השכבה שכולם שוכחים לבדוק
עסק קטן יכול להיות עם MFA בכל מקום, Tenant מוקשח כראוי של Microsoft 365, וגיבויים בלתי-ניתנים לשינוי שנבדקו - ועדיין לאבד שליטה על האימייל והאתר שלו תוך אחר צהריים אחד, כי אף אחד מעולם לא בדק מי שולט ב-DNS שלו. DNS יושב מתחת לכל השאר: זו לא אפליקציה או חשבון שרוב האנשים חושבים עליו, זו השכבה שקובעת לאן כל אימייל וכל ביקור באתר בעצם מגיעים. זה הופך אותו לאחד המקומות הזולים ביותר לתוקף לגרום לנזק מקסימלי, ואחד הפחות נבדקים.
מה DNS בעצם הוא, במילים פשוטות
DNS הוא ספר הטלפונים שהופך שם דומיין לשרתים שבאמת מריצים אותו. יש שני תפקידים שונים שמאוגדים ברעיון אחד, וההבחנה חשובה:
- DNS רקורסיבי הוא החיפוש שהמחשב הנייד או הטלפון שלכם עושה בכל פעם שהוא נכנס לאתר - שואל "לאן הדומיין הזה מצביע" ומקבל תשובה בחזרה.
- DNS אוטוריטטיבי הוא מקור התשובה הזו: הרשומה בפועל של איפה האימייל והאתר של הדומיין שלכם חיים, מוחזקת אצל רשם הדומיין שלכם או ספק אחסון DNS.
רוב העסקים הקטנים אף פעם לא הפרידו בין שני הרעיונות האלה, כי במשך שנים אותה חברה - הרשם - עשתה את שניהם בשקט. זה בדרך כלל בסדר. מה שחשוב הוא ש-DNS אוטוריטטיבי הוא הרשומה שבאמת שווה להגן עליה, כי היא זו שתוקף יכול לשנות.
איך דומיין בעצם נחטף
חטיפת דומיין היא לעיתים רחוקות התקפה קריפטוגרפית. היא כמעט תמיד השתלטות על חשבון: מי ששולט בכניסה לרשם או לספק ה-DNS שלכם שולט לאן הדומיין שלכם מצביע, נקודה. אם לחשבון הזה יש סיסמה משומשת שוב ובלי MFA - וזה מתאר הרבה חשבונות רשם, כי עסקים נועלים את האימייל ואת ה-Tenant שלהם ב-M365 ואף פעם לא חושבים על החשבון ששולט ב-DNS - זה אחד החשבונות הקלים ביותר בעסק לפריצה, ואחד המזיקים ביותר ברגע שזה קורה.
גניבת אישורים בקנה מידה גדול היא בדיוק סוג ההתקפה שמכניסה חשבון רשם לידיים הלא נכונות מלכתחילה: מחקר האיומים של Microsoft לשנת 2025 מתאר תוכנת infostealer שאוספת אישורים ואסימוני אימות בקנה מידה גדול כדרך עיקרית שתוקפים מקבלים בה דריסת רגל[1], ונתוני תגובת האירועים של Mandiant לשנת 2026 עדיין מונים איזושהי צורה של פשרה קודמת או גישה מבוססת אישורים בין דרכי הכניסה המובילות של תוקפים, עולה ל-30% מהמעורבויות עבור פעולות תוכנת כופר באופן ספציפי[2]. חשבון רשם עם סיסמה משומשת שוב שיושב אצל אף אחד ב-password manager הוא בדיוק סוג המטרה שהדפוס הזה מתאר.
מה זה שווה ברגע שמישהו משיג את זה
ברגע שתוקף שולט ב-DNS שלכם, הוא שולט ברשומות ה-MX שלכם - כלומר כל אימייל שהדומיין שלכם אמור לקבל, כולל איפוסי סיסמאות, חשבוניות, וכל מה שלקוח שולח לכם, יכול להיות מופנה בשקט. ההנחיה הרשמית של Microsoft לגבי אבטחת אימייל ברורה לגבי הסיכון הבסיסי: זיוף אימייל וחיקוי דומיין כוללים זיוף כתובת השולח או חיקוי דומיין מהימן כדי לגרום לאימייל להיראות לגיטימי[3] - ורשומת DNS חטופה אפילו לא צריכה לזייף שום דבר. זה לא מחקה את הדומיין שלכם. זה הדומיין שלכם.
זו התקפה שונה, וזולה יותר, מהתקפת הפישינג המוכרת יותר עם דומיין דומה - רישום דומיין כמעט-זהה, כמו micros0ft.com במקום microsoft.com, כדי להערים על אדם אחד שילחץ[4]. דומיין דומה צריך לרמות בן אדם. רשומת DNS חטופה מרמה את התשתית עצמה, וכל מערכת ואדם שסומכים עליה.
