اتهامات لشركة Namecheap بتسليم حسابات مستخدمين لأطراف خارجية
كشف مستخدم تعامل مع شركة «نيم تشيب» لأكثر من 13 عامًا عن ثغرة أمنية خطيرة سمحت لطرف خارجي بالاستيلاء على حسابه بالكامل بمجرد الاتصال بالدعم الفني وإقناعه بملكيته للنطاق دون أي تحقق. فبعد أن أبلغ المستخدم عن محاولة إعادة تعيين كلمة مرور لم يبدِها، اتصل قائد جديد لنادٍ جامعي بشركة الاستضافة وأقنعها بأن النطاق المسجل باسم المستخدم الشخصي يخص النادي، فغيّرت الشركة كلمة المرور والبريد الإلكتروني المرتبط بالحساب فورًا. يعتبر الضحية أن هذه الثغرة تمثل خطرًا كبيرًا، إذ يكفي أن يطلب أحدهم الوصول بلباقة ليتولى السيطرة على الحساب، مما دفعه لنقل نطاقاته الحساسة إلى مزود آخر.
الحقائق الأساسية
غيّرت شركة Namecheap كلمة المرور والبريد الإلكتروني لحساب مستخدم مسجل باسمه منذ 13 عامًا، بعد أن اتصل طرف خارجي بدعم الشركة وأقنعهم بملكيته للنطاق دون أي تحقق.
«with no verification or validation whatsoever, NameCheap changed my password, and changed the email address associated with my account. All because someone simply asked nicely on a phone call.»
عرض المصدر ←أثبتت الشركة قدرتها على الاتصال هاتفيًا للتحقق عندما تواصلت مع صاحب الحساب لتأكيد تذكرته الأمنية، لكنها تجاهلت ذلك تمامًا عندما اتصل الطرف الخارجي طالبًا الوصول.
«They demonstrated they were perfectly able to pick up a phone and call me (to verify my initial support ticket) but when someone calls them and says “but I really want access to that account” they don’t bother?»
عرض المصدر ←نقل الضحية أكثر من اثني عشر نطاقًا حساسًا خارج Namecheap بعد اكتشاف سهولة الاستيلاء على الحسابات.
«I’ve already moved a dozen of my most critical domains out of NameCheap after seeing just how easy it is for a third party to completely take over a NameCheap account: just ask nicely.»
عرض المصدر ←
المصادر
شفت معلومة تحتاج تصحيح؟ بلّغنا ونتحقق ونصحّح — سياسة التصحيح
صحّح هذا الخبر