1 ポイント 投稿者 GN⁺ 7 시간 전 | 1件のコメント | WhatsAppで共有
  • 13年間使っていたNamecheapアカウントで、大学サークルのドメインに対するパスワードリセット要求が発生したため、すぐに報告したものの、サポートチームは報告者本人の確認後、セキュリティ点検の案内を送るだけでした
  • その後、サークルの責任者が電話で所有権を主張すると、Namecheapは追加の検証なしにアカウントのパスワードと紐づくメールアドレスを変更し、アカウント全体へのアクセス権を引き渡しました
  • 当事者同士では連絡がつき、ドメインを移管しましたが、第三者によるアカウント乗っ取りがあまりに簡単であることを確認した後、重要なドメイン12件をNamecheapから移管しました

1件のコメント

 
GN⁺ 7 시간 전
Hacker Newsのコメント
  • pilingual: Namecheap は数か月前から プライベートエクイティ所有になっている。数年ごとに移転しなくて済む 非営利のドメインレジストラ があればいいのに

    • davnicwil: ドメイン登録を主な収益源にしておらず、別事業の呼び込みのために運営している大手レジストラを使えという助言は理にかなっているように思える。すべての問題を解決はしなくても、プライベートエクイティによる買収のような予想外の新しい問題が生じるリスクを大きく減らせる
      ドメイン自体が収益源なら、競争市場で追加売上を絞り出そうとする誘因が生まれるし、評判すら重要でないなら、正しく行動する理由はほとんどない
    • ajb: 訴訟や政治的圧力に屈しないだけの規模があるところであるべき。小規模な技術者中心の企業が強い圧力に屈しても責めにくい
      ある程度以上に重要なドメインには 自前のレジストラを持つ法律事務所 のようなところが必要だが、おそらく「価格はお問い合わせください」の高額帯だろう。Amazon と Google でさえ自前のレジストラを持っていながら、Google.com や Amazon.com のような中核ドメインには使っていない
    • AussieWog93: オーストラリアの VentraIP を10年使っている。特別に良くも悪くもないが、Melbourne にあるので最悪の場合は直接行って話せるという利点がある。Stripe の問題を経験してから、決済事業者も同じ基準で選んでいる
  • Adachi91: 2年前に 自動更新の失敗 で Namecheap を離れた。自動更新を有効にしていたのに更新されず、ドメインは広告だらけのページに変わり、移管もロックされた
    ICANN に通報すると言った後、州のレジストラである Hover に移した。値段は高いが数十年間問題はなく、2000年代半ばに以前のレジストラが廃業したときも Hover がドメインを引き継いでくれた

  • happytoexplain: 数週間前に Namecheap から Porkbun へ移した。広告ではなく、人気のレジストラを検索して選んだだけで、これは Namecheap が GoDaddy のようになりつつある証拠だ
    高価格と非倫理的なデータ慣行 のような短期戦略に傾いているので、すぐ離れたほうがいい。違和感を覚える数週間前にプライベートエクイティに買収されたというのも偶然には見えず、米国ではこうした買収を法的に防ぐべきだと思う

    • rickydroll: プライベートエクイティのせいで Gandi から逃げたのに、もうまたレジストラを変えなければならないのかとうんざりする。数年でも サービス劣化をビジネスモデル にしないところがどこなのかわからないし、人々が技術業界を離れてヤギを飼いたくなるのも理解できる
    • dgudkov: Porkbun にも同じことが起きない保証はない
  • ryandrake: 電話でそれらしく話すだけで乗っ取れる、最も有名で価値の高いドメインは何だろうと気になった。Web サイトのログインでは「セキュリティ強化」を理由にメール確認まで強要しているのに、この会社は丁寧に頼めばドメインを渡してくれるようだ

