【警鐘】Namecheapのサポートに電話するだけで他人のアカウントが乗っ取られる脆弱性が発覚

私は13年間Namecheapを利用しているユーザーです。以前、大学時代のサークルが使う.comドメインを私の個人名・住所・電話番号で登録し、維持管理していました。最近、サークルの代表交代時に後任者がDNS設定を変更しようとしたのですが、私に連絡をとる方法がわからず、ドメインがNamecheapで管理されていることだけを確認してパスワードリセットを試みたようです。私にはパスワードリセットの通知が届いたため、即座にNamecheapのサポートへ「私がリクエストしたものではない」とチケットを送りました。一度は本人確認の電話がありましたが、その後は「アンチウイルスソフトを確認してください」といったテンプレ回答が返ってきただけでした。

ところが、後任者がNamecheapのサポートに直接電話をしたところ、驚くべきことが起きました。私名義で登録されているにもかかわらず、本人確認や検証プロセスを一切経ることなく、Namecheapは私のパスワードとアカウントのメールアドレスを相手の要望通りに変更してしまったのです。単に「丁寧にお願いした」というだけで、です。

最終的に、後任者と連絡が取れたためドメインの譲渡自体はスムーズに完了しました。私としても最初から譲渡するつもりだったので結果オーライですが、問題なのはNamecheap側の対応です。彼らは私の本人確認をするための電話はできるのに、見ず知らずの人間から「アカウントにアクセスさせろ」と言われた際は検証をサボるのでしょうか？

これは高度なソーシャルエンジニアリングですらなく、ただの致命的な脆弱性です。電話で頼むだけでアカウントが乗っ取られてしまうという事実を目の当たりにし、私は重要なドメインのほとんどを他社へ移管することに決めました。皆さんも注意してください。

数週間前にNamecheapからPorkbunに乗り換えたよ。別に宣伝するわけじゃないけど、単にGoogleで人気のレジストラを検索した結果だね。でもこれはNamecheapに対する告発でもある。あそこはGoDaddyと同じ道を歩んでるよ。今すぐ離れた方がいい。目先の利益を優先する戦略（高額な料金や不透明なデータ管理など）にシフトしているからさ。

追記：私が何かがおかしいと気づく数週間前に、プライベートエクイティ（投資ファンド）に買収されていたみたいだ。偶然なはずがない。こういう投資ファンドによる買収を法的に阻止する必要があるよ。彼らは純粋な悪で、少なくともアメリカにおいてはマイナスの力でしかない。

まあ、彼らは自分たちのことを「NameCompetent（有能なName）」とは呼んでないもんな、だろ？

地元の小さなレジストラで全く同じ経験をしたことがある。

複数のクライアントを管理していたアカウントがあったんだ。その中のクライアントの一人が、自分の「IT担当者」にDNS変更のためにレジストラへ連絡させた。するとレジストラは即座にその男に私のアカウントへのフルアクセス権を与えてしまって、パスワードを変更され、その過程で締め出されたよ。

アクセスを取り戻してすぐに、すべて移管したね。

私もNamecheapの長年のユーザーだ。

ドメインのプライバシー保護は、Namecheapがすべての有効なドメインに対して無料で提供している機能だよ。デフォルトで付いてくるんだ。

投稿者はこの機能が有効になっていたかどうか明言していない。もし有効なら、大学のサークルの人間がメールアドレスを見ることはできず、パスワードリセットを始めることも防げただろう。

もちろん、これでNCのカスタマーサポートの対応や会社の方針が正当化されるわけじゃない。

ただ、私は長年満足して使っているユーザーの一人として、他のコメントを鵜呑みにして、自分でしっかり調べもせずに慌てて他のレジストラに飛びつくのはやめた方がいいと思う。

どんな状況であれ、ネガティブなコメントやレビューを書くのは、実際に酷い経験をした人か、理不尽に扱われたと感じている人がほとんどだということを忘れないでほしい。

Namecheapって数ヶ月前からプライベート・エクイティ・ファームの傘下に入ってるんだよね。非営利のレジストラがあれば、数年おきに乗り換える必要なんてなくなるのになあ。

こういう話を聞くと、電話でうまく話すだけで乗っ取れる、最も人気で価値のあるドメインはどれなんだろうって考えちゃうよ。誘惑的だな！

最近は「セキュリティ強化のため」とか言って、メールボックスを確認しなきゃほとんどのウェブサイトにログインすらできないのに、こいつらは電話で頼むだけでドメインを渡してしまうのかよ！

私は2年前にNamecheapから乗り換えたよ。自動更新をオンにしていたのに自動更新されなくて、システムが勝手にドメインを広告だらけのひどいページに書き換えたんだ。移管システムもロックされていて、彼らに連絡して「他のレジストラに移管させろ、さもなければICANNに苦情を入れるぞ」と伝えた。メインのレジストラ（Hover）に移したんだけど、料金は高いけど数十年間使っていてトラブルは一度もない。もともと使っていたレジストラが2000年代半ばに閉鎖した時も、Hoverがドメインを引き継いでくれたから、今は全面的にそこを信頼している。

ああ、NameCheapでドメインを所有するのはやめたほうがいい。

私の場合、真逆の経験をしたけど、やっぱり最悪だった。2段階認証に使っていたスマホを紛失しただけでドメインを失ったんだ。何度電話しても情報を求められ、必要なものはすべて提出したのに、彼らが返事をくれたのは1年以上経ってから。その頃にはもう、彼らのところでドメインを維持する気なんて完全に失せていたよ。

幸い、クリティカルなドメインじゃなかったからよかったけど、ビジネスを立ち上げようと準備していたドメインだったんだ。

今はドメインをCloudFlareに移管している最中だよ。

引きつった笑いが出てくるな。

2022年の以前の議論：https://news.ycombinator.com/item?id=32638028

報奨金かなんかの話だけど、元のソースは落ちてるみたいだね。

Porkbunに一票。Porkbunが扱っていないTLDが必要なときは、tld-list.comで別のレジストラを探しているよ。