1. Hackers hebben de domeinregistraties van .gh, .sl en .as gecompromitteerd. Deze domeineindes behoren toe aan Ghana, Sierra Leone en Amerikaans-Samoa. De aanvallers hebben gezaghebbende DNS-records gewijzigd, die de officiële antwoorden voor domeinopzoekingen leveren. Controle over deze records kan een aanvaller in staat stellen een domein te beheersen wanneer een certificeringsinstantie controleert of een certificaataanvraag geldig is.
2. De aanvallers gebruikten hun toegang om ongeautoriseerde HTTPS-certificaten te verkrijgen voor Google en andere organisaties. Dit gebeurde door misbruik te maken van het proces dat bekend staat als domeincontrolevalidatie. Dit proces, dat afhankelijk is van de infrastructuur van domeinregistraties beheerd door derden, bewijst controle over een domein in plaats van de rechtmatige eigenaar te identificeren.
3. Ongeautoriseerde HTTPS-certificaten kunnen aanvallers helpen om zich voor te doen als een vertrouwde website, mits zij gebruikers ook naar hun servers kunnen leiden.
4. Google werd op 6 oktober 2026 op de hoogte gesteld van de aanvallen, die in de week daarvoor plaatsvonden. Chrome blokkeerde de geïdentificeerde certificaten automatisch. Chrome-gebruikers hoeven geen actie te ondernemen om deze bescherming te ontvangen.
5. Google heeft samengewerkt met certificeringsinstanties om de uitgegeven certificaten voor Google-eigendommen in te trekken. Google blokkeerde eerst ongeautoriseerde certificaten voor zijn domeinen via CRLSets, een systeem dat door Chrome wordt gebruikt om certificaten snel te blokkeren tijdens beveiligingsnoodgevallen. Verder onderzoek van Certificate Transparency-logs bracht certificaten aan het licht die aan andere organisaties waren gekoppeld, waaronder grote merken en veelgebruikte diensten. Google heeft deze certificaten in Chrome geblokkeerd en getroffen organisaties geïnformeerd waar mogelijk.
6. Er is geen reden om aan te nemen dat de certificeringsinstanties die de getroffen certificaten hebben uitgegeven iets verkeerd hebben gedaan.
7. Het systeem van Google zelf is niet gecompromitteerd.
8. Google heeft de aanvallers niet publiekelijk benoemd, noch verklaard hoe zij voor het eerst toegang kregen. Google heeft geen volledige lijst verstrekt van getroffen domeinen en certificaten. Google waarschuwde dat hun onderzoek mogelijk niet alle getroffen domeinen heeft gevonden.
9. Organisaties wordt geadviseerd om Certificate Transparency-logs te monitoren voor hun gehele domeinportfolio. Eigenaren van .gh, .sl en .as domeinen wordt geadviseerd recente vermeldingen van certificaten die zij niet hebben aangevraagd te controleren. Google beveelt restrictieve Certification Authority Authorization-records aan.