- 13年間使っていたNamecheapアカウントで、大学サークルのドメインに対するパスワードリセット要求が発生したため、すぐに報告したものの、サポートチームは報告者本人の確認後、セキュリティ点検の案内を送るだけでした
- その後、サークルの責任者が電話で所有権を主張すると、Namecheapは追加の検証なしにアカウントのパスワードと紐づくメールアドレスを変更し、アカウント全体へのアクセス権を引き渡しました
- 当事者同士では連絡がつき、ドメインを移管しましたが、第三者によるアカウント乗っ取りがあまりに簡単であることを確認した後、重要なドメイン12件をNamecheapから移管しました
1件のコメント
Hacker Newsのコメント
pilingual: Namecheap は数か月前から プライベートエクイティ所有になっている。数年ごとに移転しなくて済む 非営利のドメインレジストラ があればいいのに
ドメイン自体が収益源なら、競争市場で追加売上を絞り出そうとする誘因が生まれるし、評判すら重要でないなら、正しく行動する理由はほとんどない
ある程度以上に重要なドメインには 自前のレジストラを持つ法律事務所 のようなところが必要だが、おそらく「価格はお問い合わせください」の高額帯だろう。Amazon と Google でさえ自前のレジストラを持っていながら、Google.com や Amazon.com のような中核ドメインには使っていない
Adachi91: 2年前に 自動更新の失敗 で Namecheap を離れた。自動更新を有効にしていたのに更新されず、ドメインは広告だらけのページに変わり、移管もロックされた
ICANN に通報すると言った後、州のレジストラである Hover に移した。値段は高いが数十年間問題はなく、2000年代半ばに以前のレジストラが廃業したときも Hover がドメインを引き継いでくれた
happytoexplain: 数週間前に Namecheap から Porkbun へ移した。広告ではなく、人気のレジストラを検索して選んだだけで、これは Namecheap が GoDaddy のようになりつつある証拠だ
高価格と非倫理的なデータ慣行 のような短期戦略に傾いているので、すぐ離れたほうがいい。違和感を覚える数週間前にプライベートエクイティに買収されたというのも偶然には見えず、米国ではこうした買収を法的に防ぐべきだと思う
ryandrake: 電話でそれらしく話すだけで乗っ取れる、最も有名で価値の高いドメインは何だろうと気になった。Web サイトのログインでは「セキュリティ強化」を理由にメール確認まで強要しているのに、この会社は丁寧に頼めばドメインを渡してくれるようだ
geuis: Namecheap は有効なすべてのドメインに ドメインプライバシー保護 を無料で標準提供している。これを有効にしていれば、大学サークル側がメールアドレスを見てパスワードリセットを始めることはできなかったはずだ
カスタマーサポートと会社の方針の誤りを擁護することはできないが、長年満足して使ってきたので、他のコメントだけを見て性急に移転せず、自分でデューデリジェンスすることを勧める。否定的な評価には実際の被害者だけでなく、不当に被害を受けたと感じる人もより積極的に参加しがちだ
この事件までは満足した顧客であり、レジストラのような重要サービスを選ぶ際にデューデリジェンスが必須だという点には同意する
どう発生したのか、何を直すのかについて公に答えようとすらしていない
dalmo3: 小規模な地域レジストラでまったく同じことを経験した。複数顧客を管理していたアカウントで、ある顧客企業の「IT担当者」が DNS 変更を依頼したところ、レジストラが アカウント全体の権限 を渡し、パスワードまで変えて私を締め出した
アクセス権を取り戻した直後に、すべてのドメインを別の場所へ移した
addaon: 名前からして NameCompetent ではなかった
