2026년 7월 24일, Hacker News에 불안감을 불러일으키는 글이 올라왔다. 제목은 직설적이었다: “Tell HN: Namecheap이 내 계정을 검증되지 않은 제3자에게 넘겼습니다.”
글쓴이는 Thrashed라는 가명을 사용했다. 그는 Namecheap을 무려 13년간 사용해왔다고 밝혔다. 13년 동안 그는 대학 동아리를 위해 .com 도메인을 대신 관리해왔다. 도메인은 그의 개인 명의로 등록되어 있었고, 그의 이름, 주소, 전화번호가 사용되었다.
원래는 선의의 도움이었다. 동아리는 인원 변동이 심해 한 번이라도 갱신을 놓치면 도메인을 스쿼터에게 빼앗길 수 있었기 때문에, Thrashed가 줄곧 자비로 갱신해왔다.
그런데 어느 날, 동아리 임원진이 교체되었다.
새로 선출된 동아리 책임자는 도메인의 DNS 설정을 변경하려 했지만, 누가 도메인을 관리하고 있는지 알 수 없었다. 도메인이 Namecheap에 등록되어 있다는 사실을 확인한 그는 ‘비밀번호 분실’ 기능을 통해 재설정을 요청했다. Thrashed는 재설정 이메일을 받고 즉시 티켓을 제출했다: “제가 요청한 게 아닙니다.”
Namecheap 고객센터는 실제로 전화를 걸어 확인했다. Thrashed에게 연락해 티켓을 제출한 본인이 맞는지 확인한 후, 백신 프로그램을 확인해보라는 템플릿 형태의 이메일을 보냈다.
여기까지는 정상적인 절차처럼 보였다.
하지만 그다음에 일어난 일이 진짜 소름 끼치는 부분이다.
Thrashed가 Hacker News에 올린 게시물. 301개의 추천과 105개의 댓글을 기록했다. 글을 쓰는 현재, 많은 사용자가 도메인을 이전 중이라고 밝혔다.
전화 한 통, 계정 하나
새 동아리 책임자는 포기하지 않았다. 그는 직접 Namecheap 고객센터에 전화를 걸었다.
전화 통화에서 그는 상담원을 설득했다: 이 도메인은 타인 명의로 등록되어 있지만, 실제로는 자기 동아리의 소유라는 것이다.
그리고 Namecheap은 모두를 경악하게 만드는 행동을 했다.
어떤 재확인 전화도, 어떤 추가 본인 확인도 없이, 단지 ‘상대방이 논리적으로 설명했다’는 이유만으로 Namecheap은 Thrashed의 계정 비밀번호를 변경하고, 계정에 연결된 이메일 주소까지 바꿔버렸다.
맞다, 제대로 읽은 것이다. 비밀번호를 변경하는 동시에 이메일도 함께 바꾼 것이다.
이것이 의미하는 바는 무엇인가? Thrashed는 설사 새 비밀번호를 알게 된다 해도 로그인할 수 없다. 재설정 링크가 새 이메일 주소로 발송되기 때문이다. 그의 계정은 완전히 빼앗긴 것이다. Namecheap은 그에게 확인 전화 한 통조차 걸지 않았다.
“Namecheap은 분명 나에게 전화할 능력이 있다(이전에 실제로 전화했었다),” Thrashed는 적었다. “그런데 다른 사람이 전화해서 ‘이 계정을 정말 원해요’라고 말하자, 그들은 확인조차 하지 않았다?”
그는 이 글을 읽는 많은 사람의 등골을 오싹하게 만드는 한마디를 덧붙였다: “이걸 사회 공학(social engineering)이라고 부르기도 민망하다. 이건 명백한 거대한 보안 취약점이다. 어떤 제3자라도 Namecheap 계정을 쉽게 탈취할 수 있다. 그냥 말을 잘 하면 된다.”
사기꾼보다도 쉽게 속는 고객센터 체계
이 사건을 하나씩 분석해보자.
Namecheap의 보안 메커니즘은 가장 중요한 고리에서 무너졌다.
