2026年7月24日、Hacker Newsに不気味な投稿が現れた。タイトルは率直そのものだ。「Tell HN: Namecheap gave my account to an unverified third party（Namecheapが私のアカウントを未確認の第三者に渡した）」。
投稿者はThrashedと名乗っている。彼はNamecheapを13年間使い続けてきたという。この13年の間、彼は大学のサークルを助けるために、ある.comドメインの代金を支払い続けてきた——ドメインは彼個人の名前、住所、電話番号で登録されていた。
これは善意の助けだった。学生サークルはメンバーの入れ替わりが激しく、うっかり更新を忘れればドメインはスクワッターに奪われる。だから彼が自費で更新し続けていたのだ。
ところがある日、サークルの役員交代が起きた。
新しく就任したサークル責任者はDNS設定を変更したかったが、ドメインを誰が管理しているのかわからなかった。ドメインがNamecheapにあることを突き止め、ドメイン名を使ってパスワードリセットを試みた。Thrashedはリセットメールを受け取り、すぐにNamecheapのサポートチケットを送った。「私はこれを開始していません」。
Namecheapのサポートは確かに折り返し電話をくれた——Thrashed本人がチケットを送った本人であることを確認し、その後に「ウイルス対策ソフトを確認してください」といったテンプレートメールを送ってきた。
ここまではまだ正常だった。
しかし次に起こったことこそ、本当に背筋が寒くなる話である。
ThrashedがHacker Newsに投稿した記事。301の賛成票と105のコメントを集めた。記事執筆時点で、多数のユーザーがドメインの移管を進めていると報告している。
1本の電話、1つのアカウント
新しいサークル責任者は諦めなかった。彼は直接Namecheapのサポート電話に電話をかけた。
電話で、彼はサポート担当者を説得した。このドメインは他人の名義で登録されているが、実際には自分たちのサークルに属しているものだと。
そしてNamecheapは、誰もが目を疑う行動に出た——
折り返し確認も、追加の本人確認もなく、「相手の言い分がもっともらしかった」という理由だけで、NamecheapはThrashedのアカウントパスワードを変更し、アカウントに関連付けられたメールアドレスまで変更した。
そう、あなたの読み間違いではない。パスワードを変更しただけでなく、メールアドレスまで変更したのだ。
これが何を意味するか。Thrashedは仮に新しいパスワードを知っていてもログインできない。リセットリンクが新しいメールアドレスに送られるからだ。彼のアカウントは完全に手中から奪われた——Namecheapは彼に確認の電話すらしなかった。
「Namecheapには電話をかける能力がある（以前にかけてきた）。」とThrashedは書いている。「しかし、誰かが電話をかけてきて『このアカウントが本当に欲しいんです』と言っただけで、確認すらしなかった？」
彼は、多くの読者が背筋を凍らせる一文を付け加えている。「これをソーシャルエンジニアリングと呼ぶのもためらわれる。これは明らかに巨大な脆弱性だ。Namecheapのアカウントを第三者に完全に乗っ取られるのは、ただ丁寧に頼むだけでいい——それほど簡単なことだ。」
詐欺師より簡単に欺かれるカスタマーサポート
この出来事を分解してみよう。
Namecheapのセキュリティ機構は、最も致命的な瞬間に機能しなかった。
まず、Thrashedがパスワードリセットのチケットを送ったとき、Namecheapは確かに折り返し電話で確認を取った。この点から、同社には折り返し確認のプロセスが存在することがわかる。
しかし「攻撃者」（このケースでは悪意のないサークル責任者だったが）が自ら電話をかけてきたとき、Namecheapにはアカウント登録時の電話番号に折り返し確認をするというプロセスがなかった。サポート担当者は電話での「説得」だけで操作を完了してしまった。
これは体系的な問題を露呈している。Namecheapのセキュリティ検証プロセスは一方向である——「誰がチケットを送ったか」は確認しても、「誰が電話をかけてきたか」は確認しない。
言い換えれば、Namecheapのセキュリティは、片側だけに鍵のかかったドアのようなものだ。
- 内側から外側に押す：検証が必要（折り返し確認）
- 外側から内側に押す：検証不要（誰でも言い分次第）
この非対称なセキュリティ設計により、防御システム全体が形骸化している。
さらに不安をかき立てるのは、Namecheapがパスワードだけでなく、関連付けられたメールアドレスも変更した点だ。つまり、たとえアカウントに二段階認証（2FA）が有効だったとしても、この攻撃を防げなかった可能性が高い——新しいメールアドレスを掌握されればパスワードリセットのプロセスを完全に制御され、2FAはむしろ元の所有者がアカウントを回復する際の障壁になり得るからだ。