prmph: Namecheap でドメインを保有しないほうがいい。逆方向だがやはりひどい目に遭って、2段階認証に使っていた携帯電話を失ったというだけでドメイン群を失った
求められた情報はすべて提供したが、返答まで 1年以上 かかり、その頃にはもう維持する気も失せていた。幸い、事業構想のために買っていた非中核ドメインで、今は Cloudflare へ移管中だ
petecooper: Porkbun を勧める。Porkbun がサポートしていないトップレベルドメインが必要なときは、tld-list.com でレジストラを比較している
richardchilders: Namecheapにログインし、カード情報まで提供したのに、支払い段階で突然 Linkアカウントの作成 とカード情報の再入力を強要された。Namecheapがなぜ情報を収集したのか、どう使うのか疑問が残る
Linkは位置を把握できるようにSMS認証まで要求する。24時間も経っていない出来事なので、レジストラの変更を検討中で、仮想的な非営利DNSドメインサービスのCTOまたはCEO候補としてPaul Vixieを推薦する。追加情報: uggcf://fnynanir-ehalba.bet/ureovr.ugzy
最近オンラインで決済し、決済情報を収集する主体が明確でなかったり、独自の決済画面のように見えたりしたなら、Stripeを使っていた可能性が高い
dvdyzag: 不安になる笑いが出る。2022年の以前の議論は https://news.ycombinator.com/item?id=32638028 にあり、報奨金に関する内容のようだが、元の文章は消えている
paxys: 超知能AIももちろん心配だが、デジタルインフラにおける最大の攻撃経路は依然として ソーシャルエンジニアリング だ。カスタマーサポートのコストを削り続けることで、状況はさらに悪化している
低賃金の海外コールセンター社員は、実際のドメイン所有者よりも、通話を早く終えて満足度の星5を取ることに関心がある。そのためSMSベースの二要素認証を強制するサービスから離れており、最近では銀行まで変えた
5年前の米国で一般的だった攻撃が今では事実上消えたように、カスタマーサポート担当者がセキュリティを破れないようにすべきだ。鍵を金庫に入れ、トゲと 5日間の待機時間 で囲まなければならない
newsomix9xl: 丁寧に頼むこともソーシャルエンジニアリングの一形態だ。休暇中の上級副社長を装って緊急変更を要求するようなMitnick級の手口でなくても、ソーシャルエンジニアリングの核心は人間の協力を悪用することにあり、その協力を得る方法は厳密に決まっているわけではない
thegrim33: ウクライナ戦争が始まると、ロシアの住所に結び付いた個人・企業顧客のサービスをすべて終了した、まさにそのNamecheapだ。まだ使っているなら、その選択に伴う責任も引き受けるべきだ
n8n_and_coffee: 更新前にGoDaddyからNamecheapへゆっくり移行していたのでがっかりだ。価格差が大きく、GoDaddyが有料で売る機能もNamecheapは無料だったので選んだが、安いのには理由があったようだ
ドメインが移管などを防ぐ ロック状態 だったのか気になる
GoDaddyがSOPAを支持していた2013年に、自分もGoDaddyからNamecheapへ移った
hmokiguess: 人間が最も弱い輪であり、低賃金の海外コールセンターで起きたことだとしても驚かない。ただし脆弱性というより、人間を攻撃経路にし、なりすましを悪用した ソーシャルエンジニアリング攻撃 だ
Georgelemental: Gaza虐殺の証拠を公開したという理由でDatabases for Palestineのドメインを奪ったときにNamecheapを離れた。この会社に金を払う価値はない: https://www.thecanary.co/skwawkbox/2026/01/03/namecheap-gaza...