הרעלת מטמון: הגרסה השקטה יותר
יש דרך שנייה, עדינה יותר, שבה DNS מותקף בלי לדרוש פריצה לשום חשבון: הרעלת מטמון (cache poisoning). פותר רקורסיבי - זה שעושה חיפושים בשם המשתמשים - יכול להיות מרומה לשמור במטמון תשובה מזויפת עבור דומיין, ולהפנות תעבורה בלי לגעת אף פעם ברשומות האוטוריטטיביות האמיתיות. ה-DNS האמיתי של הדומיין נשאר ללא פגע; התשובה המזויפת פשוט יושבת במטמון איפשהו בנתיב הפתרון עד שהיא פגה.
DNSSEC קיים בדיוק כדי לסגור את הפער הזה. הוא חותם קריפטוגרפית על תשובות DNS, כדי שפותר יוכל לוודא שתשובה אכן הגיעה מהמקור האוטוריטטיבי של הדומיין ולא זויפה בדרך. זו הגנה אמיתית ושימושית - וגם הגנה שונה מזו שחשובה להשתלטות על חשבון. DNSSEC לא עושה כלום כדי לעצור מישהו שהתחבר לגיטימית לחשבון הרשם שלכם, כי כניסה תקפה יכולה פשוט לחתום על האזור כראוי עם הרשומות המרמות. לשתי הבעיות צריך שתי תשובות שונות, ורוב העסקים הקטנים ששמעו על DNSSEC מניחים שהוא מכסה את שתיהן.
מה פלטפורמת DNS אוטוריטטיבית מוקשחת עושה אחרת
ה-DNS שרוב העסקים הקטנים מריצים הוא מה שהגיע בחינם עם הרשם שלהם - תשתית כללית, משותפת עם מיליוני דומיינים אחרים, בלי הקשחה מיוחדת נגד DDoS או נגד נפח תעבורת השאילתות שהתקפה אמיתית מייצרת. פלטפורמת ה-DNS האוטוריטטיבית שאנחנו מריצים עליה דומייני לקוחות, Secure64 LineGuard, בנויה במיוחד להיות עמידה בפני התקפות ולא רק פונקציונלית: היא רצה על מערכת הפעלה מוקשחת שנבנתה בשביל DNS ולא על מערכת כללית, והיא מפוזרת על פני רשת anycast, כך שהצפה של תעבורה שמכוונת להפיל מיקום אחד לא מפילה איתה את ה-DNS של כל הדומיין. שום דבר מזה לא מחליף היגיינת חשבון טובה - זו השכבה שמתחת לה, כך שגם התקפה מתוקצבת היטב נגד תשתית ה-DNS עצמה לא מצליחה במקום שבו הגנות ברמת החשבון היו מצליחות.
רשימת ההיגיינה המינימלית ל-DNS
רוב זה פרויקט של חצי יום, לא תוכנית פרויקט:
- תגלו מי בעצם שולט בחשבון הרשם - לא ה-Tenant של M365, הכניסה בפועל לרשם הדומיין. אם אף אחד לא יכול לענות על זה בלי לבדוק, זו התגלית הראשונה.
- שימו אותו ב-password manager והפעילו MFA, בדיוק כמו כל חשבון אחר עם כזו השפעה. חשבונות רשם הם באופן שגרתי הכניסה היחידה בעסק שדילגה על השלב הזה.
- נעלו העברות ושינויי פרטי קשר - רוב הרשמים מציעים נעילת העברה ודרישה שלשינויי בעלות או DNS יידרש אימייל אישור או אימות נוסף. הפעילו את זה.
- הפעילו DNSSEC אם הרשם או ספק ה-DNS תומכים בו - הוא סוגר את נתיב הרעלת המטמון גם אם הוא לא נוגע בסיכון השתלטות על חשבון.
- נטרו רשומות DNS לשינויים בלתי צפויים. אזור DNS מנוטר עם התראות אומר ששינוי לא מורשה נתפס תוך דקות, ולא מתגלה כשלקוחות מתחילים לומר שהאימיילים שלהם חוזרים.
אף אחד מאלה לא דורש מעבר פלטפורמות או בנייה מחדש של שום דבר. הם דורשים שמישהו באמת יבדוק מי מחזיק במפתחות של מערכת שרוב העסקים אף פעם לא נכנסו אליה מאז שהדומיין נרשם - וזו בדיוק הסיבה שהיא נשארת פתוחה כל כך הרבה זמן.