Для обходу звичного захисту не потрібно було зламати сервери компанії. 

Браузер може відображати безпечне HTTPS-з’єднання навіть під час зв’язку із сервером зловмисника. Хакери захопили контроль над трьома національними доменними зонами та отримали дійсні сертифікати для адрес Google та інших сервісів. Google повідомив, що атаки торкнулися зон .gh, .sl та .as, хоча власні системи компанії не були скомпрометовані.


Цільовими групами атак стали реєстри доменів Гани, Сьєрра-Леоне та Американського Самоа. Зловмисники змінювали авторитетні DNS-записи та делегування серверів імен для певних доменів, перенаправляючи трафік перевірки на власну інфраструктуру. Такий рівень контролю дозволяв їм проходити стандартні перевірки власності на домен та запитувати сертифікати від довірених центрів сертифікації.


Самі центри сертифікації не порушували жодних правил; їхні процеси перевірки вказували на те, що заявник справді контролював адресу. Справжній сертифікат TLS перевіряє домен для браузера та дозволяє встановити зашифроване з’єднання. Журнали прозорості сертифікатів пізніше допомогли виявити сертифікати, які не були запитувані законними власниками.


Перевірка публічних журналів виявила щонайменше 12 сертифікатів для семи адрес Google та YouTube, виданих між 22 та 27 вересня. Одинадцять з них були видані Let's Encrypt, а один – ZeroSSL. Серед постраждалих адрес були google.com.gh, google.sl, google.com.sl, google.as та домени YouTube в межах тих самих національних зон. До 7 жовтня всі 12 сертифікатів було відкликано. 

Chrome blocked the identified Google certificates via CRLSets, and the certificate authorities revoked them to protect users of other clients. Subsequently, Certificate Transparency (CT) data pointed to certificates belonging to several major brands and popular online services, leading Chrome to add known samples to the blocklist. Google did not name the other organizations or disclose whether the certificates had been used in actual attacks.


The danger posed by these certificates is that a browser might mistake an attacker's server for the legitimate one and establish an encrypted connection without triggering the usual warning. Control over DNS, combined with a valid certificate, enables a convincing site impersonation and traffic interception. Google does not guarantee that every affected domain has been identified.


Google recommends that domain owners regularly monitor CT logs and publish strict CAA records to limit which certificate authorities are permitted to issue certificates. While CAA does not prevent issuance during an active DNS hijack, it prevents the reuse of cached domain validation results once control is restored. Chrome users do not need to take any additional action.