اختطاف النطاقات عبر سجلات الدول: ماذا تعلّمنا حوادث .gh و.sl و.as؟ فحص CAA لـ 330 نطاقًا مصريًا وقائمة حماية

الإجابة المختصرة: بين 22 و27 سبتمبر 2026 اخترق مهاجمون سجلات نطاقات غانا (.gh) وسيراليون (.sl) وساموا الأمريكية (.as)، وعدّلوا سجلات DNS لنطاقات بعينها، ثم استخرجوا شهادات HTTPS حقيقية لنطاقات تابعة لجوجل ويوتيوب وعلامات عالمية أخرى. الدرس للشركات المصرية: اختطاف النطاقات قد يحدث من خارج شركتك ومن خارج مزود الاستضافة، والدفاع العملي هو سجل CAA مقيّد بحسابك لدى جهة الإصدار، ومراقبة سجلات شفافية الشهادات (CT)، وتأمين حساب المسجّل. فحصنا 330 نطاقًا مصريًا في 29 أكتوبر 2026 فوجدنا 12 نطاقًا فقط (3.6%) تنشر سجل CAA، ولا يوجد نطاق واحد يربطه بحساب محدد.

اختطاف النطاقات هو سيطرة طرف غير مصرح له على سجلات DNS الخاصة بنطاق، سواء عبر حساب المسجّل أو مزود DNS أو سجل النطاق العلوي نفسه، بحيث يوجّه الزوار والبريد والشهادات إلى خوادمه. الجديد في حوادث سبتمبر 2026 أن الاختراق وقع على مستوى سجل الدولة، فكان كل نطاق ينتهي بـ .gh أو .sl أو .as معرّضًا للخطر مهما كانت حماية صاحبه، ونجح المهاجمون في الحصول على شهادات موثوقة تفتح بها المتصفحات المواقع المزيفة بشكل طبيعي دون أي تحذير.

ماذا حدث في سجلات .gh و.sl و.as؟

أعلن فريق أمان Chrome في مدونة جوجل بتاريخ 6 أكتوبر 2026 أن المهاجمين لم يخترقوا أنظمة جوجل، بل اخترقوا سجلات النطاقات الثلاثة، وعدّلوا سجلات DNS الموثوقة، وحصلوا على شهادات HTTPS غير مصرح بها. وأوضحت جوجل أنه لا يوجد ما يدعو للاعتقاد بأن جهات إصدار الشهادات أخطأت، لأن المهاجم اجتاز فحص السيطرة على النطاق بشكل «صحيح» بعد أن أصبح يتحكم في DNS.

ووفق تحليل The Hacker News لسجلات شفافية الشهادات، صدرت 12 شهادة على الأقل لسبعة نطاقات تابعة لجوجل ويوتيوب، منها 11 من Let's Encrypt وواحدة من ZeroSSL، وجميعها أُلغيت بحلول 1 أكتوبر.

اللافت أن نطاقات جوجل السبعة كانت تحمل سجل CAA صارمًا يسمح فقط لجهة Google Trust Services بالإصدار، ومع ذلك صدرت الشهادات من جهات أخرى، لأن من يتحكم في DNS يستطيع حذف سجل CAA أو تغييره أثناء الاختطاف.

لماذا يهم اختطاف النطاقات الشركات المصرية؟

لا توجد أي إشارة إلى أن سجل النطاق المصري .eg تعرّض لحادث مماثل، لكن الحادثة تكشف أن أمان نطاقك يعتمد على سلسلة لا تملكها كلها: سجل الدولة، ثم المسجّل، ثم مزود DNS، ثم حسابك أنت. وعدة عوامل تجعل الدرس أقرب إلينا:

• النطاق .eg ما زال غير موقّع بتقنية DNSSEC؛ تحققنا في 29 أكتوبر 2026 من عدم وجود سجل DS له في جذر DNS، وهو ما شرحناه في دليل حماية DNS لنطاقات .eg.
• كثير من الشركات تملك نطاقات بلدان أخرى لفروعها أو حملاتها، وجوجل نفسها تنصح بأن تشمل المراقبة «النطاقات المركونة ونطاقات الدول الإقليمية».
• الشهادة المزيفة تعني أن موقعًا منتحلًا يظهر آمنًا تمامًا للعميل، فيُدخل بياناته أو بيانات الدفع دون أي تحذير.

