Timeweb или как размещать фишинговые сайты на чужом домене.
Уже давно столкнулся с довольно серьёзной проблемой на TimeWeb (Тикет №8902193).
Суть в том, что если вы где-то регистрируете домен и прописываете NS-сервера TimeWeb, но по какой-то причине не добавляете его в свой личный кабинет TimeWeb (может, забыли или решили сделать это позже), другой человек может воспользоваться этим и добавить ваш домен к себе. В результате на вашем домене будет размещён посторонний сайт, который не имеет к вам никакого отношения. То есть фактически КТО УГОДНО может использовать ваш домен для размещения любой информации, например, какого-то скама. Любопытно, что TimeWeb НЕ проверяет собственность домена при его подключении к аккаунту, а делает это только по запросу, когда владелец уже обнаруживает, что его доменом пользуется злоумышленник.
У меня сегодня произошла именно такая ситуация: один из моих доменов (aihui.ru) был заблокирован на уровне Национального координационного центра по компьютерным инцидентам (НКЦКИ), потому что я не добавил его в панель управления TimeWeb, а кто-то другой разместил на нём фишинговый контент.
Понятно, что после такого инцидента репутация домена испорчена, и маловероятно, что есть смысл его дальше использовать для реальных проектов.
Техподдержка на проблему с добавлением чужих доменов в аккаунт никак не отреагировала, кроме как предложила добавить идею проверки доменов в раздел "Есть идея" (Тикет №8902193). На мой взгляд, решение очень простое – добавить проверку прав на домен при его добавлении в личный кабинет.
Хотелось бы привлечь внимание специалистов TimeWeb и получить объяснение, почему до сих пор не решена эта очевидная проблема с безопасностью.
Я так понимаю, что существует масса ботов, которые мониторят домены, прописанные на NS-серверах TimeWeb, но ещё не добавленные в кабинеты, и просто "присваивают" их себе, размещая на них скам-сайты. Как минимум, предлагаю специалистам TimeWeb заблокировать аккаунт, который добавил домен (aihui.ru) к себе и разместил там фишинговый сайт, а также закрыть эту лазейку для скамеров, введя проверку прав на собственность домена.