コメント欄でThrashedは2FAを有効にしていたかと聞かれ、「有効にしていたが、この状況でどれだけ役立つかはわからない」と答えた。
ドメインがパスワードよりはるかに価値がある理由
ここで、一般のユーザーにはあまり知られていない事実を説明したい。あなたのドメインは、パスワードよりもはるかに価値がある。
あなたは何十ものアカウントを持っているかもしれない——微信、支付宝、微博、抖音——それぞれパスワードで保護されている。そのうちの一つが盗まれても、そのプラットフォーム上のものだけが失われる。パスワードを変更し、サポートに連絡すれば、おそらく取り戻せる。
しかしドメインは違う。
ドメインは、あなたのすべてのデジタル資産の「マスターキー」である。もしあなたが example.com を所有しているなら：
- すべてのメールアドレス（[email protected]）はその支配下にある
- ウェブサイト上のすべてのコンテンツはその支配下にある
- 他人があなたを見つけるためのすべての入り口はその支配下にある
一度ドメインを奪われれば、相手は以下のことを自由に行える。
- あなたのメールをすべて自分のサーバーに向ける
- あなたのメールを使って、すべてのプラットフォームのパスワードをリセットする
- あなたのウェブサイトをフィッシングページに転送する
- あなたのドメインを他人に売り飛ばす
言い換えれば、ドメインの制御権を失うことは、デジタルアイデンティティ全体を失うことと同義である。
だからこそ、ドメインレジストラのセキュリティ要件は銀行よりも厳格であるべきなのだ——しかし現実はしばしば逆である。
誰の責任か？セキュリティチェーンの3つの断裂点
第一の環：カスタマーサポート研修の不足
Namecheapのサポート担当者は、「アカウント乗っ取り防御」の研修をまったく受けていないようだ。彼らは、見知らぬ第三者が1本の電話で説得しただけで、アカウントのパスワードとメールアドレスを変更してしまった。これは、Namecheapの標準操作手順（SOP）に「第三者によるアカウント乗っ取り要求」の処理規範が存在しないことを示している。
責任あるドメインレジストラには、鉄則が一つあるべきだ。電話でアカウントの core 情報（パスワード、メールアドレス）の変更を要求する場合、サポートはアカウント登録時の電話番号に折り返し確認をしなければならない。
これは最も基本的な防御線である。Namecheapにはそれがなかった。
第二の環：システム設計の欠陥
Thrashedが指摘したように、Namecheapのパスワードリセットページでは「ドメイン名」を使ってリセットを開始できる——ユーザー名も、メールアドレスも、アカウント所有者だけが知る情報も必要としない。これは、金庫のダイヤルに「暗証番号がわからなければ、金庫の番号を言ってください」と書いてあるようなものだ。
コメント欄のユーザーは、NamecheapはWhoisプライバシー保護（ドメイン登録情報の非公開化）を提供しているが、このシナリオではまったく無意味だと指摘している——攻撃者はWhoisを調べる必要がなく、ドメイン名を知っていればリセットを開始できるからだ。
つまり、Namecheapのパスワードリセットロジックそのものが安全ではないのである。
第三の環：買収後の連鎖反応
複数のコメント投稿者が重要な背景を指摘している。2025年9月、プライベートエクイティ企業CVC Capital Partnersが15億ドルの評価額でNamecheapの過半数株式を取得した。創業者兼CEOは2025年12月に退任している。
プライベートエクイティの論理は単純だ。利益を最大化し、セキュリティはコストである。セキュリティ予算を削減しても短期的には問題は起きない——問題が起きるまでは。
なぜ一般ユーザーが最も深刻な被害を受けるのか？
この事件には微妙なディテールがある。Thrashedはそもそも「良い人」だった。彼はドメインを代わりに管理し、自費で更新し続け、純粋にサークルを助けるためにやっていた。最終的にはドメインを新しいサークルに譲るつもりだった。しかしNamecheapはそれを知る由もない——同社のシステムにおいて、Thrashedは13年間請求書を支払い続けてきた忠実なユーザーにすぎない。誰かが電話をかけてきてアカウントの引き継ぎを求めたとき、Namecheapは電話をかけてきた方を信じたのだ。
コメント欄のあるユーザーはこう書いている。「サポート担当者は第三世界の賃金で働いていて、誰がドメインの本当の所有者かなんて気にしない。彼らはただ早く電話を切って、5つ星の評価をもらいたいだけだ。」
これこそが最も核心的な問題である。サポート担当者の評価指標が「解決率」と「通話時間」であり、「セキュリティ」ではないとき、「電話してきた相手を満足させること」が唯一の目標になる。
