Tell HN: Namecheap이 확인되지 않은 제3자에게 내 계정을 넘겼습니다

 (news.ycombinator.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 13년간 사용한 Namecheap 계정에서 대학 동아리 도메인의 비밀번호 재설정 요청이 발생해 즉시 신고했지만, 지원팀은 신고자 본인 확인 후 보안 점검 안내만 보냄
  • 이후 동아리 책임자가 전화로 소유권을 주장하자 Namecheap은 별도 검증 없이 계정 비밀번호와 연결 이메일 주소를 변경해 전체 계정 접근권을 넘김
  • 당사자끼리는 연락이 닿아 도메인을 이전했지만, 제3자의 계정 탈취가 너무 쉬운 것을 확인한 뒤 중요 도메인 12개를 Namecheap에서 이전함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • pilingual: Namecheap이 몇 달 전부터 사모펀드 소유가 됐음. 몇 년마다 옮기지 않아도 되는 비영리 도메인 등록기관이 있으면 좋겠음

    • davnicwil: 도메인 등록이 주 수익원이 아니라 다른 사업을 유치하기 위한 대기업 등록기관을 쓰라는 조언이 합리적으로 들림. 모든 문제를 해결하진 못해도 사모펀드 인수처럼 예상치 못한 새 문제가 생길 위험을 크게 줄여줌
      도메인 자체가 수익원이라면 경쟁 시장에서 추가 매출을 짜낼 유인이 생기고, 평판까지 중요하지 않다면 올바르게 행동할 이유가 거의 없음
    • ajb: 소송이나 정치적 압력에 굴복하지 않을 만큼 큰 곳이어야 함. 소규모 기술자 중심 업체가 강한 압박에 굴복하더라도 탓하기 어려움
      일정 수준 이상으로 중요한 도메인은 자체 등록기관을 둔 로펌 같은 곳이 필요하지만, 아마 “가격 문의”가 필요한 고가 영역일 것임. Amazon과 Google조차 자체 등록기관이 있으면서 Google.com이나 Amazon.com 같은 핵심 도메인에는 쓰지 않음
    • AussieWog93: 호주의 VentraIP를 10년째 쓰고 있음. 특별히 더 낫거나 나쁘진 않지만 Melbourne에 있어 최악의 경우 직접 찾아가 이야기할 수 있다는 장점이 있음. Stripe 문제를 겪은 뒤 결제 업체도 같은 기준으로 선택함

  • Adachi91: 2년 전 자동 갱신 실패로 Namecheap을 떠났음. 자동 갱신을 켰는데도 갱신되지 않았고, 도메인은 광고투성이 페이지로 바뀌었으며 이전도 잠겼음
    ICANN에 신고하겠다고 한 뒤 주 등록기관인 Hover로 옮겼음. 더 비싸지만 수십 년간 문제가 없었고, 2000년대 중반 기존 등록기관이 폐업했을 때도 Hover가 도메인을 인수해줬음

  • happytoexplain: 몇 주 전 Namecheap에서 Porkbun으로 옮겼음. 광고가 아니라 인기 등록기관을 검색해 고른 것뿐이며, 이는 Namecheap이 GoDaddy처럼 변하고 있다는 방증임
    높은 가격과 비윤리적 데이터 관행 같은 단기 전략으로 기울고 있으니 즉시 떠나는 편이 좋음. 이상함을 감지하기 몇 주 전 사모펀드에 인수됐다니 우연으로 보이지 않으며, 미국에서는 이런 인수를 법적으로 막아야 한다고 봄

    • rickydroll: 사모펀드 때문에 Gandi에서 도망쳤는데 벌써 또 등록기관을 바꿔야 하는지 답답함. 몇 년이라도 서비스 악화를 사업 모델로 삼지 않을 곳이 어디인지 모르겠고, 사람들이 기술업계를 떠나 염소를 키우려는 것도 이해됨
    • dgudkov: Porkbun에도 똑같은 일이 생기지 않으리라는 보장은 없음

  • ryandrake: 전화로 그럴듯하게 말하는 것만으로 장악할 수 있는 가장 유명하고 가치 있는 도메인이 무엇인지 궁금해짐. 웹사이트 로그인에는 “보안 강화”를 이유로 이메일 확인까지 강요하면서, 이 업체는 정중하게 요청만 하면 도메인을 넘겨주는 듯함

    • nkrisc: 쉽더라도 많은 나라에서 불법일 가능성이 큼. 저지르기 쉬운 범죄도 여전히 범죄이니 가정으로만 남겨두는 편이 좋음
    • jacobgkau: 일반인은 모르는 법률이라도 큰 표적은 이를 활용할 수 있으며, 민사소송을 당할 수도 있으니 조심해야 함