먼저, Thrashed가 비밀번호 재설정 티켓을 제출했을 때 Namecheap은 실제로 다시 전화를 걸어 확인했다. 이는 그들에게 재확인 전화 절차가 존재한다는 뜻이다.
하지만 ‘공격자’(이 사례에서는 악의 없는 동아리 책임자)가 먼저 전화를 걸었을 때, Namecheap은 상담원이 계정 등록 시 기록된 전화번호로 다시 전화를 걸어 확인하는 절차를 전혀 가지고 있지 않았다. 상담원은 전화 통화에서 상대방의 ‘설득’만으로 작업을 수행했다.
이는 시스템적인 문제를 드러낸다: Namecheap의 보안 확인 절차는 단방향이다. ‘누가 티켓을 제출했는지’는 확인하지만, ‘누가 전화를 걸었는지’는 확인하지 않는다.
다시 말해, Namecheap의 보안 체계는 한쪽만 잠긴 문과 같다:
- 안에서 밖으로: 확인 필요(재확인 전화)
- 밖에서 안으로: 확인 불필요(누구나 말만 하면 된다)
이러한 비대칭적 보안 설계는 전체 방어 체계를 무의미하게 만든다.
더 불안한 점은 Namecheap이 비밀번호뿐만 아니라 연결된 이메일까지 변경했다는 것이다. 이는 계정에 2단계 인증(2FA)이 설정되어 있었다 하더라도 이번 공격을 막지 못했을 수 있음을 의미한다. 새 이메일을 장악한 사람이 비밀번호 재설정 절차를 통제할 수 있기 때문이다. 오히려 2FA는 계정이 탈취된 후 원소유자가 계정을 되찾는 데 장애물이 될 수 있다.
댓글에서 누군가 Thrashed에게 2FA를 활성화했는지 물었고, 그는 “활성화했지만, 이런 상황에서 얼마나 도움이 될지 모르겠다”고 답했다.
왜 도메인이 비밀번호보다 더 가치 있는가?
여기서 많은 일반 사용자가 잘 모르는 사실을 설명하고자 한다: 당신의 도메인은 당신의 비밀번호보다 훨씬 더 가치가 있다.
당신은 수십 개의 계정을 가지고 있을 수 있다. 위챗, 알리페이, 웨이보, 틱톡 등 각각 비밀번호로 보호되어 있다. 그중 하나가 도난당하면 최대한 그 플랫폼 안에서만 손해를 본다. 비밀번호를 바꾸고 고객센터에 연락하면 대부분 되찾을 수 있다.
하지만 도메인은 다르다.
도메인은 당신의 모든 디지털 자산의 ‘마스터 키’다. 만약 당신이 example.com을 소유하고 있다면:
- 당신의 모든 이메일([email protected])이 그것의 통제를 받는다
- 당신 웹사이트의 모든 콘텐츠가 그것의 통제를 받는다
- 사람들이 당신을 찾는 모든 경로가 그것의 통제를 받는다
일단 도메인을 빼앗기면, 상대방은:
- 당신의 이메일을 모두 자신의 서버로 리다이렉트할 수 있다
- 당신의 이메일로 모든 플랫폼의 비밀번호를 재설정할 수 있다
- 당신의 웹사이트를 피싱 페이지로 연결할 수 있다
- 당신의 도메인을 다른 사람에게 팔 수도 있다
다시 말해, 도메인 통제권 상실 ≈ 디지털 정체성 전체 상실이다.
이것이 바로 도메인 등록 기관의 보안 요구 수준이 은행보다 높아야 하는 이유다. 하지만 현실은 정반대인 경우가 많다.
누구의 책임인가? 보안 사슬의 세 가지 파손 지점
첫째: 상담원 교육 부족
Namecheap의 상담원은 ‘계정 탈취 방지’ 교육을 전혀 받지 않은 것으로 보인다. 그들은 낯선 사람의 전화 한 통에 설득되어 계정 비밀번호와 이메일을 직접 변경해주었다. 이는 Namecheap의 표준 운영 절차(SOP)에 ‘제3자의 계정 탈취 요청’에 대한 처리 규정 자체가 없음을 드러낸다.
