A veces, a los propietarios de sitios web, por el motivo que sea, ya no les interesa mantener un nombre de dominio y permiten que este caduque sin intentar renovarlo. Esto es algo perfectamente normal y sucede todos los días.
La fecha de expiración de un dominio depende fundamentalmente de la fecha de registro y del período de contratación que el cliente haya establecido.
Por ejemplo, si registró el dominio el día 24/10/2021 por un período de 5 años, el dominio caducará el día 24/10/2026.
Cuando un dominio caduca, el propietario tiene dos opciones:
1. Renovar el dominio (por un período máximo de 10 años).
2. Dejar que el dominio expire (se eliminará automáticamente de su cuenta).
Algunos ciberdelincuentes buscan regularmente esos dominios caducados, mediante herramientas como Expireddomain que permite encontrar dominios expirados aplicando una serie de filtros para delimitar la búsqueda.
Pueden elegir los que cumplan con unos criterios específicos que incluyen, entre otros, el nombre de una marca, PageRank, cierta temática en concreto, la popularidad del nombre o el ranking de Alexa.
Y no hace falta ser un genio criminal para consultar esas listas diariamente.
Además, utilizando páginas como Archive.org también pueden ver el contenido que tenía una página web en diferentes periodos de tiempo.
Incluso antes de que el dominio caducara.
Como perpetran sus travesuras
Una vez que han encontrado el nombre de dominio que les interesa, pueden registrarlo y configurar un servidor de correo electrónico para recuperar el correo de las cuentas vinculadas al mismo.
Los propietarios de sitios web, pueden asumir que las cuentas de correo electrónico se eliminan después de que expira un dominio.
Pero, de hecho, aún guardan todos los mensajes y pueden seguir recibiendo correo entrante de contactos antiguos.
El correo electrónico es la joya de la corona y el punto de entrada a un tesoro oculto de información confidencial.
Por lo tanto, toda la información privada, que se ha intercambiado mediante mensajes de correo electrónico, como por ejemplo nombres y direcciones, facturas, detalles de los clientes, claves de licencia de software, etc., estará expuesta a los ciberdelincuentes.
¿Qué pueden hacer?
Por ejemplo, pueden hacer un restablecimiento de contraseña en cualquier servicio que utilice el correo electrónico vinculado al dominio expirado para robar una cuenta en línea.
También pueden enviar correos electrónicos de phishing a empresas o individuos desprevenidos que tenían alguna relación con el antiguo propietario del dominio.
Y si el antiguo propietario del dominio no ha sido diligente, podrían hacerse con datos de facturación, contraseñas, nombres y apellidos, direcciones postales, datos bancarios, y cualquier otra información confidencial contenida en los correos electrónicos intercambiados entre una página web y sus usuarios.
Prevención
En este sentido, los propietarios de la página web deberían notificar a sus usuarios o clientes que han discontinuado el servicio, y que el nombre de dominio (nombre de la página.com) ya no tiene nada que ver con ellos.
Según los expertos en seguridad, la mejor manera de proteger los dominios antiguos es renovarlos, incluso si no los estamos utilizando actualmente, pero no todos los propietarios de sitios web lo hacen.
Si por el motivo que sea debemos dejar que los antiguos dominios caduquen, por seguridad y responsabilidad, hay que eliminar las cuentas de correo electrónico asociadas a ellos.
Además, el administrador de la página debería borrar todos los registros de los antiguos usuarios que han accedido a la web mediante sus cuentas de Facebook, Google, Twitter y otras redes sociales.
Por lo tanto, los usuarios debemos ser muy cautos a la hora de interactuar con una página web, sobre todo con tiendas en línea poco conocidas, y comprobar siempre quien es el propietario del dominio.
Pero a veces eso es complicado, ya que muchos registradores ofrecen un servicio de privacidad de dominio donde la información del titular está protegida, y no se muestra en el directorio de WHOIS.
En su lugar, se reemplaza por información genérica proporcionada por el registrador.
