Namecheap 仅因电话请求就移交账户
Namecheap Gave My Account to an Unverified Third Party Just Because They Asked
作为 Namecheap 的 13 年老用户，我最近经历了一场令人后怕的账户劫持。一个大学社团的新负责人在不知情的情况下，通过 Namecheap 的密码重置功能试图接管我名下的域名。尽管我第一时间联系客服并接到核实电话，但对方在接到社团负责人的电话后，竟未进行任何身份验证，直接修改了我的密码和绑定邮箱。Namecheap 明明有能力核实我的身份，却在面对第三方的简单请求时完全放弃验证。这种仅凭“礼貌询问”就能完全接管账户的漏洞，让我迅速将十几个关键域名迁出。这不仅是社会工程学攻击，更是 Namecheap 在账户安全机制上的巨大缺失。
我已经将十几个最关键域名从 Namecheap 迁出，因为看到第三方只需礼貌询问就能完全接管 Namecheap 账户是多么容易。
HN 评论区
174- pilingual
Namecheap 已经被一家私募股权公司收购好几个月了。
要是能有个非营利性的域名注册商就好了，这样就不用每隔几年就折腾着搬家了。
- Adachi91
我两年前就搬离了 Namecheap。当时我开了自动续费，但它却没自动续上，结果他们的系统直接把我的域名变成了广告地狱页。转移系统也被锁了，我联系了他们，要么把域名转回我另一个注册商，要么我就向 ICANN 投诉。最后我把它转到了我的主力注册商 Hover。虽然 Hover 更贵，但我用了几十年从来没出过问题。我最初的注册商在 2000 年代中期就倒闭了，Hover 接手了我的域名，所以我现在全都在他们那了。
- happytoexplain
就在几周前，我从 Namecheap 搬到了 Porkbun。这不是广告——我只是谷歌了一下热门的注册商。但这确实是对 Namecheap 的控诉。他们正在走上 GoDaddy 的老路。请立刻搬离他们。他们正转向短期策略（高价格、不道德的数据操作等等）。
编辑：看来他们是在我察觉到不对劲前的几周被私募股权收购的。这肯定不是巧合。我们需要从法律上摧毁私募股权收购。它们纯粹是邪恶的，毫无益处，至少在 USA 是这样。
- ryandrake
这类故事让我忍不住想，只要电话里说服对方，我就能掌控哪些最受欢迎或最有价值的域名。听起来很诱人！
现在大多数网站我连登录都得先去邮箱收个验证码，美其名曰“增强安全性”，但这群小丑却让你只要客气地打个电话就能拿走域名！
- geuis
我也是 Namecheap 的长期老用户。
域名隐私保护是 Namecheap 为所有有效域名提供的功能，默认开启且免费。
发帖人没说明该域名是否开启了此功能。如果开了，大学社团的人甚至看不到邮箱地址，也就无法发起密码重置。
这显然不能成为 Namecheap 客服人员和公司政策的借口。
但我多年来一直是满意的用户，我不建议大家看到其他评论就急着跳船换注册商，而不做自己的尽职调查。
记住，在任何情况下，最有可能留下负面评论和评价的，往往是那些真正有过糟糕体验或觉得自己受了委屈的人，哪怕这种委屈是无中生有的。
- dalmo3
我和一家小型本地注册商遇到过完全一样的问题。
我有一个管理多个客户的账户。其中一个客户的“IT 小哥”联系了注册商要求修改 DNS。注册商二话不说就给了这家伙我账户的完全访问权限，改了密码，把我锁在了外面。
我一恢复访问，就把所有东西都搬走了。
- addaon
好吧，他们也没叫自己 NameCompetent（名字胜任），对吧？
- prmph
没错，永远别在 NameCheap 注册域名。
我的经历有点相反，但同样糟糕。我丢掉了在他们那的域名，仅仅因为我丢了用于 2FA 的手机。打了几次电话后，他们要求提供一些信息。我把他们要的都提供了，但他们花了一年多才回复我，到时候我已经对维护这些域名毫无兴趣了。
幸好这些不是关键域名；我买它们是打算以后在上面做生意的。
我现在正把域名迁移到 CloudFlare。