ما هو سجل CAA وما الذي لا يستطيع فعله؟

سجل CAA هو سجل DNS يحدد جهات إصدار الشهادات المسموح لها بإصدار شهادات لنطاقك، وتلتزم كل جهة إصدار بفحصه قبل كل إصدار وفق المعيار RFC 8659. وسجل CAA لا يمنع الإصدار أثناء اختطاف نشط لـ DNS، لكنه يغلق الباب بعد استعادة السيطرة.

السبب أن جهات الإصدار يُسمح لها بإعادة استخدام فحص السيطرة على النطاق لفترة: حتى 200 يوم حاليًا وفق المتطلبات الأساسية، تنخفض إلى 100 يوم في مارس 2027 ثم 10 أيام في مارس 2029، بينما تعيد Let's Encrypt استخدامه 30 يومًا. فالمهاجم الذي اجتاز الفحص أثناء الاختطاف قد يطلب شهادات جديدة بعد انتهائه، إلا إذا كان سجل CAA يقيّد الإصدار بحسابك أنت.

معاملا accounturi وvalidationmethods

يضيف المعيار RFC 8657 معاملين إلى سجل CAA: الأول accounturi يقصر الإصدار على حساب ACME محدد، والثاني validationmethods يحدد طرق التحقق المقبولة مثل dns-01 أو http-01. وتشرح وثائق Let's Encrypt أن accounturi يضمن أن من يختطف نطاقك مؤقتًا ولا يملك مفتاح حسابك لا يستطيع إصدار شهادات خبيثة.

فحصنا 330 نطاقًا مصريًا: ماذا وجدنا؟

في 29 أكتوبر 2026 فحصت سمارت ون جروب جميع نطاقات .eg الواردة في قائمة Tranco لأشهر مليون موقع (القائمة 262N9)، وعددها 332 نطاقًا، أمكن حل 330 منها. استعلمنا عن سجلات CAA مع الصعود في شجرة النطاق كما يفعل المعيار، وعن خوادم الأسماء، وعن الجهة التي أصدرت الشهادة المعروضة فعليًا على المنفذ 443.

النتائج حسب نوع النطاق

• ‎.gov.eg: نطاق حكومي واحد فقط من 86 ينشر سجل CAA.
• ‎.edu.eg: لا يوجد أي نطاق من 91 نطاقًا تعليميًا ينشر سجل CAA.
• ‎.com.eg: 9 من 90 نطاقًا تجاريًا (10%)، وهي الفئة الأفضل نسبيًا.
• النطاقات المباشرة تحت .eg: 2 من 47.

ملاحظات فنية من الفحص

• أربعة نطاقات تحمل القائمة الخماسية نفسها من جهات الإصدار (ويضيف أحدها جهة سادسة)، وهي تشبه القوائم التي تضيفها منصات CDN تلقائيًا، أي أنها تسمح بعدة جهات دون قرار واعٍ.
• نطاق واحد يحمل وسم issuewild فقط دون issue، وبحسب المعيار يُتجاهل issuewild في الشهادات العادية، فيبقى إصدارها غير مقيّد.
• 60 نطاقًا من 272 نطاقًا مفوّضًا (22%) تعتمد خوادم أسماء كلها تحت .eg، أي أن اسم النطاق ومزود DNS يعتمدان على السجل نفسه.
• لم نجد أي حالة تعارض بين الجهة المصدرة للشهادة الحالية وقائمة CAA المنشورة.