数万人の民間人が死亡したのは事実だが、Hamas戦闘員は軍服を着ず、病院・モスク・学校・住宅地の周辺や地下に軍事施設を配置しており、Gaza当局も軍人と民間人の死者を区別していなかった。500kmのトンネルがありながら民間人を入れなかった責任もある
激しい市街戦で民間人が大規模に死亡したのは 戦争 であり、虐殺とは別の現象なので、両者を混同していると思う
xyst: Namecheapは 2025年9月にCVC Capital Partners に過半数株式を取得され、企業価値は15億ドルと評価され、Kirkendallは2025年12月16日にCEOを退いた
それ以前から事件が多かったので、数年前にすべてのドメインをPorkbunへ移した
userbinator: 投稿者のアカウントは投稿時点で作成から3時間しか経っておらず、別のコメントでも同じ競合他社が何度も登場する。どう解釈するかは各自次第だ
Porkbunも次に悪化する対象になり得るとまで言われていたので、宣伝屋なら言いにくい話だ。この件で 広告疑惑 は合理的ではない
captn3m0: Namecheap側のバグで自分の主要ドメインも停止された: https://captnemo.in/blog/2026/05/05/namecheap-whois/
Namecheapが .in レジストリで許可されていない Domain Privacy を設定したあと、WHOIS情報が隠されているという理由でドメインを停止した。同じ被害に遭った人をほかにも何人か知っている
sandeepkd: 具体的な情報がないので、どんな根拠で判断したのか分かりにくい。推測するなら、コンテンツをホスティングしているウェブサーバーの制御権を示してドメイン所有権を証明したのかもしれない
ソーシャルエンジニアリングと見ることもできるが、ドメインのコンテンツ制御権を確認したアカウント復旧と分類する余地もある。ただし、アカウントにクレジットカードが紐づいていたなら壊滅的な対応だ
jacobgkau: ウクライナ戦争を理由にロシアのユーザーを全員追い出したときから、Namecheapを信頼しなくなった。移管は許可していたのでICANN規則違反ではないが、制裁対象でない個人や中小企業にまで適用したのは趣旨に反しているように見えた
一部の特殊なトップレベルドメインはHoverよりかなり安かったのでしばらく残していたが、今ではPorkbunのほうが使っているすべてのドメインで安く、この1年で全部移管した
superkuh: 今週、Namecheapからプロフィール情報を更新しないと 24時間以内にアカウントを閉鎖するというメールを受け取った。しかも当のアカウントをロックして、直接ログインできないようにしていた
WHOIS情報は法的に完全に適合しており、プロフィールも更新する意思はあったが、メールへの返信が届いたのは期限が1時間しか残っていない時点だった。アカウントとドメインは守れたが、悪化のスピードが速すぎるので別のレジストラへ移す予定だ
調べたうえで個人ドメインを移す予定だ
system2: 重要なドメインをNamecheapに置いているが、PorkbunとCloudflareのどちらへ移すか迷っている。Cloudflareは10ドルのドメインにまともなサポートをしないほど大企業っぽく見えるので、安い使い捨てドメインにしか使わず、重要なドメインは価格が2倍でもNamecheapに置いていた
GoDaddy以外で 実質的なカスタマーサポートがある米国企業 を望んでいる
OutOfHere: アカウントで2段階認証が有効だったか明らかにされていないので、無効だったと仮定する
phendrenad2: Namecheap関連の事件はHNに継続的に上がっている: https://hn.algolia.com/?dateRange=all&page=0&prefix=true&que...
terminalbraid: Porkbunは本当に良い
bellowsgulch: 業務用ドメインを Porkbunみたいな小企業 に移すつもりはない
ButlerianJihad: 話の穴を見ると、クラブの役員や会員でもなく大学とも関係がなく、ドメインは実際には使われず保管されていただけのようだ。大学所属クラブの正当な役員陣がインターネット上のクラブ名に対する権利を証明し、Namecheapは最後に支払いに使われたカードの所有者よりも彼らに制御権を渡したように見える
個人アカウントで保有していたなら、Namecheapには誰が正当な所有者か判断する材料があったのかもしれない。クラブ資産は個人が直接支払うべきではなく、会計担当者とクラブのアカウントで購入し、助けたいならクラブか大学に寄付すべきだった。今は誤りが正されたようだ
「Google Foods」を所有しているというもっともらしい書類を作ったからといって、レジストラが google.com を渡してはいけない。所有権を主張するなら裁判所で正当な所有者だと証明し、移転命令を得るべきで、失敗したならGoogleが引き続き保有するのが唯一まともなやり方だ
assimpleaspossi: コメントを見ているうちに思ったが、どれだけ長く使っているのか思い出せないほど前からNamecheapを使っているのに、一度も問題はなかった
linsomniac: Cloudflareにも長所と短所はあるが、ドメインを原価で登録してくれる。たとえば .com は初年度だけ割引してその後値上げする方式ではなく、毎年10.46ドルである