Subdomain Squatting

Subdomain Squatting

Subdomain squatting er en sikkerhedsrisiko, hvor en tredjepart overtager kontrollen over en underdomæne-adresse, som stadig peger på en ekstern tjeneste, men hvor den oprindelige ejer ikke længere kontrollerer destinationen. Risikoen opstår typisk pga. mangelfuld DNS-hygiejne og efterladte konfigurationer.

Hvad er Subdomain Squatting?

Subdomain squatting opstår, når et subdomæne (fx old.example.com) fortsat har en DNS-record, der peger på en tredjepartsplatform (fx Heroku, AWS, GitHub Pages), som ikke længere er aktiv eller ejet af virksomheden. En angriber kan derefter oprette en ny ressource på samme platform og dermed overtage indholdet, der vises på subdomænet.

Virksomheden ejer fortsat hoveddomænet, men har mistet kontrollen over, hvad subdomænet leverer.

Hvordan opstår problemet?

Typiske årsager:

• Nedlagte test-, staging- eller kampagnesites

• Fjernede SaaS-integrationer uden oprydning i DNS

• CNAME-records til eksterne platforme, der tillader genbrug af navne

• Wildcard DNS (*.example.com) uden governance

• Manglende ejerskab og dokumentation for subdomæner

Dette er ikke hacking i klassisk forstand, men en konfigurationsfejl.

Hvorfor er Subdomain Squatting alvorligt?

Sikkerhed

• Phishing og scam-sider hostet under et legitimt domæne

• Cookie-misbrug, session fixation og CSRF-angreb

• OAuth- og SSO-angreb via tillidsbaserede redirects

Brand og tillid

• Brugere ser et legitimt domæne og sænker paraderne

• Brandet associeres med malware eller svindel

• Tab af kundetillid og omdømme

SEO

• Spam-indhold kan blive indekseret under dit domæne

• Negativ påvirkning af domænets autoritet

• Risiko for manuel straf fra søgemaskiner

Compliance og ansvar

• Potentiel datalækage kan knyttes til dit domæne

• Kan udløse brud på GDPR, NIS2 eller interne sikkerhedspolitikker

Typiske angrebsscenarier

• Phishing-sider på login.example.com

• Fake OAuth-callbacks på auth.example.com

• Hosting af malware eller redirects

• Cookie poisoning mellem subdomæner

• Udnyttelse af for bredt scoped cookies (Domain=.example.com)

Best Practice – forebyggelse

DNS-hygiejne

• Fjern DNS-records før eksterne services nedlægges

• Ingen ubrugte subdomæner

• Undgå wildcard DNS medmindre absolut nødvendigt

Ejerskab og governance

• Alle subdomæner skal have:

  • En ansvarlig ejer

  • Et dokumenteret formål

  • En livscyklus (oprettelse → drift → afvikling)

Cookie- og auth-design

• Brug host-only cookies til login

• Undgå Domain=.example.com til sessions

• Isolér auth-domæner fra marketing og legacy subdomæner

Overvågning

• Scan regelmæssigt for dangling DNS-records

• Overvåg HTTP-fejl som NoSuchBucket, App not found, 404

• Automatisér alerts ved ændringer i DNS

Forretnings- og udviklingsmæssig betydning

Sikkerhedsmodenhed

Subdomain squatting er et tegn på lav operationel modenhed. Professionelle organisationer behandler DNS som kritisk infrastruktur.

Skalerbarhed

Jo flere kampagner, SaaS-værktøjer og miljøer, desto større angrebsflade. Uden struktur eskalerer risikoen lineært.

Omkostninger

Forebyggelse er næsten gratis. Håndtering af phishing, SEO-skader eller compliance-brud er dyrt.

Udfordringer og løsninger

Udfordring: Mange historiske subdomæner

Løsning: DNS-audit og oprydning kvartalsvist

Udfordring: Decentral oprettelse af subdomæner

Løsning: Central DNS governance og change management

Udfordring: Afhængighed af tredjepartsplatforme

Løsning: Checklister ved både onboarding og offboarding

Opsummering

Subdomain squatting er ikke et edge-case.

Det er en forudsigelig konsekvens af manglende DNS-disciplin.

Virksomheder, der tager sikkerhed, SEO og brand seriøst, skal:

• Have fuldt overblik over alle subdomæner

• Antage at subdomæner kan kompromitteres

• Designe cookies og auth derefter