Namecheapは、求められただけで私の口座を未確認の第三者に譲渡した

私は13年間Namecheapの顧客でした。また、古い大学のクラブが使用する.comドメインの支払いを手伝ってきました（それは私の名前、住所、電話番号で登録されています）。最近のリーダーシップ交代の際、新しいクラブリーダーはDNSを変更したいと思っていましたが、私に連絡する方法を知りませんでした。彼らはドメイン名がNamecheapでパークされていることを突き止め、ドメイン名を使ってパスワードリセットを開始しました。私はパスワードリセットのメールを受け取り、すぐにNamecheapのサポートチケットに「これは私が開始したものではありません」と記載しました。彼らは私がチケットを提出した本人であるかを確認するために私に電話をかけ、その後、アンチウイルスをチェックするなどのヒントが含まれた定型メールでフォローアップしました。<p>しかし、新しいクラブリーダーは粘り強く、Namecheapのサポートに電話しました。彼は、私の名前と住所で登録されているドメインが本当に彼のクラブのものであると彼らを説得し、何の確認や検証もなしに、Namecheapは私のパスワードを変更し、私の口座に関連付けられたメールアドレスを変更しました。すべては、誰かが電話で丁寧に尋ねただけで行われました。<p>その間、誰かが新しいクラブリーダーに私が誰であるかを伝え、私たちは連絡を取り合い、引き継ぎを完了することができました。最終的には、彼らにアクセス権、あるいは所有権さえ与えることができて嬉しかったです（学生クラブの引き継ぎはそうであるように、ドメインが更新されずにサイバースクアッターに奪われる可能性が高いので、私がそれを最新の状態に保っていました）。<p>しかし、Namecheapにはそのすべてを知る方法がありませんでした。Namecheapが知っていた限りでは、これは私の個人口座でした。彼らは電話をかけて私に連絡する能力があることを証明しました（私の最初のサポートチケットを確認するために）が、誰かが彼らに電話して「でも、私は本当にその口座にアクセスしたい」と言ったとき、彼らは気にしなかったのでしょうか？<p>これをソーシャルエンジニアリングと呼ぶことさえためらいます。これは明らかに重大な脆弱性です。私はすでに、第三者がNamecheapの口座を完全に乗っ取ることがいかに簡単かを見て、私の最も重要なドメインの1ダースをNamecheapから移動させました。丁寧に頼むだけでよいのです。