Sveučilišni subdomeni postali su jeftin ulaz za prevarante

Preuzimanje sveučilišnih subdomena zvuči kao rubni tehnički incident, ali u praksi je riječ o vrlo jednostavnom načinu da se institucionalno povjerenje pretvori u alat za prevaru. Prema izvještaju Ars Technice, kompromitirani subdomeni uglednih sveučilišta završavali su na pornografskim i potencijalno zlonamjernim stranicama. To nije napad koji traži filmsku kapuljaču i tamnu sobu. Dovoljni su stari DNS zapisi, napušteni projekti i netko tko primijeti da nitko više ne čuva vrata.

Tehnički problem najčešće počinje s CNAME zapisom koji pokazuje na vanjski servis ili domenu. Kada projekt prestane raditi, račun se ugasi ili domena istekne, subdomena na sveučilišnoj strani može ostati aktivna. Napadač zatim registrira napuštenu metu i dobije promet koji još uvijek dolazi s adrese kojoj korisnici, tražilice i sigurnosni filteri vjeruju. OWASP taj obrazac opisuje kao subdomain takeover, a najveći paradoks je što je rupa često više administrativna nego tehnički sofisticirana.

Što se stvarno promijenilo

U praksi, ovo pokazuje da reputacija domene nije isto što i sigurnost domene. Sveučilišta imaju tisuće projekata, grantova, laboratorijskih stranica, studentskih inicijativa i privremenih servisa. Kada se ti tragovi ne inventariziraju, digitalni kampus postaje arheološki sloj poluzaboravljenih linkova. Prevarantima je to dovoljno: ne moraju provaliti u glavni sustav ako mogu iskoristiti komadić infrastrukture koji je ostao bez vlasnika.

Posljedica nije samo sramota u rezultatima pretraživanja. Takve stranice mogu služiti za phishing, malvertising, lažno brendiranje i zaobilaženje opreza korisnika. Ako link izgleda kao dio poznatog sveučilišta, veća je šansa da će ga netko otvoriti. To je stvarna cijena napretka bez održavanja: svaka nova web inicijativa stvara i budući zadatak čišćenja.

Rješenje nije egzotično. Institucije trebaju inventar subdomena, redovitu provjeru DNS zapisa, vlasnike za svaki aktivni projekt i proces gašenja koji briše tehničke ostatke. U sigurnosti, dosadni popisi često vrijede više od sjajnog dashboarda. Ovdje je pravi signal vrlo prizeman: ako nitko nije zadužen za staru adresu, netko drugi će je rado preuzeti.