    • nkrisc: たとえ簡単でも、多くの国では違法である可能性が高い。やりやすい犯罪でも犯罪であることに変わりはないので、仮定の話にとどめておくほうがいい
    • jacobgkau: 一般人が知らない法律でも大きな標的はそれを利用できるし、民事訴訟 を起こされる可能性もあるので注意したほうがいい
  • geuis: Namecheap は有効なすべてのドメインに ドメインプライバシー保護 を無料で標準提供している。これを有効にしていれば、大学サークル側がメールアドレスを見てパスワードリセットを始めることはできなかったはずだ
    カスタマーサポートと会社の方針の誤りを擁護することはできないが、長年満足して使ってきたので、他のコメントだけを見て性急に移転せず、自分でデューデリジェンスすることを勧める。否定的な評価には実際の被害者だけでなく、不当に被害を受けたと感じる人もより積極的に参加しがちだ

    • paxys: ドメインプライバシー保護は公開記録からメールを隠すだけなのに、何の関係があるのかわからない。攻撃者がすでにメールアドレスを知っていたなら意味がなく、メールアドレスは公開して共有するための情報であって、パスワードではない
    • Thrashed: ドメインプライバシー保護を有効化 していた。Namecheap はユーザー名、メールアドレス、ドメイン名のいずれか1つだけでパスワードリセットを開始できる
      この事件までは満足した顧客であり、レジストラのような重要サービスを選ぶ際にデューデリジェンスが必須だという点には同意する
    • turpentine: https://bsky.app/profile/neocities.org/post/3mnkqgxostk2k の最近の事件も、ドメインレジストラとしては容認できないずさんな対応だ。プライベートエクイティが人員削減や海外アウトソーシングを進めていたなら説明はつくが、買収されていなかったとしても言い訳の余地はない
      どう発生したのか、何を直すのかについて公に答えようとすらしていない
  • dalmo3: 小規模な地域レジストラでまったく同じことを経験した。複数顧客を管理していたアカウントで、ある顧客企業の「IT担当者」が DNS 変更を依頼したところ、レジストラが アカウント全体の権限 を渡し、パスワードまで変えて私を締め出した
    アクセス権を取り戻した直後に、すべてのドメインを別の場所へ移した

    • sixtyj: 会社名を公表すべきだ。こうした振る舞いは容認できず、方針を変えない業者は排除されるべきだ
    • preg_match: ドメイン版の SIM スワップ・番号移行攻撃 と同じだ。通信会社も結局は解決したし、今ではその攻撃経路は事実上塞がれているので、他業界でも技術的に防げるはずだ
  • addaon: 名前からして NameCompetent ではなかった

    • Retr0id: 最近は安くもない。面倒で使い続けているが、本当に移るべきだ
  • prmph: Namecheap でドメインを保有しないほうがいい。逆方向だがやはりひどい目に遭って、2段階認証に使っていた携帯電話を失ったというだけでドメイン群を失った
    求められた情報はすべて提供したが、返答まで 1年以上 かかり、その頃にはもう維持する気も失せていた。幸い、事業構想のために買っていた非中核ドメインで、今は Cloudflare へ移管中だ

  • petecooper: Porkbun を勧める。Porkbun がサポートしていないトップレベルドメインが必要なときは、tld-list.com でレジストラを比較している

  • richardchilders: Namecheapにログインし、カード情報まで提供したのに、支払い段階で突然 Linkアカウントの作成 とカード情報の再入力を強要された。Namecheapがなぜ情報を収集したのか、どう使うのか疑問が残る
    Linkは位置を把握できるようにSMS認証まで要求する。24時間も経っていない出来事なので、レジストラの変更を検討中で、仮想的な非営利DNSドメインサービスのCTOまたはCEO候補としてPaul Vixieを推薦する。追加情報: uggcf://fnynanir-ehalba.bet/ureovr.ugzy

    • Walf: LinkはStripeの決済処理サービス。 https://stripe.com/payments/link
      最近オンラインで決済し、決済情報を収集する主体が明確でなかったり、独自の決済画面のように見えたりしたなら、Stripeを使っていた可能性が高い
    • Cider9986: 従来型金融のオンライン決済は監視地獄なので、Moneroでドメインを購入 できるサービスも多い
    • assimpleaspossi: この前の2月ごろにドメインを更新したときはそうではなかったが、いつから始まったのか気になる
  • dvdyzag: 不安になる笑いが出る。2022年の以前の議論は https://news.ycombinator.com/item?id=32638028 にあり、報奨金に関する内容のようだが、元の文章は消えている

