2026年10月13日：多国顶级域名（ccTLD）遭注册机构级劫持：谷歌 Chrome 紧急封禁未授权 TLS 证书

事件核心概况

根据蓝点网等安全媒体报道，近期发生了一起极具破坏性的**国别顶级域名（ccTLD）系统级网络攻击**。攻击者通过渗透域名注册机构（Registry-level Attack），篡改了多个国家和地区顶级域名的 DNS 记录，并成功诱导证书颁发机构（CA）签发了未经授权的 TLS/SSL 证书，进而对受影响域名的网络流量实施中间人劫持（MitM）。

涉事国家/地区顶级域名：

1、 .gh（加纳 Ghana）

2、.sl（塞拉利昂 Sierra Leone）

3、.as（美属萨摩亚 American Samoa）

受影响机构：包括谷歌（Google）在内的多家知名科技公司与跨国机构。

官方确认：谷歌安全团队已确认受影响事实，并强调其内部服务器与核心系统未遭攻破，本次威胁源于底层国家级 DNS 基础设施被恶意篡改。

攻击路径与技术细节

* 黑客攻击：攻破 .GH / .SL / .AS 顶级域名注册机构 (Registry)，篡改 DNS 解析记录

* 域名验证劫持： 欺骗 CA 机构完成 HTTP-01/DNS-01 验证，获签未授权 TLS 证书，部署伪造证书

* 流量劫持：实施中间人攻击 (MitM) / 窃取敏感凭据

1、顶级域名注册机构失陷（Registry-level Compromise）：攻击者绕过二级域名持有者的防线，直接在顶级域名（ccTLD）注册机构管理端篡改目标域名的 NS（域名服务器）或 A 记录。

2、CA 验证被欺骗与非法发证：由于 DNS 解析记录被恶意指向黑客控制的服务器，黑客成功通过了 Let’s Encrypt 等 CA 机构的 HTTP-01 或 DNS-01 自动化域名所有权验证（ACME Protocol），获得了官方签发的合法 TLS 证书。

3、流量劫持与中间人风险：持有合法的 TLS 证书后，黑客可无感拦截并解密用户与目标域名之间的所有 HTTPS 加密流量，进而窃取用户凭据、Cookie 或篡改传输内容。

谷歌团队应急响应机制

为防止未授权证书被滥用，谷歌安全团队已迅速采取以下防护措施：

1、Chrome 紧急黑名单封锁（CRLSet）：谷歌已通过 Chrome 浏览器的 CRLSet 机制（证书撤销列表集），将所有被非法签发的 TLS 证书直接列入黑名单。使用 Chrome 或基于 Chromium 内核浏览器的用户访问相关恶意节点时将自动触发阻断报警。

2、推动 CA 撤销证书：谷歌已通知相关证书颁发机构（CAs），全面撤销受本次顶级域名劫持事件影响的所有异常证书。

企业与域名持有者防范建议

1、监控证书签发状态（CT Logs 监控）：

建议域名持有者定期或使用自动化工具（如 `crt.sh`、Google Certificate Transparency 监控服务）审查证书透明度日志，及时发现未经授权申领的域名证书。

2、排查并清查 DNS 异常记录：

运营涉事 ccTLD 域名的企业应立即核查域名解析服务器（NS）、A/AAAA 记录及 CAA（证书颁发机构授权）记录，剔除所有未经授权的更改。

3、强化 CAA 记录配置：

在 DNS 中显式配置 **CAA 记录（Certificate Authority Authorization），限定仅允许特定的信任 CA 机构为旗下域名签发证书，减少 CA 被跨机构冒用签发证书的风险。