Il subdomain takeover è un attacco in cui un aggressore rivendica un sottodominio abbandonato e poi controlla il contenuto che serve. Questo accade di solito quando un record DNS, spesso un CNAME, punta ancora a un servizio cloud o a un'app ospitata che è stata eliminata o dismessa. Se il provider consente di riutilizzare il nome, l'aggressore può registrare lo stesso target e fare in modo che il vecchio sottodominio punti alla propria infrastruttura.
Questo è importante perché il sottodominio può essere ancora considerato affidabile da utenti, browser o sistemi interni. Gli aggressori possono abusarne per phishing, furto di cookie, reindirizzamenti malevoli o per impersonare un servizio legittimo. I difensori riducono il rischio rimuovendo i record DNS quando i servizi vengono ritirati, eseguendo scansioni alla ricerca di voci orfane e verificando le condizioni di takeover specifiche del provider durante la dismissione. In pratica, il subdomain takeover è un problema di ciclo di vita del cloud e di igiene DNS, non un difetto del DNS in sé.