如果你的域名注册商客服，仅凭一个电话就把你的账号密码和绑定邮箱改给一个陌生人，你会怎么办？一位 Namecheap 的 13 年老用户在 Hacker News 上讲述了自己的遭遇：这件事真的发生了，而且对方甚至没有「社会工程」的技巧可言——只是「礼貌地开口要」而已。帖子两小时内冲上 300+ 赞。
事件经过：一次换届引发的账号易主
发帖人 Thrashed 一直帮大学时期的社团代付一个 .com 域名的费用，域名注册在他本人名下（姓名、地址、电话都是他的）。最近社团换届，新任负责人想修改 DNS，却不知道该联系他。对方查到域名停在 Namecheap 后，用域名发起了密码重置。
作者收到重置邮件后立即提交工单声明「这不是我发起的」，Namecheap 还专门打电话向他本人核实，随后发了一封模板邮件，建议他「查查杀毒软件」之类的安全贴士。到这里，一切看起来还算正常。
然而，那位新负责人没有放弃，直接致电 Namecheap 客服，说服对方相信「这个注册在别人名下的域名其实属于他的社团」。在没有任何验证的情况下，Namecheap 重置了他的密码，并修改了账号绑定的邮箱。
他们明明有能力拿起电话打给我核实（此前核实工单时就打过），但当别人打电话来说「我真的很想要那个账号的访问权」时，他们就不打了？我甚至不愿把这叫做社会工程——这显然是一个巨大的漏洞。
结局与代价
幸运的是，中间有人向新负责人告知了作者的身份，双方取得联系后顺利完成了域名转移——作者本就乐意把域名给社团（学生社团人员流动大，域名很容易断续费被抢注，这也是他一直代缴的原因）。但 Namecheap 对此一无所知：在它眼中，这就是一个普通个人账号被陌生人仅凭口头说辞接管。作者随即把自己最重要的十几个域名迁出了 Namecheap。
社区反响：不是个例，而是模式
评论区很快变成了 Namecheap 用户的「比惨大会」和迁移经验交流会：
我也是差不多年限的老用户。这周他们突然发邮件要求更新资料，否则 24 小时内封号，而且直接锁了我的账号。
几周前我刚从 Namecheap 迁到 Porkbun。这不是广告——我只是搜了下主流注册商。但这是对 Namecheap 的控诉：他们正在走 GoDaddy 的老路。请立即迁走。
有用户指出更深层的原因：Namecheap 几个月前已被一家私募股权基金收购。也有人分享了几乎 identical 的经历——小注册商把管理多个客户的整个账号交给了一个自称「IT 负责人」的陌生人。
域名该放在哪：一个反直觉的建议
讨论中最有价值的观点来自对企业注册商行为的分析：连 Google 和亚马逊这样的巨头，都不会把 google.com、amazon.com 这样的核心域名放在自家注册业务里，而是选择「律所级」的专业注册服务。背后的逻辑是：如果域名本身就是注册商的利润中心，那么在竞争如此激烈的市场里，「做正确的事」永远不会被纳入 incremental revenue 的考量。
反过来，把域名放在域名并非其利润中心的大公司（域名业务甚至可以亏损，用来带动其他业务），反而能消除大量激励错位带来的风险——包括被私募股权收购后服务崩坏这类「新型风险」。对企业用户而言，关键域名的正确选择可能是那些「打电话来询价」级别的专业注册服务，配合注册商锁（registry lock）等防社工机制。
对个人用户，这个事件的教训更直接：开启一切可用的账户锁定与二次验证，关键域名不要放在客服一个电话就能改绑的平台，并且——定期演练一下「如果有人打电话冒充我」的场景。
原文链接
Tell HN: Namecheap gave my account to an unverified third party
HN 讨论（news.ycombinator.com）