ドメインの「引っ越しラッシュ」
記事執筆時点で、Thrashedの投稿はHacker Newsで301の賛成票と105のコメントを獲得している。コメント欄には同様の経験談が溢れている。
- あるユーザーは、システムのバグで未対応のWhoisプライバシー保護が有効になったため、ドメインが誤って停止されたと報告
- 別のユーザーは、2FAを設定したスマートフォンを紛失しただけでNamecheapでドメインを失ったと報告
- また別のユーザーは、支払い時に強制的にサードパーティの決済プラットフォームLinkにリダイレクトされ、登録とSMS認証を要求されたと報告
多数のユーザーがドメインの移管を進めていると報告している。Cloudflareが最も人気の移行先となっている——同社は原価に近い価格でドメイン登録を提供し（.comドメインは年間わずか10.46ドル）、セキュリティ面での評判も良い。Porkbun、NearlyFreeSpeech、Dynadotも頻繁に名前が挙がっている。
しかし冷静な声もある。あるユーザーは注意を促す。「Cloudflareには現在、ネームサーバーを変更できないという制限がある。CloudflareのDNSを使わなければならない。つまり、あなたは支配権を失うことになる。」
さらに別のユーザーは、より深い問題を提起している。「非営利のドメインレジストラが必要だ。そうすれば数年ごとに引っ越しをしなくて済む。」
しかし現実には、ドメイン登録業界自体が低利益・高責任のビジネスである。GoogleはGoogle Domainsを閉鎖し（Squarespaceに売却）、Cloudflareはエコシステムの付属品としてしか扱っていない。本当にドメイン登録に特化した企業は、最終的にプライベートエクイティに買収されるか、価格を上げざるを得なくなる。
Hacker News上での本件の議論では、複数のユーザーが同様のセキュリティ問題を報告し、移行先の検討を始めている。
私たちにできること
この記事の目的は、Namecheapを糾弾することではない——確かに批判されるべきだが——筆者が言いたいのはもっと別のことだ。ドメインのセキュリティを、ドメインレジストラの良心に頼ってはいけない。
以下は、現行の体制下でできることである。
1. ドメインを代理管理しない
もし他人のためにドメインを管理しているなら、早急に正式に移管しよう。代理管理の関係は法律的に曖昧で、セキュリティ的に脆弱である。
2. 二段階認証を有効にする
2FAは依然としてパスワード漏洩に対する最も有効な防御線である。ハードウェアキーやTOTPアプリを優先的に使い、SMS認証コードは避けること。
3. レジストリロックを利用する
Registry Lockは現在最も強力なドメイン保護措置である。変更には追加のオフライン検証が必要になる。重要なドメインにはこの費用を払う価値がある。
4. レジストラを選ぶ際はセキュリティ評判を確認する
サポートの確認プロセス、セキュリティインシデントの履歴、プライベートエクイティによる買収の有無などをチェックしよう。
5. ドメイン登録には専用メールアドレスを使う
ドメインのメールアドレスでドメインアカウントを登録してはいけない。万一ドメインが乗っ取られた場合、アカウントを取り戻す道が完全に閉ざされる。
エピローグ
Thrashedは最後にこう書いている。彼は最終的に新しいサークル責任者と連絡が取れ、双方合意の上で問題を解決した。ドメインは正式にサークル名義に移管された。「私はもともと喜んでドメインを彼らに渡すつもりでした」と彼は言う。「しかしNamecheapにはそれを知る方法がありませんでした。彼らの目には、これは私の個人アカウントだったのです。」
この言葉は、この事件全体の最も absurd な点を突いている。すべてを正しく行っていた人間（支払い、更新、2FAの有効化、適時のチケット送信）が、第三者からの1本の電話だけで、13年間使い続けたアカウントを失った。
これはソーシャルエンジニアリングの問題ではない。パスワードの強度の問題でもない。ユーザーのいかなる操作の問題でもない。
これは体系的なセキュリティの失敗であり——その代償を払うのは、レジストラに対するユーザーの信頼である。
参考リンク：
- HN 議論：Namecheap gave my account to an unverified third party (item?id=49028037)
- Namecheap 公式セキュリティ推奨事項：Two-Factor Authentication とアカウント保護
- Cloudflare ドメイン登録セキュリティベストプラクティス
- Namesilo ブログ：Social Engineering Bypasses Domain Locks
- dn.org レポート：2026年十大ドメインアカウント乗っ取り詐欺分析
