- Domain yang telah dioperasikan selama 27 tahun dipindahkan ke akun GoDaddy lain tanpa peringatan sebelumnya, sehingga situs web dan email yang terhubung terhenti selama 4 hari
- Akun tersebut sudah mengaktifkan autentikasi 2 langkah ganda dan fitur perlindungan domain juga diterapkan, tetapi di log audit tercatat Internal User menjalankan
Transfer to Another GoDaddy Account dan validasi tetap berstatus belum dilakukan
- Dalam proses pengajuan sengketa, GoDaddy berulang kali mengarahkan ke beberapa alamat email dan nomor kasus baru, lalu 4 hari kemudian menutup perkara dengan menyatakan bahwa dokumen yang diperlukan telah dikirimkan, tetapi tidak menjelaskan dokumen apa itu
- Pemulihan sebenarnya bukan dilakukan oleh tim GoDaddy, melainkan oleh orang yang salah menerima domain itu, yang menemukan domain yang tidak semestinya di akunnya sendiri lalu bekerja sama secara langsung; melalui transfer antar-akun domain kembali ke akun asal dalam kurang dari 5 menit
- Fakta bahwa transfer semacam ini bisa disetujui tanpa pengajuan dokumen mengungkap risiko keamanan seperti pembajakan email, reset kata sandi, hingga perubahan jalur pembayaran, dan memicu kekhawatiran bahwa ancaman jenis yang sama akan sulit dicegah di masa depan
Ringkasan insiden
- Domain yang telah digunakan selama 27 tahun berpindah dari akun GoDaddy ke akun GoDaddy lain tanpa peringatan sebelumnya, menyebabkan situs web dan email organisasi tersebut terhenti selama 4 hari
- Akun itu telah mengaktifkan autentikasi 2 langkah ganda, dan domain tersebut memakai Full Domain Privacy and Protection dari GoDaddy
- Di log audit tercatat
Transfer to Another GoDaddy Account, pelaksana Internal User, dan Change Validated: No
- Tepat setelah perpindahan, GoDaddy mereset DNS zone ke nilai bawaan, sehingga walau nameserver tetap sama, file zone menjadi kosong dan seluruh layanan berubah menjadi offline
- Domain itu adalah domain induk yang digunakan oleh 20 cabang di seluruh Amerika Serikat, dan situs serta email tiap cabang bergantung pada subdomain-subdomain di bawahnya
- Email permintaan pemulihan akun tiba pada Sabtu pukul 1:39 siang, lalu 3 menit kemudian transfer dimulai, dan 4 menit kemudian selesai
- Pihak korban melakukan 32 panggilan telepon, total 9,6 jam percakapan, dan mengirim 17 email, tetapi tidak pernah sekali pun menerima panggilan balik
Respons GoDaddy dan penanganan sengketa
- Pada kontak pertama, GoDaddy mengonfirmasi bahwa domain itu sudah tidak ada lagi di akun tersebut, tetapi dengan alasan privasi tidak memberi tahu ke mana domain dipindahkan
- Setiap kali menghubungi, nomor kasus baru dibuat sehingga riwayat sebelumnya tidak tersambung, dan semua eskalasi harus dimulai lagi dari awal
- Dalam artikel tercantum nomor kasus nyata seperti
01368489, 894760, 01376819, 01373017, 01376804, 01373134, 01370012
- Sengketa domain diajukan melalui jalur
cas.godaddy.com/Form/TransferDispute, dan pihak pemohon menyerahkan nama registran domain, SIM, serta dokumen bisnis
- Setiap kali dokumen dikirim, perkiraan waktu balasan yang diberikan terus berulang di kisaran 48~72 jam
- Empat hari kemudian GoDaddy hanya mengirim email yang menyatakan bahwa registran telah memberikan dokumen yang diperlukan, sehingga perubahan akun diproses dan kasus ditutup
- Penjelasan tentang dokumen apa yang diajukan sama sekali tidak pernah diberikan
- Tindak lanjut yang diberikan hanya berupa tautan ke pencarian WHOIS, penyedia arbitrase ICANN, dan halaman terkait penunjukan pengacara
Gangguan operasional dan pemulihan sementara
- Setelah GoDaddy memberi tahu bahwa kasus ditutup, organisasi korban mulai melakukan migrasi darurat ke domain baru
