كشفت شركة جوجل عن حادثة أمنية خطيرة تمثلت في اختراق سجلات ثلاثة نطاقات وطنية عليا (ccTLDs)، ما أتاح لمهاجمين الحصول على شهادات HTTPS غير مصرح بها لعدد من نطاقات جوجل ويوتيوب، في تطور يسلط الضوء على المخاطر المتزايدة لاستهداف البنية التحتية للإنترنت وسلاسل الثقة الرقمية التي تعتمد عليها الاتصالات المشفرة حول العالم.
ووفقًا لما أعلنته جوجل، فإن الهجوم استهدف سجلات النطاقات الوطنية الخاصة بغانا (.gh) وسيراليون (.sl) وساموا الأمريكية (.as)، وليس أنظمة الشركة نفسها. ومع ذلك، فإن السيطرة على هذه السجلات منحت المهاجمين القدرة على تعديل إعدادات نظام أسماء النطاقات (DNS) والحصول على شهادات رقمية تبدو شرعية من جهات إصدار الشهادات المعتمدة.
ويُعد هذا السيناريو من أخطر أنواع الهجمات المرتبطة بالبنية الأساسية للإنترنت، لأن الشهادة الرقمية المزيفة يمكن أن تسمح نظريًا بانتحال شخصية المواقع الشرعية وإجراء اتصالات مشفرة تبدو موثوقة للمستخدمين.
كيف حصل المهاجمون على شهادات جوجل؟
تعتمد هيئات إصدار الشهادات الرقمية على إثبات سيطرة مقدم الطلب على النطاق المستهدف قبل إصدار شهادة HTTPS.
ويتم ذلك عادة عبر تعديل سجلات DNS أو تنفيذ آليات تحقق أخرى تثبت ملكية النطاق.
وبحسب جوجل، استغل المهاجمون سيطرتهم المؤقتة على سجلات النطاقات الوطنية الثلاثة وقاموا بتعديل بيانات DNS الرسمية، ما مكنهم من اجتياز إجراءات التحقق والحصول على شهادات رقمية تخص نطاقات مرتبطة بجوجل ويوتيوب.
وأظهرت سجلات الشفافية الخاصة بالشهادات الرقمية Certificate Transparency إصدار ما لا يقل عن 12 شهادة بين 22 و27 سبتمبر 2026 لعدد من النطاقات، من بينها:
google.com.gh
google.sl
google.as
youtube.com.gh
youtube.sl
youtube.as
كما بينت السجلات أن 11 شهادة من أصل 12 صدرت عبر Let’s Encrypt، بينما صدرت شهادة واحدة عبر ZeroSSL.
وأكدت جوجل أنها لا تعتقد أن جهات إصدار الشهادات ارتكبت أي خطأ إجرائي، لأن أنظمة التحقق رصدت بالفعل سيطرة فعلية على سجلات DNS أثناء فترة الاختراق.
استجابة عاجلة لمنع استغلال الشهادات المزيفة
فور اكتشاف الحادثة، سارعت جوجل إلى اتخاذ إجراءات احترازية متعددة لمنع إساءة استخدام الشهادات الصادرة.
وقامت الشركة بإضافة الشهادات غير المصرح بها إلى نظام CRLSets الخاص بمتصفح Chrome، وهي آلية طوارئ تسمح بحظر الشهادات الرقمية المشبوهة بسرعة دون انتظار تحديثات أوسع للبنية العالمية للشهادات.
كما عملت جوجل بالتعاون مع جهات إصدار الشهادات على إلغاء جميع الشهادات المتأثرة.
وتوضح البيانات أن جميع الشهادات الاثنتي عشرة أصبحت ملغاة بالفعل بحلول الأول من أكتوبر 2026.
ورغم ذلك، فإن المدة الزمنية بين إصدار بعض الشهادات وإلغائها تراوحت بين يوم ونحو أسبوع كامل، وهي فترة تُظهر مدى حساسية مثل هذه الحوادث وأهمية الكشف المبكر عنها.
كما أكدت جوجل أنها قامت بحظر شهادات أخرى مرتبطة بمؤسسات وشركات مختلفة تعتقد أنها تعرضت للحملة نفسها، مشيرة إلى أن عملية الاستهداف لم تقتصر على خدماتها فقط.
مخاطر اختطاف النطاقات الوطنية على الأمن الرقمي
تكشف هذه الواقعة عن أهمية النطاقات الوطنية العليا باعتبارها جزءًا أساسيًا من بنية الثقة على الإنترنت.
فعندما يتم اختراق سجل نطاق وطني، لا يقتصر التأثير على موقع واحد أو مؤسسة بعينها، بل قد يمتد إلى جميع النطاقات المسجلة تحت ذلك الامتداد.
وفي هذه الحالة، أصبح أي نطاق ينتهي بالامتدادات .gh أو .sl أو .as عرضة نظريًا لخطر إصدار شهادات مزيفة إذا تمكن المهاجمون من تعديل بيانات DNS الخاصة به أثناء فترة السيطرة على السجل.
وتكمن الخطورة في أن المستخدم العادي قد لا يلاحظ أي اختلاف، إذ ستظهر أيقونة القفل الخاصة بالاتصال الآمن بصورة طبيعية طالما أن الشهادة الرقمية صادرة من جهة موثوقة.
وهذا يمنح المهاجمين فرصة محتملة لتنفيذ هجمات الوسيط Man-in-the-Middle أو إعادة توجيه المستخدمين إلى نسخ مزيفة من المواقع المستهدفة بهدف جمع بيانات الاعتماد أو اعتراض المعلومات الحساسة.
توصيات عاجلة لأصحاب النطاقات والمؤسسات
دعت جوجل أصحاب النطاقات الإلكترونية إلى مراقبة سجلات الشفافية الخاصة بالشهادات بصورة مستمرة، لأنها توفر وسيلة فعالة لاكتشاف أي شهادات تصدر دون علم الجهة المالكة للنطاق.
كما أوصت بتفعيل سجلات CAA الصارمة داخل إعدادات DNS، وهي آلية تسمح بتحديد جهات إصدار الشهادات المصرح لها فقط بإصدار شهادات للنطاق.
وتكتسب هذه الخطوة أهمية خاصة بعد انتهاء أي عملية اختراق أو اختطاف لسجلات DNS، لأنها تمنع المهاجمين من استغلال عمليات تحقق تم تنفيذها سابقًا للحصول على شهادات إضافية.
ويكتسب هذا التحذير أهمية أكبر في ضوء القواعد الحالية التي تسمح لبعض جهات إصدار الشهادات بإعادة استخدام نتائج التحقق السابقة لفترات طويلة نسبيًا قد تصل إلى مئات الأيام وفقًا لسياسات الصناعة الحالية، وهو ما يجعل تأمين سجلات DNS ومراقبة الشهادات الرقمية عملية مستمرة وليست إجراءً يُنفذ مرة واحدة فقط.
وتعيد الحادثة تسليط الضوء على طبيعة التهديدات الحديثة التي لم تعد تركز فقط على اختراق الخوادم أو التطبيقات، بل باتت تستهدف طبقات الثقة الأساسية التي يقوم عليها الإنترنت، بما في ذلك أنظمة أسماء النطاقات وسجلات الدولة وهيئات إصدار الشهادات الرقمية، الأمر الذي يجعل حماية البنية التحتية للإنترنت إحدى أهم الأولويات الأمنية خلال السنوات المقبلة.