  • paxys: 超知能AIももちろん心配だが、デジタルインフラにおける最大の攻撃経路は依然として ソーシャルエンジニアリング だ。カスタマーサポートのコストを削り続けることで、状況はさらに悪化している
    低賃金の海外コールセンター社員は、実際のドメイン所有者よりも、通話を早く終えて満足度の星5を取ることに関心がある。そのためSMSベースの二要素認証を強制するサービスから離れており、最近では銀行まで変えた

    • preg_match: ソーシャルエンジニアリング攻撃も技術的手段で防げる。SIMロックと番号移行ロックを有効にすれば、SIMスワップや番号移行をソーシャルエンジニアリングで試みても通用しない
      5年前の米国で一般的だった攻撃が今では事実上消えたように、カスタマーサポート担当者がセキュリティを破れないようにすべきだ。鍵を金庫に入れ、トゲと 5日間の待機時間 で囲まなければならない
    • Georgelemental: 超知能AIもソーシャルエンジニアリングが非常に得意になりつつある。代表例が 音声クローン詐欺
    • ethin: 理論上の超知能AIより、ソーシャルエンジニアリング攻撃のほうがはるかに心配だ。二者択一なら、ソーシャルエンジニアリングのほうがずっと深刻だと思う
  • newsomix9xl: 丁寧に頼むこともソーシャルエンジニアリングの一形態だ。休暇中の上級副社長を装って緊急変更を要求するようなMitnick級の手口でなくても、ソーシャルエンジニアリングの核心は人間の協力を悪用することにあり、その協力を得る方法は厳密に決まっているわけではない

  • thegrim33: ウクライナ戦争が始まると、ロシアの住所に結び付いた個人・企業顧客のサービスをすべて終了した、まさにそのNamecheapだ。まだ使っているなら、その選択に伴う責任も引き受けるべきだ

  • n8n_and_coffee: 更新前にGoDaddyからNamecheapへゆっくり移行していたのでがっかりだ。価格差が大きく、GoDaddyが有料で売る機能もNamecheapは無料だったので選んだが、安いのには理由があったようだ
    ドメインが移管などを防ぐ ロック状態 だったのか気になる

    • Thrashed: ドメインはロックされていたし、移管されたわけでもない。ドメインを所有する Namecheapアカウント自体が渡された のだ
      GoDaddyがSOPAを支持していた2013年に、自分もGoDaddyからNamecheapへ移った
    • system2: 価格が重要なら、Cloudflareの登録コストはたった10ドルだ
  • hmokiguess: 人間が最も弱い輪であり、低賃金の海外コールセンターで起きたことだとしても驚かない。ただし脆弱性というより、人間を攻撃経路にし、なりすましを悪用した ソーシャルエンジニアリング攻撃

  • Georgelemental: Gaza虐殺の証拠を公開したという理由でDatabases for Palestineのドメインを奪ったときにNamecheapを離れた。この会社に金を払う価値はない: https://www.thecanary.co/skwawkbox/2026/01/03/namecheap-gaza...

    • velcrohn: Gazaの人口は1948年から増加しており、Hamasの攻撃前には数万人がIsraelで働いたり病院で治療を受けたりしていた。戦争中でもIsraelは断続的な中断はあったものの、食料・電力・水・燃料・医薬品を提供し、子どもの予防接種のための停戦や、攻撃前の民間人への警告も実施していた
      数万人の民間人が死亡したのは事実だが、Hamas戦闘員は軍服を着ず、病院・モスク・学校・住宅地の周辺や地下に軍事施設を配置しており、Gaza当局も軍人と民間人の死者を区別していなかった。500kmのトンネルがありながら民間人を入れなかった責任もある
      激しい市街戦で民間人が大規模に死亡したのは 戦争 であり、虐殺とは別の現象なので、両者を混同していると思う
  • xyst: Namecheapは 2025年9月にCVC Capital Partners に過半数株式を取得され、企業価値は15億ドルと評価され、Kirkendallは2025年12月16日にCEOを退いた
    それ以前から事件が多かったので、数年前にすべてのドメインをPorkbunへ移した