- Pergantian ke alamat email baru dan alamat situs baru dikerjakan semalaman
- Karena tidak bisa mengendalikan domain lama, kerusakan meluas ke seluruh alamat email, materi pemasaran, dan aset SEO yang telah terakumulasi
- Email yang dikirim ke alamat lama tidak bisa dihindari selain memantul
- Domain lama yang masih tercetak di materi fisik dan materi eksternal semuanya berubah menjadi informasi yang salah
- Setelah domain asli kembali, mereka harus mengalihkan kembali email dan situs web ke domain semula untuk membatalkan pekerjaan yang dilakukan sehari sebelumnya
Penyebab sebenarnya dan jalur pemulihan
- Keesokan paginya, seseorang yang berada 2.000 mil dari kantor pusat organisasi korban menemukan bahwa ada domain yang tidak semestinya masuk ke akun GoDaddy miliknya
- Orang itu sedang mencoba mendapatkan kembali domain lain yang pernah digunakan mantan pegawai
- Setelah bekerja sama dengan orang tersebut dan menjalankan transfer antar-akun GoDaddy, domain kembali ke akun asal dalam kurang dari 5 menit dan DNS juga langsung mulai pulih
- Solusi sebenarnya datang bukan dari tim dukungan GoDaddy, tim sengketa, maupun tim Office of the CEO, melainkan dari pihak yang salah menerima domain yang menyadari masalah itu lalu menghubungi langsung
Transfer yang disetujui tanpa dokumen
- Pihak yang salah menerima domain adalah cabang regional dalam jaringan yang sama, dan dua minggu sebelumnya telah meminta GoDaddy melakukan pemulihan domain lain
- Domain yang diminta adalah
HELPNETWORKLOCAL.ORG, tetapi yang benar-benar dipindahkan adalah HELPNETWORKINC.ORG
- Di tanda tangan email orang tersebut terdapat situs subdomain dari
HELPNETWORKINC.ORG, dan tampaknya tim pemulihan GoDaddy melihat domain induk pada tanda tangan itu lalu memindahkan domain tersebut ke akun itu
- GoDaddy memang mengirim tautan unggah dokumen bukti, tetapi tautan itu kedaluwarsa sebelum sempat digunakan
- Setelah meminta tautan baru, email persetujuan transfer domain justru tiba lebih dulu sebelum tautan baru dikirim
- Akibatnya, orang itu tidak menyerahkan satu pun dokumen baik untuk domain yang memang ingin dipulihkan maupun untuk domain yang akhirnya ia terima
- Meski begitu, GoDaddy tetap memindahkan domain milik organisasi nirlaba berusia 27 tahun ke akun lain, lalu menutup sengketa sesudahnya
Dampak keamanan
- Artikel menyebut bahwa jika penerimanya berniat jahat, hal ini bisa memungkinkan pembajakan email, reset kata sandi, penerimaan kode MFA, phishing, distribusi malware, hingga perubahan jalur pembayaran
- Selama tidak mengetahui lokasi domain tersebut, organisasi korban harus bersiap meminta semua pengguna menghapus domain yang telah disusupi dari akun layanan penting
- Sasarannya mencakup bank, Amazon, IRS, sistem penggajian, Dropbox, akun email, bahkan akun GoDaddy itu sendiri
- Fakta bahwa transfer seperti ini bisa disetujui tanpa dokumen sendiri sudah menunjukkan masalah keamanan yang serius
Masalah pada kanal pelaporan keamanan dan tindak lanjut
- Saat mencoba mengirim hasil investigasi ke tim keamanan GoDaddy sebelum publikasi melalui security@godaddy.com, email tersebut terpental
- Balasan otomatis menyatakan kotak surat itu sudah tidak lagi dipantau, dan sebagai alternatif mengarahkan ke Abuse Reporting Form dan https://hackerone.com/godaddy-vdp
- Laporan yang sama akhirnya dikirim melalui HackerOne, dan artikel mencantumkan report #3696718
- Struktur kanal resmi yang tidak berfungsi, sementara hanya orang yang tahu jalur memutar yang bisa menjangkau penanggung jawab sebenarnya, mengulang pola yang sama seperti penanganan gangguan 4 hari ini
- Berdasarkan artikel asli, tindak lanjut yang diminta jelas
