GoDaddy가 아무런 서류도 없이 낯선 사람에게 도메인을 넘겨주었음

27년간 쓰던 도메인이 GoDaddy 계정에서 사전 경고 없이 다른 계정으로 이동하면서, 연결된 웹사이트와 이메일 이 4일간 중단 됐다.

계정에는 2단계 인증 과 도메인 보호가 적용돼 있었지만, 감사 로그에는 Transfer to Another GoDaddy Account 가 Internal User 에 의해 실행됐고 검증은 이뤄지지 않은 상태 로 남아 있었다.

이동 직후 GoDaddy가 DNS zone을 기본값으로 초기화 하면서 nameserver는 유지됐지만 zone 파일이 비어 전체 서비스가 오프라인이 됐다. 피해 조직은 이 도메인을 미국 전역 20개 지부 가 함께 쓰고 있었고, 업무 중단이 광범위하게 번졌다.

지원 과정에서는 케이스 번호와 연락 창구가 여러 번 바뀌었고, 32통의 전화와 17통의 이메일에도 콜백은 없었다. 분쟁 접수 뒤에도 GoDaddy는 계속 48~72시간 내 회신을 약속했지만, 끝내 어떤 문서가 제출됐는지 설명하지 않은 채 사안을 종료했다.

실제 복구는 GoDaddy 지원팀이 아니라, 잘못 도메인을 받은 쪽이 자신의 계정에서 엉뚱한 도메인 을 발견하고 직접 협조하면서 이뤄졌다. 계정 간 전송을 다시 수행하자 도메인은 5분도 안 돼 원래 계정으로 돌아왔고 DNS도 복구되기 시작했다.

이 사건은 문서 없이도 도메인 전송이 승인될 경우 다음과 같은 위험으로 이어질 수 있음을 보여줬다.

• 이메일 가로채기
• 비밀번호 재설정 악용
• MFA 코드 수신
• 피싱 과 악성코드 배포
• 결제 경로 변경

작성자는 GoDaddy의 보안 신고 메일이 반송됐다고도 밝히며, 공식 채널이 제대로 작동하지 않는 문제까지 지적했다. 결과적으로 이 조직은 향후 같은 유형의 사고를 막기 어렵다고 판단해 GoDaddy 밖으로 도메인을 옮길 가능성 을 열어두고 있다.