  • userbinator: 投稿者のアカウントは投稿時点で作成から3時間しか経っておらず、別のコメントでも同じ競合他社が何度も登場する。どう解釈するかは各自次第だ

    • happytoexplain: 被害を訴えるために新しいアカウントを作るのは自然なことで、PEファンドに買収されたレジストラが徐々に悪化するのもよくあることだ。Porkbunはこの投稿と無関係に、明らかに次に人気のある選択肢だ
      Porkbunも次に悪化する対象になり得るとまで言われていたので、宣伝屋なら言いにくい話だ。この件で 広告疑惑 は合理的ではない
    • squigz: こんなに深刻な話が本当のはずがないとか、何が欠けているのかと尋ねる反応が多少はあると思っていたが、コミュニティの反応が予想と違っていて興味深い
  • captn3m0: Namecheap側のバグで自分の主要ドメインも停止された: https://captnemo.in/blog/2026/05/05/namecheap-whois/
    Namecheapが .in レジストリで許可されていない Domain Privacy を設定したあと、WHOIS情報が隠されているという理由でドメインを停止した。同じ被害に遭った人をほかにも何人か知っている

  • sandeepkd: 具体的な情報がないので、どんな根拠で判断したのか分かりにくい。推測するなら、コンテンツをホスティングしているウェブサーバーの制御権を示してドメイン所有権を証明したのかもしれない
    ソーシャルエンジニアリングと見ることもできるが、ドメインのコンテンツ制御権を確認したアカウント復旧と分類する余地もある。ただし、アカウントにクレジットカードが紐づいていたなら壊滅的な対応だ

    • maxgashkov: ウェブサーバーの制御権でドメイン所有権を証明してはいけない。サーバーが侵害されてバックアップサーバーへDNSを切り替える必要がある状況で、攻撃者が掌握したサーバーに任意のファイルを置けるという理由でレジストラが所有権を認めたら、深刻なセキュリティ事故になる
  • jacobgkau: ウクライナ戦争を理由にロシアのユーザーを全員追い出したときから、Namecheapを信頼しなくなった。移管は許可していたのでICANN規則違反ではないが、制裁対象でない個人や中小企業にまで適用したのは趣旨に反しているように見えた
    一部の特殊なトップレベルドメインはHoverよりかなり安かったのでしばらく残していたが、今ではPorkbunのほうが使っているすべてのドメインで安く、この1年で全部移管した

    • slig: この件もある: https://news.ycombinator.com/item?id=30506581
    • bellowsgulch: 自分もその決定は嫌いだと言ったが、インフラ事業者に政治介入してほしくないと述べたら大量に反対票を食らった
  • superkuh: 今週、Namecheapからプロフィール情報を更新しないと 24時間以内にアカウントを閉鎖するというメールを受け取った。しかも当のアカウントをロックして、直接ログインできないようにしていた
    WHOIS情報は法的に完全に適合しており、プロフィールも更新する意思はあったが、メールへの返信が届いたのは期限が1時間しか残っていない時点だった。アカウントとドメインは守れたが、悪化のスピードが速すぎるので別のレジストラへ移す予定だ

