn với hộp thư cá nhân của một nhân viên, không phải địa chỉ thuộc công ty. Người đó nghỉ việc hoặc hộp thư miễn phí bị đăng nhập trái phép, kẻ xấu dùng chức năng quên mật khẩu để chiếm luôn tài khoản quản lý tên miền.

Chuỗi rủi ro lặp lại theo một khuôn quen thuộc: hộp thư cá nhân đăng ký tên miền từ nhiều năm trước, chủ tài khoản nghỉ việc mà không bàn giao, công ty quên đổi email quản trị. Hộp thư đó bị chiếm quyền, kẻ xấu đặt lại mật khẩu tài khoản đăng ký tên miền rồi mở khoá chuyển đi trong vài ngày. Bài viết về dấu hiệu email công ty bị chiếm quyền mô tả cách nhận biết giai đoạn đầu của chuỗi này.

Cách chặn chuỗi rủi ro này là dùng địa chỉ thuộc tên miền công ty làm email quản trị (ví dụ domain@congty.vn), gắn cho một vai trò chứ không phải một cá nhân, và luôn có người kế nhiệm biết mật khẩu khi nhân sự đổi. Đăng ký qua dịch vụ tên miền của BizMaC cho phép đặt lại email quản trị bất kỳ lúc nào, không phụ thuộc một hộp thư cá nhân.

Mã EPP và khoá tên miền ngăn việc chuyển tên miền đi trái phép ra sao

Mã EPP là chuỗi ký tự xác thực chủ thể khi chuyển tên miền sang nhà đăng ký khác, còn khoá tên miền là trạng thái chặn mọi yêu cầu chuyển đi cho tới khi chủ thể tự mở. Có cả hai lớp này, kẻ chiếm được mật khẩu tài khoản vẫn phải vượt thêm bước mở khoá và lấy mã mới chuyển được tên miền đi.

Theo quy định tên miền tại BizMaC, trước khi chuyển đi, chủ thể cần mở khoá tên miền, cung cấp mã EPP, mở hiển thị WHOIS nếu đang ẩn, và đảm bảo email trong WHOIS còn dùng được để nhận thư xác nhận. Thời gian hoàn tất một lượt chuyển dao động 5 đến 15 ngày tuỳ cơ quan cấp phát. Tên miền cũng không chuyển đi được khi mới đăng ký dưới 60 ngày, mới gia hạn dưới 45 ngày, hoặc còn dưới 30 ngày là hết hạn, nên khoá tên miền mặc định gần như không cản trở hoạt động bình thường mà chỉ chặn kẻ xấu.

Giữ khoá tên miền bật quanh năm, chỉ mở đúng lúc chính chủ thể cần chuyển đi, là thói quen đơn giản chặn được phần lớn vụ chuyển tên miền trái phép. Bài quy trình chuyển tên miền sang nhà đăng ký khác liệt kê đầy đủ các bước cần chuẩn bị.

WHOIS và chủ thể tên miền cần kiểm tra định kỳ điều gì

WHOIS là dữ liệu công khai ghi tên chủ thể, email và tổ chức đăng ký một tên miền, còn chủ thể tên miền là bên đứng tên hợp pháp, chịu trách nhiệm trước pháp luật về tên miền đó. Kiểm tra định kỳ hai thứ này giúp doanh nghiệp phát hiện sớm việc tên miền vẫn đứng tên một cá nhân đã nghỉ việc thay vì pháp nhân công ty.

Ba điều cần rà soát mỗi năm một lần: tên chủ thể trên WHOIS có đúng là pháp nhân công ty không; email liên hệ trong WHOIS có còn truy cập được không; địa chỉ, số điện thoại có khớp thông tin hiện tại không. Quy định tên miền tại BizMaC yêu cầu chủ thể thông báo ngay khi đổi tên tổ chức, địa chỉ, điện thoại hoặc giấy tờ pháp lý, vì thông tin sai hoặc thiếu có thể khiến tên miền bị tạm khoá hoặc thu hồi.

Chưa chắc tên miền công ty hiện đứng tên ai, nội dung cách kiểm soát ai đang đứng tên tên miền hướng dẫn tra WHOIS và cách lấy lại quyền chủ thể nếu phát hiện sai lệch.

Xác thực hai lớp cho tài khoản quản lý tên miền có bắt buộc không

Xác thực hai lớp không phải điều kiện bắt buộc theo quy định của nhà đăng ký, nhưng là lớp phòng thủ rẻ nhất trước việc lộ mật khẩu. Có xác thực hai lớp, kẻ xấu dò được mật khẩu tài khoản quản lý tên miền vẫn cần thêm mã từ thiết bị của chủ thể mới đăng nhập được.

Bật xác thực hai lớp cho cả tài khoản quản lý tên miền lẫn hộp thư dùng làm email quản trị, vì hai tài khoản này luôn đi cùng nhau trong chuỗi tấn công. Chỉ bật một trong hai thì kẻ xấu chọn điểm yếu còn lại. Theo chính sách ICANN, chủ thể tên miền quốc tế còn phải xác thực email đăng ký trong tối đa 15 ngày kể từ ngày đăng ký, quá hạn tên miền bị tạm ngừng cho tới khi hoàn tất.

Việc cần làm ngay để không mất tên miền vào tay người khác

Việc cần làm ngay gồm sáu bước không tốn nhiều thời gian: đổi email quản trị sang địa chỉ thuộc công ty, bật xác thực hai lớp, bật khoá tên miền, kiểm tra WHOIS và thông tin chủ thể, ghi tên miền vào danh mục tài sản kèm người phụ trách, và đặt lịch gia hạn trước ít nhất 10 ngày.

Bảng dưới liệt kê từng lỗ hổng thường gặp cùng hậu quả và cách bịt tương ứng, để doanh nghiệp tự đối chiếu xem đơn vị mình đang hở ở đâu.

Câu hỏi thường gặp về bảo mật tài khoản tên miền

Mang về gì

Mất tên miền hiếm khi bắt đầu từ một cuộc tấn công phức tạp. Nó bắt đầu từ một hộp thư quản trị bỏ quên, một mật khẩu dùng nhiều năm không đổi, một tài khoản không ai theo dõi hạn. Sáu việc trong bài này, đổi email quản trị, bật xác thực hai lớp, bật khoá tên miền, rà soát WHOIS, ghi vào danh mục tài sản và đặt lịch gia hạn, làm một lần rồi duy trì đều đặn là đủ đóng gần hết những lỗ hổng phổ biến nhất. Cần rà soát lại tên miền công ty đang quản lý, đội kỹ thuật BizMaC hỗ trợ kiểm tra thông tin chủ thể và chuyển về một đầu mối quản lý duy nhất.