miji.beLa toma de subdominio es una técnica de ataque en la que un atacante se apodera de un subdominio aprovechando que sigue existiendo el registro DNS (principalmente un CNAME) de un subdominio que la organización ha dejado de usar. Por ejemplo, si blog.example.com mantiene un registro CNAME que apunta a un servicio externo y se elimina la cuenta de ese servicio, un atacante puede crear una cuenta nueva en el mismo servicio y hacerse con el control del subdominio.
El mecanismo del ataque es el siguiente. Una organización opera un subdominio en un servicio externo como AWS S3, GitHub Pages o Heroku y más adelante cancela el servicio. Sin embargo, si olvida eliminar el registro CNAME del DNS, el subdominio queda "colgando". El atacante registra el mismo nombre de host en el servicio externo en cuestión y pasa a poder publicar cualquier contenido. Como se trata de un subdominio del dominio legítimo, puede aprovecharse para phishing o para el robo de Cookies.
Este riesgo también existe cuando se configura un dominio personalizado en un acortador de URL. Al dejar de usar el acortador de URL, si no se elimina del DNS el registro CNAME del dominio personalizado, un atacante podría apoderarse del subdominio. Si se emiten URLs cortas maliciosas en el subdominio tomado, se hacen posibles ataques de phishing que aprovechan la confianza en el dominio de la organización.
La Web Security Testing Guide de OWASP menciona como contramedida eliminar de la zona los registros DNS afectados y recomienda la supervisión continua y las revisiones periódicas (a octubre de 2026). La misma guía menciona subzy y nuclei como herramientas para detectar la toma de subdominios. En la operación, otro método es incluir la eliminación de los registros DNS en la lista de comprobación para la cancelación de servicios. Además, si se indica en un registro CAA (RFC 8659) qué autoridades de certificación pueden emitir certificados, se puede reducir el riesgo de que se emitan certificados de forma no deseada.