    • ramgine: 同じメールをざっと読んで流したが、もう一度確認してから移管したほうがよさそうだ
    • iAMkenough: 自分で要件を処理できないようにアカウントをロックしておきながら24時間しか与えないのは、あまりに短すぎる。メールがスパム扱いされたり、週に数回しか見ないアドレスなら対応できない
      調べたうえで個人ドメインを移す予定だ
    • jddj: 実在企業からの案内というより フィッシングの試み に聞こえる。まだドメインが1つ残っていて、こういうメールは受け取っていないが、移すべきだという良い警告にはなった
  • system2: 重要なドメインをNamecheapに置いているが、PorkbunとCloudflareのどちらへ移すか迷っている。Cloudflareは10ドルのドメインにまともなサポートをしないほど大企業っぽく見えるので、安い使い捨てドメインにしか使わず、重要なドメインは価格が2倍でもNamecheapに置いていた
    GoDaddy以外で 実質的なカスタマーサポートがある米国企業 を望んでいる

    • happytoexplain: 現時点ではPorkbunがいちばん妥当な選択に見える。1年後でも10年後でも変わるかもしれないが、21世紀の企業サービスはもともとこういうものだ
    • jacobgkau: Porkbunのカスタマーサポートと1対1でやり取りしたことがある。PayPal決済が失敗して問い合わせたところ、約 1時間30分後に実在の社員らしい人 から問題を解決したと返信があった
    • assimpleaspossi: この記事を見ていなくても移管を検討したか考えてみる必要がある。少なくとも16年間Namecheapを使っていて不満を初めて見たし、自分で経験した問題もないので、話全体を疑ってみる余地はある
  • OutOfHere: アカウントで2段階認証が有効だったか明らかにされていないので、無効だったと仮定する

    • mook: カスタマーサポートが管理者権限でアカウントを引き渡した事件なら、2段階認証がなぜ関係あるのか 分からない。アカウントがハッキングされた形跡はないので、認証要求が出る段階自体がなかったはずだ
    • john_strinlai: カスタマーサポート主導のリセットと移管は2段階認証を迂回する
  • phendrenad2: Namecheap関連の事件はHNに継続的に上がっている: https://hn.algolia.com/?dateRange=all&page=0&prefix=true&que...

  • terminalbraid: Porkbunは本当に良い

  • bellowsgulch: 業務用ドメインを Porkbunみたいな小企業 に移すつもりはない

  • ButlerianJihad: 話の穴を見ると、クラブの役員や会員でもなく大学とも関係がなく、ドメインは実際には使われず保管されていただけのようだ。大学所属クラブの正当な役員陣がインターネット上のクラブ名に対する権利を証明し、Namecheapは最後に支払いに使われたカードの所有者よりも彼らに制御権を渡したように見える
    個人アカウントで保有していたなら、Namecheapには誰が正当な所有者か判断する材料があったのかもしれない。クラブ資産は個人が直接支払うべきではなく、会計担当者とクラブのアカウントで購入し、助けたいならクラブか大学に寄付すべきだった。今は誤りが正されたようだ

    • kstrauser: あり得ない。紛争を判断する 法的手続き が別にあり、その手続きなしでは現在の占有者を所有者として扱うべきで、そうしないと混乱を招く
      「Google Foods」を所有しているというもっともらしい書類を作ったからといって、レジストラが google.com を渡してはいけない。所有権を主張するなら裁判所で正当な所有者だと証明し、移転命令を得るべきで、失敗したならGoogleが引き続き保有するのが唯一まともなやり方だ
  • assimpleaspossi: コメントを見ているうちに思ったが、どれだけ長く使っているのか思い出せないほど前からNamecheapを使っているのに、一度も問題はなかった

    • dessimus: ドメインを公開したら、数日後にもそうか確認できる
    • happytoexplain: 悪いことが起きていないという話は、あり得る逸話の中でも 最も説得力が弱い
  • linsomniac: Cloudflareにも長所と短所はあるが、ドメインを原価で登録してくれる。たとえば .com は初年度だけ割引してその後値上げする方式ではなく、毎年10.46ドルである

    • foresto: Cloudflare は Web の仲介者であり門番であり、単一の監視地点であり、オープンインターネットの敵になってしまった。これ以上ビジネスを集中させても問題が悪化するだけなので見送り
    • sigio: 問題は、DNS ホスティングまで Cloudflare の利用を強制していることだ