قائمة حماية عملية من 8 خطوات

1. جرد النطاقات: اكتب كل نطاقات الشركة، بما فيها نطاقات الحملات والفروع الخارجية والنطاقات المركونة، ومن يملك حساب المسجّل لكل منها.
2. تأمين حساب المسجّل: فعّل التحقق الثنائي وقفل النقل، وتأكد أن الحساب باسم الشركة لا باسم موظف، كما شرحنا في دليل ملكية نطاقات الشركات.
3. نشر سجل CAA مقيّد: اسمح فقط للجهة التي تصدر شهاداتك فعلًا، وأضف issuewild إن كنت تستخدم شهادة wildcard.
4. ربط السجل بحسابك: إذا كانت جهة الإصدار تدعم accounturi، مثل Let's Encrypt، فاربط السجل برقم حسابك وحدّد طريقة التحقق.
5. إضافة iodef: بريد يتلقى إشعارات طلبات الإصدار المخالفة، لدى الجهات التي تدعمه.
6. مراقبة شفافية الشهادات: فعّل تنبيهات من خدمات مثل Cert Spotter أو crt.sh لكل نطاقاتك، لتعرف فور صدور أي شهادة لم تطلبها.
7. خطة استجابة: إذا ظهرت شهادة لم تطلبها فأبلغ الجهة المصدرة بتقرير مشكلة شهادة، وهي ملزمة بالتحقيق وإعلان نتائجها الأولية خلال 24 ساعة.
8. أتمتة تجديد الشهادات: مدد الشهادات تقصر تدريجيًا، والأتمتة تقلل الأخطاء، كما في دليل صلاحية شهادات SSL.

كيف تساعدك سمارت ون جروب؟

يراجع فريقنا سجلات DNS وCAA لنطاقاتك، ويضبط الربط بحساب جهة الإصدار، ويفعّل مراقبة الشهادات ضمن خدمات إدارة النطاقات والاستضافة وعقود الدعم الفني. إذا أردت فحصًا مجانيًا مبدئيًا لنطاقات شركتك، تواصل معنا.

الأسئلة الشائعة

هل تأثر النطاق المصري .eg بحوادث سبتمبر 2026؟

لا. الحوادث المعلنة شملت سجلات .gh و.sl و.as فقط، ولم تُعلن أي جهة عن تأثر .eg. لكن الحادثة تثبت أن الخطر قد يأتي من سجل الدولة نفسه، لذلك تحتاج كل شركة إلى طبقات حماية خاصة بها.

هل يمنع سجل CAA اختطاف النطاقات؟

لا يمنع سجل CAA الاختطاف نفسه، لأن المهاجم المتحكم في DNS يستطيع حذفه. فائدته أنه يمنع جهات الإصدار غير المسموح لها، ويمنع المهاجم من استغلال فحص سابق لإصدار شهادات جديدة بعد استعادة السيطرة، خاصة عند ربطه بحسابك عبر accounturi.

ما هي شفافية الشهادات (CT)؟

شفافية الشهادات هي سجلات عامة تُقيَّد فيها كل شهادة HTTPS موثوقة في المتصفحات. ومراقبتها تعطيك تنبيهًا شبه فوري عند صدور أي شهادة لنطاقك، وبهذه الطريقة اكتُشفت مؤسسات أخرى تأثرت بالهجمات نفسها.

كيف أعرف هل يملك نطاقي سجل CAA؟

استخدم أمر dig مع نوع السجل CAA، أو أي أداة فحص DNS عبر الإنترنت. إذا لم تظهر نتيجة للنطاق ولا لأي نطاق أعلى منه فهذا يعني أن أي جهة إصدار موثوقة يمكنها إصدار شهادة لنطاقك.

هل يتعارض سجل CAA مع استخدام Cloudflare أو منصة CDN؟

لا، لكن يجب أن تتضمن القائمة الجهات التي تستخدمها المنصة لإصدار شهاداتك، وإلا فشل التجديد. راجع القائمة بعد أي تغيير في المزود أو نوع الشهادة.

ماذا أفعل إذا وجدت شهادة لم أطلبها لنطاقي؟

تحقق أولًا من سجلات DNS وحساب المسجّل، ثم أبلغ الجهة المصدرة بتقرير مشكلة شهادة لإلغائها، وغيّر كلمات المرور وفعّل التحقق الثنائي، وانشر سجل CAA مقيّدًا بحسابك.