  • geuis: Namecheap은 유효한 모든 도메인에 도메인 개인정보 보호를 무료로 기본 제공함. 이를 켰다면 대학 동아리 측이 이메일 주소를 보고 비밀번호 재설정을 시작하지 못했을 것임
    고객지원과 회사 정책의 잘못을 변호할 수는 없지만, 오랫동안 만족스럽게 사용해 왔기에 다른 댓글만 보고 성급히 이전하지 말고 직접 실사하길 권함. 부정적 평가에는 실제 피해자뿐 아니라 부당하게 피해를 봤다고 느끼는 사람도 더 적극적으로 참여하는 경향이 있음

    • paxys: 도메인 개인정보 보호는 공개 기록에서 이메일을 숨길 뿐인데 무슨 관련이 있는지 모르겠음. 공격자가 이미 이메일을 알았다면 소용없으며, 이메일 주소는 공개적으로 공유하기 위한 정보이지 비밀번호가 아님
    • Thrashed: 도메인 개인정보 보호를 활성화해 둔 상태였음. Namecheap은 사용자명, 이메일 주소, 도메인 이름 중 하나만으로 비밀번호 재설정을 시작할 수 있음
      이 사건 전까지 만족스러운 고객이었으며, 등록기관처럼 중요한 서비스를 고를 때 실사가 필수라는 데는 동의함
    • turpentine: https://bsky.app/profile/neocities.org/post/3mnkqgxostk2k의 최근 사건도 도메인 등록기관으로서는 용납할 수 없는 부실 처리임. 사모펀드가 인력 감축과 해외 외주화를 진행했다면 설명은 되지만, 인수되지 않았더라도 변명의 여지가 없음
      어떻게 발생했고 무엇을 고칠지 공개적으로 답하지조차 않았음

  • dalmo3: 소규모 지역 등록기관에서 똑같은 일을 겪었음. 여러 고객을 관리하던 계정에서 한 고객사의 “IT 담당자”가 DNS 변경을 요청하자, 등록기관이 계정 전체 권한을 넘기고 비밀번호까지 바꿔 나를 잠가버렸음
    접근 권한을 되찾자마자 모든 도메인을 다른 곳으로 옮겼음

    • sixtyj: 업체 이름을 공개해야 함. 이런 행태는 용납할 수 없으며 정책을 바꾸지 않는 업체는 퇴출돼야 함
    • preg_match: 도메인판 SIM 스와핑·번호 이동 공격과 같음. 통신사도 결국 해결했으며, 지금은 해당 공격 경로가 사실상 막혔으니 다른 업계도 기술적으로 방지할 수 있음

  • addaon: 이름부터 NameCompetent는 아니었음

    • Retr0id: 요즘은 저렴하지도 않음. 게을러서 계속 쓰고 있지만 정말 옮겨야 함

  • prmph: Namecheap에서 도메인을 보유하지 않는 편이 좋음. 반대 방향이지만 역시 나쁜 일을 겪었는데, 2단계 인증에 쓰던 휴대전화를 잃었다는 이유만으로 도메인들을 잃었음
    요청한 정보를 모두 제공했지만 답변까지 1년 넘게 걸렸고, 그때는 이미 유지할 마음이 사라졌음. 다행히 사업을 구상하며 사둔 비핵심 도메인이었고, 이제 Cloudflare로 이전 중임

  • petecooper: Porkbun을 추천함. Porkbun이 지원하지 않는 최상위 도메인이 필요할 때는 tld-list.com에서 등록기관을 비교함

  • richardchilders: Namecheap에 로그인하고 카드 정보까지 제공했는데, 결제 단계에서 갑자기 Link 계정 생성과 카드 정보 재입력을 강요했음. Namecheap이 왜 정보를 수집했고 어떻게 쓸지 의문이 남음
    Link는 위치를 알 수 있도록 SMS 인증까지 요구함. 24시간도 지나지 않은 일이라 등록기관 교체를 검토 중이며, 가상의 비영리 DNS 도메인 서비스 CTO나 CEO 후보로 Paul Vixie를 추천함. 추가 정보: uggcf://fnynanir-ehalba.bet/ureovr.ugzy

    • Walf: Link는 Stripe의 결제 처리 서비스임. https://stripe.com/payments/link
      최근 온라인에서 결제했고 결제정보 수집 주체가 명확하지 않거나 자체 결제 화면처럼 보였다면 Stripe를 썼을 가능성이 큼
    • Cider9986: 전통 금융의 온라인 결제가 감시 지옥이라 Monero로 도메인을 구매할 수 있는 서비스도 많음
    • assimpleaspossi: 지난 2월쯤 도메인을 갱신할 때는 그러지 않았는데, 언제부터 시작된 것인지 궁금함