책임 있는 도메인 등록 기관이라면 하나의 철칙이 있어야 한다: 전화로 계정 핵심 정보(비밀번호, 이메일) 변경을 요청하는 경우, 상담원은 반드시 계정 등록 시 기록된 전화번호로 다시 전화를 걸어 확인해야 한다.
이는 가장 기본적인 방어선이다. Namecheap에는 이 방어선이 없었다.
둘째: 시스템 설계 결함
Thrashed는 Namecheap의 비밀번호 재설정 페이지가 ‘도메인 이름’만으로 재설정을 요청할 수 있도록 허용한다고 지적했다. 사용자 이름도, 이메일도, 계정 소유자만 아는 어떤 정보도 필요하지 않다. 이는 마치 금고의 비밀번호 다이얼에 “비밀번호를 모르세요? 금고 번호만 말씀하세요”라고 적혀 있는 것과 같다.
댓글의 한 사용자는 Namecheap이 Whois 개인 정보 보호(도메인 등록 정보 숨김) 기능을 제공하지만, 이 시나리오에서는 전혀 소용이 없다고 지적했다. 공격자는 Whois를 조회할 필요조차 없다. 도메인 이름만 알면 재설정을 요청할 수 있기 때문이다.
이는 Namecheap의 비밀번호 재설정 로직 자체가 안전하지 않다는 것을 의미한다.
셋째: 인수 후 연쇄 반응
여러 댓글 작성자가 중요한 배경을 언급했다. 2025년 9월, 사모펀드 CVC Capital Partners가 15억 달러의 가치 평가로 Namecheap의 지분 대부분을 인수했다. 창업자 겸 CEO는 2025년 12월에 퇴임했다.
사모펀드의 논리는 간단하다: 수익성을 높이고, 보안은 비용이다. 보안 예산을 삭감해도 단기간에는 문제가 발생하지 않는다. 문제가 발생할 때까지는.
왜 일반 사용자가 가장 피해를 보는가?
이 사건에는 미묘한 세부사항이 있다. Thrashed는 본래 ‘좋은 사람’이었다. 그는 도메인을 대신 관리하고, 자비로 갱신했으며, 순수하게 동아리를 도우려는 의도였다. 그는 결국 도메인을 새 동아리에 넘길 의사도 있었다. 하지만 Namecheap은 이를 알지 못했다. Namecheap의 시스템에서 Thrashed는 13년간 꾸준히 요금을 납부한 충성 고객이었다. 그런데 누군가 전화를 걸어 계정을 넘겨달라고 하자, Namecheap은 전화 건 사람을 믿기로 결정했다.
댓글의 한 사용자가 썼다: “고객센터 직원은 제3세계 임금을 받으면서, 누가 도메인의 진짜 주인인지 신경 쓰지 않는다. 그들은 빨리 전화를 끊고 별점 5개를 받고 싶을 뿐이다.”
이것이 가장 핵심적인 문제다: 고객센터의 평가 지표가 ‘해결율’과 ‘통화 시간’이고 ‘보안’이 아닐 때, ‘전화 건 사람을 만족시키는 것’이 유일한 목표가 된다.
도메인의 ‘대이동’
글을 쓰는 현재, Thrashed의 게시물은 Hacker News에서 301개의 추천과 105개의 댓글을 기록했다. 댓글란엔 비슷한 경험담이 가득하다:
- Namecheap이 시스템 버그로 지원되지 않는 Whois 개인 정보 보호를 활성화해 도메인이 잘못 정지당했다는 사용자
- 2FA 휴대폰을 분실했다는 이유만으로 Namecheap에서 도메인을 잃었다는 사용자
- 결제 과정에서 Namecheap이 강제로 제3자 결제 플랫폼 Link로 전환해 회원가입과 문자 인증을 요구했다는 사용자
많은 사용자가 도메인을 이전 중이라고 밝혔다. Cloudflare가 가장 인기 있는 목적지로 떠올랐다. Cloudflare는 원가 수준으로 도메인 등록을 제공하고(.com 도메인 연간 10.46달러), 보안 평판도 더 좋기 때문이다. Porkbun, NearlyFreeSpeech, Dynadot도 자주 언급되었다.
