Google 在 2026 年 10 月 7 日公开披露，加纳（.gh）、塞拉利昂（.sl）与美属萨摩亚（.as）三个 ccTLD 注册局的第三方运营方遭到攻击者攻陷，权威 DNS 记录被篡改，借此为多个 Google 域名以及其他品牌取得了合法 HTTPS 证书。Google 强调此次事件不涉及 Google 系统被入侵，也没有理由认为签发证书的机构存在不当行为，问题出在托管这三个 ccTLD 的小型运营方。
事件概述
证书颁发机构在签发 HTTPS 证书前，通常要求申请方在目标域名下发布一条包含随机值的 TXT 记录，以证明对域名的控制权。攻击者一旦能改写权威 DNS，这一验证流程就会按设计放行，从而拿到原本不属于自己的有效证书。有了可信证书，攻击者就能把域名解析到自己控制的基础设施上，冒充品牌对外提供任意内容。Google 表示，除自家域名外，上述三个 ccTLD 下还有多个组织的域名被劫持。
技术细节
Google 在发现异常后立即通过 Chrome 的 CRLSets 机制封锁了这些未授权证书，并与签发机构配合吊销。随后在审查证书透明度（CT）日志时，又发现更多领先全球的品牌与广泛使用的在线服务疑似受同一波攻击影响，于是主动在 Chrome 中一并封锁，并向可识别的受影响组织发出通知。需要提醒的是，CRLSets 是 Chrome 的应急机制，只保护 Chrome 用户，其他浏览器并不一定被覆盖；Google 也坦言，由于 DNS 劫持路径复杂，无法保证已识别出全部受影响域名，当前封锁列表未必覆盖所有潜在威胁。
影响评估
这是对 DNS 加 PKI 信任链的一次精准打击。攻击者没有去碰 Google，没有去碰证书颁发机构，也没有去碰浏览器，而是选了链条上资源最少、安全投入最薄的一环：小型 ccTLD 运营方。域名验证证书只验证 DNS 控制权，从不验证组织真实身份，这个缺口在正常流程下被掩盖，一旦权威 DNS 被篡改就会彻底暴露。对企业而言，风险不止于被劫持的域名本身：拿到合法证书后，钓鱼站与恶意分发会获得浏览器地址栏的锁标记背书，依赖 URL 信誉的防线容易失效。
修复建议
- 为全部域名组合（包括闲置域名）配置证书透明度日志监控，出现非本人申请的证书立即告警。
- 发布严格的 CAA 记录，限定只有授权 ACME 账号与验证方式可签发证书；CAA 无法阻止正在进行的 DNS 劫持，但能挡住劫持恢复后借缓存验证继续签发。
- 在支持的顶级域与注册商处启用 DNSSEC 与注册局锁，提高 DNS 记录被篡改的门槛。
- 对关键域名考虑 OV 或 EV 证书，并把第三方 DNS 与注册商纳入供应链风险管理与审计范围。