  • dvdyzag: 불안하게 웃게 됨. 2022년의 이전 논의는 https://news.ycombinator.com/item?id=32638028에 있으며, 포상금 관련 내용 같지만 원문은 사라졌음

  • paxys: 초지능 AI도 당연히 걱정스럽지만, 디지털 인프라에서 가장 큰 공격 경로는 여전히 사회공학임. 고객지원 비용을 계속 줄이면서 상황은 더 악화되고 있음
    저임금 해외 콜센터 직원은 실제 도메인 소유자보다 통화를 빨리 끝내고 만족도 별 5개를 받는 데 관심이 큼. 이 때문에 SMS 기반 2단계 인증을 강요하는 서비스에서 떠나고 있으며 최근에는 은행까지 바꿨음

    • preg_match: 사회공학 공격도 기술적 수단으로 막을 수 있음. SIM 잠금과 번호 이동 잠금을 켜면 SIM 스와핑이나 번호 이동을 사회공학으로 시도해도 통하지 않음
      5년 전 미국에서 흔했던 공격이 지금은 사실상 사라졌듯, 고객지원 직원이 보안을 깨뜨릴 수 없도록 만들어야 함. 열쇠를 금고에 넣고 가시와 5일 대기시간으로 둘러싸야 함
    • Georgelemental: 초지능 AI도 사회공학에 매우 능숙해지고 있음. 대표적으로 음성 복제 사기가 있음
    • ethin: 이론적인 초지능 AI보다 사회공학 공격이 훨씬 더 걱정됨. 둘 중에는 사회공학이 훨씬 심각하다고 봄

  • newsomix9xl: 정중하게 요청하는 것도 사회공학의 한 형태임. 휴가 중인 수석부사장을 사칭해 긴급 변경을 요구하는 Mitnick급 수법은 아니더라도, 사회공학의 핵심은 인간의 협조를 악용하는 것이며 그 협조를 얻는 방법은 엄격히 정해져 있지 않음

  • thegrim33: 우크라이나 전쟁이 시작되자 러시아 주소가 연결된 개인과 기업 고객의 서비스를 모두 종료했던 바로 그 Namecheap임. 아직도 쓰고 있다면 그 선택에 따른 책임도 감수해야 함

  • n8n_and_coffee: 갱신 전에 GoDaddy에서 Namecheap으로 천천히 이전 중이었는데 실망스러움. 가격 차이가 크고 GoDaddy가 유료로 파는 기능도 Namecheap은 무료라서 선택했는데, 저렴한 데는 이유가 있었던 듯함
    도메인이 이전 등을 막는 잠금 상태였는지 궁금함

    • Thrashed: 도메인은 잠겨 있었고 이전된 것도 아님. 도메인을 소유한 Namecheap 계정 자체가 넘겨진 것임
      GoDaddy가 SOPA를 지지했던 2013년에 나도 GoDaddy에서 Namecheap으로 옮겼음
    • system2: 가격이 중요하다면 Cloudflare 등록 비용은 10달러뿐임

  • hmokiguess: 인간이 가장 약한 고리이며, 저임금 해외 콜센터에서 벌어진 일이어도 놀랍지 않음. 다만 취약점이라기보다 인간을 공격 경로로 삼고 신원 도용을 악용한 사회공학 공격임

  • Georgelemental: Gaza 집단학살의 증거를 공개했다는 이유로 Databases for Palestine의 도메인을 빼앗았을 때 Namecheap을 떠났음. 이 업체에 돈을 줄 가치가 없음: https://www.thecanary.co/skwawkbox/2026/01/03/namecheap-gaza...

    • velcrohn: Gaza 인구는 1948년부터 증가했고, Hamas의 공격 전에는 수만 명이 Israel에서 일하거나 병원 치료를 받았음. 전쟁 중에도 Israel은 간헐적 중단은 있었지만 식량·전력·물·연료·의약품을 제공했고, 아동 예방접종을 위한 휴전과 공격 전 민간인 경고도 시행했음
      민간인 수만 명이 숨진 것은 사실이지만 Hamas 전투원은 군복을 입지 않고 병원·모스크·학교·주거지 주변과 지하에 군사시설을 배치했으며, Gaza 당국도 군인과 민간인 사망자를 구분하지 않았음. 500km의 터널이 있으면서 민간인을 들이지 않은 책임도 있음
      격렬한 시가전에서 민간인이 대규모로 사망한 것은 전쟁이며, 집단학살과는 다른 현상이므로 둘을 혼동하고 있다고 봄