하지만 냉정한 목소리도 있었다. 한 사용자는 “Cloudflare는 도메인 등록에 한 가지 제한이 있다. 네임서버를 변경할 수 없으며, 반드시 Cloudflare 자체 DNS를 사용해야 한다. 즉, 통제권을 포기해야 한다.”라고 경고했다.
또 다른 사용자는 더 근본적인 문제를 제기했다: “비영리 도메인 등록 기관이 필요하다. 그러면 몇 년마다 이사할 필요가 없을 것이다.”
하지만 현실은 도메인 등록 업계 자체가 저수익·고책임의 사업이라는 점이다. Google은 Google Domains를 접었다(Squarespace에 매각). Cloudflare는 이를 생태계의 부산물로만 취급한다. 진정으로 도메인 등록에 집중하는 기업은 결국 사모펀드에 인수되거나, 가격을 올려 운영을 유지해야 한다.
Hacker News에서 이 사건에 관한 토론 중, 여러 사용자가 유사한 보안 문제를 보고하고 이전 방안을 논의하기 시작했다.
우리가 할 수 있는 일은?
이 글의 목적은 Namecheap을 비난하는 것만은 아니다. 물론 비난받아 마땅하지만, 필자가 더 강조하고 싶은 것은 당신의 도메인 보안을 도메인 등록 기관의 양심에 맡겨서는 안 된다는 점이다.
현 체계 안에서 할 수 있는 몇 가지 조치를 제안한다:
1. 도메인 대신 관리하지 말라
다른 사람을 위해 도메인을 관리하고 있다면, 가능한 한 빨리 공식적으로 이전하라. 대리 관리 관계는 법적으로 모호하고, 보안상 취약하다.
2. 2단계 인증 활성화
2FA는 여전히 비밀번호 유출에 대한 가장 효과적인 방어선이다. 하드웨어 키나 TOTP 앱을 우선 사용하고, SMS 인증은 피하라.
3. 등록소 잠금(Registry Lock) 사용
Registry Lock은 현재 가장 강력한 도메인 보호 조치다. 모든 변경에 추가적인 오프라인 확인이 필요하다. 중요한 도메인이라면 이 비용을 지불할 가치가 있다.
4. 등록 기관 선택 시 보안 평판 확인
고객센터의 확인 절차, 보안 이력, 사모펀드 인수 여부 등을 살펴보라.
5. 도메인 계정 등록에 전용 이메일 사용
도메인 이메일(example.com 주소)로 도메인 계정을 등록하지 말라. 도메인이 탈취되면 계정을 되찾을 길이 완전히 차단된다.
에필로그
Thrashed는 마지막에 이렇게 적었다. 그는 결국 새 동아리 책임자와 연락이 닿아 양측이 원만하게 문제를 해결했다. 도메인은 공식적으로 동아리 명의로 이전되었다. “나는 원래 그들에게 도메인을 기꺼이 넘겨주려고 했었다,” 그는 말했다. “하지만 Namecheap은 그것을 알 방법이 전혀 없다. 그들의 관점에서 이것은 내 개인 계정이었다.”
이 문장이 이 사건의 가장 황당한 지점을 드러낸다: 모든 올바른 조치를 취한 사람(비용 지불, 갱신, 2FA 활성화, 제때 티켓 제출)이, 제3자의 전화 한 통으로 13년간 사용한 계정을 잃었다.
이는 사회 공학의 문제가 아니다. 비밀번호 강도의 문제도 아니다. 심지어 사용자의 어떤 행동과도 무관하다.
이것은 시스템적인 보안 실패이며, 그 대가를 치르는 것은 등록 기관에 대한 사용자의 신뢰다.
참고 링크:
- HN 토론: Namecheap gave my account to an unverified third party (item?id=49028037)
- Namecheap 공식 보안 권장사항: Two-Factor Authentication 및 계정 보호
- Cloudflare 도메인 등록 보안 모범 사례
- Namesilo 블로그: Social Engineering Bypasses Domain Locks
- dn.org 보고서: 2026년 10대 도메인 계정 탈취 사기 분석
