Subdominios olvidados: la puerta trasera que casi nadie revisa

Hace tres años montaste una tienda de prueba en tienda.tuempresa.es. Luego la cerraste: borraste el servicio donde estaba, pero nadie quitó el registro de tu DNS que decía «tienda está allí». Hoy ese subdominio apunta a un sitio vacío que cualquiera puede ocupar.

Si alguien lo ocupa, publicará lo que quiera en tienda.tuempresa.es: una página que pide datos de pago, un formulario para robar contraseñas… con tu nombre en la dirección y, a menudo, con el candado de «conexión segura». Se llama secuestro de subdominio y les ha pasado a grandes empresas, universidades y administraciones públicas.

Cómo pasa

Un subdominio casi nunca «tiene» la web: tiene un alias (un registro CNAME en tu DNS) que dice «tienda.tuempresa.es es, en realidad, mi-tienda-123.azurewebsites.net».

Cuando borras el servicio en la nube, mi-tienda-123 queda libre. En muchos servicios, cualquier persona puede crear otro con ese mismo nombre. Tu alias, que nadie tocó, ahora le manda tus visitantes a él.

Pasa sobre todo con:

Webs y aplicaciones en Microsoft Azure (azurewebsites.net, cloudapp.net…).
Aplicaciones en AWS Elastic Beanstalk.
Páginas de campañas, landing pages y tiendas de prueba que se montan deprisa y se olvidan.
Dominios de agencias o proveedores que dejaron de trabajar contigo y ya no renuevan su dominio.

Por qué es fácil de encontrar para un atacante

Cada vez que se emite un certificado para una web, queda apuntado en unos registros públicos (Certificate Transparency). Cualquiera puede consultar qué subdominios ha tenido tu dominio, incluidos los que ya no usas. Hay programas que lo revisan todo el día buscando alias rotos.

Cómo revisarlo tú (15 minutos)

Entra en la zona DNS de tu dominio (en el panel de la empresa donde lo tienes registrado o de tu hosting; por ejemplo, en la sección «Zona DNS» o «Registros DNS»).
Busca los registros de tipo CNAME. Para cada uno, pregúntate: ¿esto se sigue usando?
Si no lo sabes, escribe el subdominio en el navegador. Si sale un error del tipo «no se encuentra el sitio», «404 Web Site not found» o una página del proveedor diciendo que no existe, es sospechoso.
Borra los alias que ya no uses. Si lo usa alguien de tu equipo o un proveedor, pregúntale antes.

Y a partir de ahora, una norma sencilla: cuando se deja de usar un servicio, primero se borra el registro del DNS y después el servicio. En ese orden, el hueco nunca existe.

Comprueba el tuyo

El escaneo gratis de Checkeala consulta los registros públicos de certificados, busca los subdominios de tu dominio y te avisa si alguno apunta a un servicio que ya no existe, diferenciando los que otra persona podría ocupar (grave) de los que simplemente están rotos.