  • xyst: Namecheap은 2025년 9월 CVC Capital Partners에 과반 지분이 인수됐고 기업가치는 15억 달러로 평가됐으며, Kirkendall은 2025년 12월 16일 CEO에서 물러났음
    그전에도 사건이 많았기에 몇 년 전 모든 도메인을 Porkbun으로 옮겼음

  • userbinator: 게시자의 계정은 작성 시점에 생성된 지 3시간뿐이고, 다른 댓글에서는 같은 경쟁사가 여러 번 등장함. 어떻게 해석할지는 각자의 몫임

    • happytoexplain: 피해를 호소하려고 새 계정을 만드는 것은 자연스럽고, 사모펀드에 인수된 등록기관이 서서히 악화되는 것도 흔함. Porkbun은 이 글과 무관하게 명백히 다음으로 인기 있는 선택지임
      Porkbun도 다음 악화 대상이 될 수 있다는 말까지 나왔는데, 홍보꾼이라면 하기 어려운 말임. 이 경우 광고 의혹은 합리적이지 않음
    • squigz: 이렇게 심각한 이야기가 사실일 리 없다거나 빠진 내용이 무엇인지 묻는 반응이 일부라도 있을 줄 알았는데, 공동체의 반응이 예상과 달라 흥미로움

  • captn3m0: Namecheap 측 버그로 내 주 도메인도 정지됐음: https://captnemo.in/blog/2026/05/05/namecheap-whois/
    Namecheap이 .in 등록소에서 허용하지 않는 Domain Privacy를 설정한 뒤, WHOIS 정보가 가려졌다는 이유로 도메인을 정지했음. 같은 피해를 본 사람을 몇 명 더 알고 있음

  • sandeepkd: 구체적인 정보가 없어 어떤 근거로 결정했는지 알기 어려움. 추측하자면 콘텐츠를 호스팅하는 웹서버 제어권을 보여 도메인 소유권을 증명했을 수 있음
    사회공학이라고 볼 수도 있지만 도메인 콘텐츠 제어권을 확인한 계정 복구로 분류할 여지도 있음. 다만 계정에 신용카드가 연결돼 있었다면 재앙적인 처리임

    • maxgashkov: 웹서버 제어권으로 도메인 소유권을 증명해서는 안 됨. 서버가 침해돼 백업 서버로 DNS를 돌려야 하는 상황에서, 공격자가 장악한 서버에 임의 파일을 올릴 수 있다는 이유로 등록기관이 소유권을 인정하면 보안 참사가 됨

  • jacobgkau: 우크라이나 전쟁을 이유로 러시아 사용자를 모두 내보냈을 때 Namecheap을 신뢰하지 않게 됐음. 이전을 허용했으므로 ICANN 규정 위반은 아니지만, 제재 대상이 아닌 개인과 소기업에까지 적용한 것은 취지에 어긋나 보였음
    일부 특수 최상위 도메인은 Hover보다 훨씬 저렴해 잠시 남겨뒀지만, 이제 Porkbun이 쓰는 모든 도메인에서 더 저렴해 지난 1년간 전부 이전했음

    • slig: 이 사건도 있음: https://news.ycombinator.com/item?id=30506581
    • bellowsgulch: 나도 그 결정이 싫다고 했지만, 기반 서비스 업체가 정치에 개입하길 원하지 않는다고 말했다가 많은 반대표를 받았음

  • superkuh: 이번 주 Namecheap에서 프로필 정보를 갱신하지 않으면 24시간 안에 계정을 폐쇄하겠다는 이메일을 받았음. 정작 계정을 잠가 직접 로그인할 수 없게 만들었음
    WHOIS 정보는 법적으로 완전히 적합했고 프로필도 갱신할 의사가 있었지만, 이메일 답변은 기한이 1시간밖에 남지 않았을 때 도착했음. 계정과 도메인은 살렸지만 악화 속도가 빨라지고 있어 다른 등록기관으로 옮길 예정임

    • ramgine: 같은 이메일을 대충 읽고 넘겼는데 다시 확인한 뒤 이전해야겠음
    • iAMkenough: 직접 요구사항을 처리하지 못하도록 계정을 잠그면서 24시간만 주는 것은 터무니없이 짧음. 이메일이 스팸으로 분류되거나 일주일에 몇 번만 확인하는 주소라면 대응할 수 없음
      조사한 뒤 개인 도메인을 옮길 예정임
    • jddj: 실제 회사의 안내라기보다 피싱 시도처럼 들림. 아직 도메인 하나가 남아 있고 이런 이메일은 받지 않았지만, 옮겨야 한다는 좋은 알림이 됨

