Keamanan website tidak hanya bergantung pada server, aplikasi, atau kata sandi administrator. Nama domain dan pengaturan DNS juga menjadi bagian penting yang perlu dilindungi. Jika domain dikuasai pihak tidak berwenang, penyerang dapat memanfaatkannya untuk berbagai tindakan, termasuk mendapatkan sertifikat HTTPS secara ilegal.

Hal ini terjadi pada sejumlah domain Google dan YouTube. Google mengungkap bahwa penyerang berhasil membajak tiga country-code top-level domain (ccTLD), yaitu .gh untuk Ghana, .sl untuk Sierra Leone, dan .as untuk American Samoa.

Google menegaskan bahwa sistem internalnya tidak diretas. Namun, insiden ini menunjukkan bahwa pembajakan domain tetap dapat menimbulkan risiko keamanan bagi website dan penggunanya.

Baca Juga: Ketahui Tips Memilih Nama Domain yang Aman dan Relevan

Bagaimana Domain Google Bisa Dibajak?

Penyerang diketahui berhasil mengambil alih pengaturan DNS pada tiga ccTLD tersebut. DNS berfungsi mengarahkan nama domain ke server yang tepat agar website dapat diakses pengguna.

Setelah berhasil mengubah authoritative DNS record, penyerang dapat menunjukkan kepada certificate authority (CA) bahwa mereka mengendalikan domain. Kondisi tersebut kemudian dimanfaatkan untuk mendapatkan sertifikat HTTPS.

Sedikitnya 12 sertifikat untuk nama Google dan YouTube ditemukan dalam Certificate Transparency logs pada 22–27 September 2026. Beberapa domain yang tercatat, antara lain:

• google.com.gh dan youtube.com.gh
• google.sl dan youtube.sl
• google.com.sl
• google.as dan youtube.as

Sebanyak 11 sertifikat diterbitkan Let’s Encrypt dan satu oleh ZeroSSL. Seluruh sertifikat tersebut kemudian dicabut.

Apa Risiko Pembajakan Domain bagi Website?

Pembajakan domain dapat memberikan penyerang kendali atas bagian penting dari identitas digital sebuah website. Jika DNS berhasil diubah, pengguna dapat diarahkan ke server yang dikendalikan pihak lain.

Penyerang juga dapat memanfaatkan kendali tersebut untuk mendapatkan sertifikat digital. Sertifikat HTTPS yang tidak sah dapat membuat situs palsu terlihat lebih meyakinkan karena menggunakan koneksi terenkripsi.

Risiko yang perlu diperhatikan meliputi:

• Pengalihan pengguna ke server atau website yang dikendalikan penyerang.
• Penyamaran website menggunakan domain yang terlihat resmi.
• Pencurian informasi jika pengguna memasukkan data sensitif.
• Penyalahgunaan identitas perusahaan untuk melakukan penipuan.
• Kerusakan reputasi jika aktivitas berbahaya dikaitkan dengan domain perusahaan.

Meski demikian, keberadaan sertifikat ilegal tidak otomatis berarti sistem utama perusahaan telah diretas. Dalam kasus Google, perusahaan tidak menemukan bukti bahwa sertifikat tersebut digunakan untuk membaca data pengguna.

Baca Juga: Pentingnya Pemilihan Nama Domain yang Efektif untuk Keberhasilan Situs

Bagaimana Pemilik Website Mencegahnya?

Kasus ini menunjukkan bahwa keamanan website perlu mencakup domain, DNS, dan sertifikat digital. Pemilik website tidak cukup hanya memasang HTTPS dan mengandalkan perlindungan browser.

Beberapa langkah yang dapat dilakukan adalah:

• Pantau Certificate Transparency logs untuk mengetahui sertifikat baru yang diterbitkan.
• Gunakan CAA record untuk menentukan certificate authority yang diperbolehkan menerbitkan sertifikat.
• Amankan akun registrar dan DNS dengan autentikasi yang kuat.
• Batasi akses DNS hanya kepada pihak yang berwenang.
• Periksa perubahan DNS yang tidak dikenal.
• Laporkan sertifikat mencurigakan kepada CA yang menerbitkannya.

CAA memang tidak sepenuhnya mencegah penerbitan sertifikat saat DNS sedang dikuasai penyerang. Namun, setelah kendali DNS kembali ke pemilik, CAA dapat membantu membatasi penerbitan sertifikat berikutnya.

Certificate Transparency Jadi Lapisan Perlindungan Tambahan

Certificate Transparency (CT) merupakan sistem pencatatan publik yang memungkinkan penerbitan sertifikat digital dipantau. Pemilik domain dapat menggunakan data tersebut untuk menemukan sertifikat yang tidak pernah mereka minta.

Dalam kasus Google, pemantauan CT membantu mengidentifikasi sertifikat yang diterbitkan untuk domain Google dan YouTube.

Karena itu, pemantauan sertifikat sebaiknya menjadi bagian dari keamanan domain secara rutin. Semakin cepat sertifikat mencurigakan ditemukan, semakin cepat pemilik website dapat mengambil tindakan untuk mengurangi risiko.