  • system2: 중요한 도메인을 Namecheap에 두고 있는데 Porkbun과 Cloudflare 중 어디로 옮길지 고민됨. Cloudflare는 10달러짜리 도메인에 제대로 지원해주지 않을 만큼 대기업 같아 보여 저렴한 일회성 도메인에만 쓰고, 중요한 도메인은 두 배 가격이어도 Namecheap에 뒀음
    GoDaddy를 제외하고 실질적인 고객지원이 있는 미국 업체를 원함

    • happytoexplain: 현재는 Porkbun이 가장 적절한 선택으로 보임. 1년 뒤든 10년 뒤든 달라질 수 있지만, 21세기 기업 서비스는 원래 이런 식임
    • jacobgkau: Porkbun 고객지원과 일대일로 연락한 적이 있음. PayPal 결제가 실패해 문의했더니 약 1시간 30분 뒤 실제 직원으로 보이는 사람이 문제를 해결했다고 답했음
    • assimpleaspossi: 이 글을 보지 않았어도 이전을 고려했을지 생각해볼 필요가 있음. 최소 16년간 Namecheap을 쓰면서 불만을 처음 접했고 직접 겪은 문제도 없기에, 전체 이야기를 의심해볼 만함

  • OutOfHere: 계정에 2단계 인증이 활성화됐는지 밝혀지지 않았으므로 꺼져 있었다고 가정함

    • mook: 고객지원이 관리 권한으로 계정을 넘긴 사건이라면 2단계 인증이 왜 관련 있는지 모르겠음. 계정이 해킹됐다는 정황은 없으므로 인증 요청이 등장할 단계 자체가 없었을 것임
    • john_strinlai: 고객지원이 시작한 재설정과 이전은 2단계 인증을 우회함

  • phendrenad2: Namecheap 관련 사건은 HN에 꾸준히 올라옴: https://hn.algolia.com/?dateRange=all&page=0&prefix=true&que...

  • terminalbraid: Porkbun은 정말 괜찮음

  • bellowsgulch: 업무용 도메인을 Porkbun이라는 소기업으로 옮기지는 않을 생각임

  • ButlerianJihad: 이야기의 빈틈을 보면 동아리 임원이나 회원도 아니고 대학과도 관계없으며, 도메인은 실제 사용되지 않고 보관만 돼 있었던 듯함. 대학 소속 동아리의 정당한 임원진이 인터넷상의 동아리 이름에 대한 권리를 증명했고 Namecheap이 마지막 결제 카드 소유자보다 그들에게 제어권을 넘긴 것으로 보임
    개인 계정으로 보유했다면 Namecheap은 누가 정당한 소유자인지 판단할 자료가 있었을 수 있음. 동아리 자산은 개인이 직접 결제할 게 아니라 회계 담당자와 동아리 계정으로 구매하고, 돕고 싶다면 동아리나 대학에 기부했어야 함. 이제 잘못이 바로잡힌 듯함

    • kstrauser: 말도 안 됨. 분쟁을 판단하는 법적 절차가 따로 있으며, 그 절차 없이는 현재 점유자가 소유자로 취급돼야 혼란을 피할 수 있음
      “Google Foods”를 소유했다는 그럴듯한 문서를 만든다고 등록기관이 google.com을 넘겨서는 안 됨. 소유권을 주장하려면 법원에서 정당한 소유자임을 입증하고 이전 명령을 받아야 하며, 실패하면 Google이 계속 보유하는 것이 유일하게 정상적인 방식임

  • assimpleaspossi: 댓글을 훑는 동안 생각해보니 얼마나 오래됐는지도 기억나지 않을 만큼 Namecheap을 썼지만 아무 문제도 없었음

    • dessimus: 도메인을 공개하면 며칠 뒤에도 그런지 확인해볼 수 있음
    • happytoexplain: 나쁜 일이 없었다는 이야기는 가능한 일화 중 설득력이 가장 약함

  • linsomniac: Cloudflare에도 장단점은 있지만 도메인을 원가로 등록해 줌. 예를 들어 .com은 첫해만 할인하고 이후 올리는 방식이 아니라 매년 10.46달러임

    • foresto: Cloudflare는 웹의 중개자이자 문지기, 단일 감시 지점, 개방형 인터넷의 적이 됐음. 더 많은 사업을 몰아주면 문제가 악화될 뿐이므로 사양함
    • sigio: 문제는 DNS 호스팅까지 Cloudflare 사용을 강제한다는 것임
답변달기