- Flagstream Technologies harus dihubungi langsung oleh penanggung jawab bernama jelas
- Bukan memakai akun email umum, melainkan alamat email dan nomor telepon yang bisa benar-benar direspons harus ditinggalkan
- Prosedur validasi transfer dan bagaimana persetujuan bisa diberikan tanpa dokumen harus ditinjau secara internal
Arah respons yang masih tersisa
- Kekhawatiran yang lebih besar dari pihak korban adalah bahwa selama domain mereka masih berada di GoDaddy, tidak terlihat cara untuk mencegah ancaman jenis yang sama terulang di masa depan
- Artikel menyebut Flagstream kemungkinan besar akan memindahkan seluruh domain perusahaannya keluar dari GoDaddy
- Di bagian akhir, artikel meninggalkan pertanyaan bagi siapa pun yang masih menaruh domain di GoDaddy: apakah mereka sudah menyiapkan cara merespons jika domain tiba-tiba hilang dari akun dan seluruh bisnis berhenti total
2 komentar
Setiap kali melihat kejadian seperti ini, saya jadi berpikir apakah sulit membangun sistem dengan cara yang membuat celah atau kegagalan tidak mungkin terjadi, semaksimal mungkin tanpa harus membaca dokumen semacam itu.
Komentar Hacker News
Reputasi buruk GoDaddy sudah sedemikian parah sampai punya artikel Wikipedia khusus sendiri
https://en.wikipedia.org/wiki/Controversies_surrounding_GoDaddy
Rekam jejak GoDaddy sudah begitu buruk sehingga hanya dengan mengumpulkan kasus-kasus lama saja konteksnya sudah jelas
Jan 2017: Godaddy has issued at least 8850 SSL certificates without validating anything
Jan 2019: GoDaddy injecting JavaScript into websites and how to stop it
Aug 2022: Tell HN: Godaddy canceled my domain, gave me 2h to respond, then charged €150
Dec 2022: GoDaddy buying domains when they expire to extort their own users
Jul 2023: Godaddy just stole my domain
Jan 2024: Tell HN: GoDaddy Stole My Domain
https://www.reddit.com/r/technology/comments/npair/godaddy_has_not_withdrawn_its_official/
Perusahaannya selalu terlihat seperti lebih mementingkan gaya daripada teknologi, dan staf teknisnya juga terasa cuma datang untuk menerima gaji, seolah tak terlalu peduli pada pelanggan atau kualitas, dan langkah nyata mereka memang menunjukkan persis seperti itu
Kalau begitu, dari negara tertentu bahkan situs milik pelanggan sendiri bisa jadi tidak dapat diakses
Harganya mahal dan nilainya terlalu rendah, jadi saya tidak paham kenapa orang memakainya
Tautan sekarang justru menunjuk ke thread ini sendiri
Sejak masa saya pertama kali punya komputer sendiri, GoDaddy sudah dipandang sebagai NoDaddy
Salah satu contoh langka pada awal hingga pertengahan 2000-an ketika programmer terang-terangan menyebut sesuatu misoginis juga terkait booth konvensi GoDaddy, dan itu masih saya ingat sampai sekarang
Awalnya ini terlihat seperti ulah orang dalam
Di AWS juga pernah ada kasus akun diretas padahal semua pengaturan keamanan sudah diterapkan, dan belakangan terungkap bahwa penyebabnya adalah kontraktor internal
Sebelum itu AWS tanpa dasar apa pun hanya menyalahkan saya, dan baru setelah menghubungi kantor jaksa agung negara bagian penyelidikan dimulai sehingga manajer akhirnya menangani kasusnya dengan serius
Pelanggan GoDaddy lain meminta transfer domain yang namanya mirip, dan dalam proses itu mereka malah menyerahkan domain yang salah
Pegawainya sama sekali tidak mengikuti prosedur, dan juga membaca email dengan sangat keliru sampai mentransfer domain yang sama sekali berbeda
Alasan ini akhirnya bisa dibalik juga karena pihak yang menerima domain tersebut langsung memberi tahu dukungan GoDaddy bahwa domain itu ditransfer secara keliru
Saya tidak paham bagaimana itu bisa dianggap sebagai operasi orang dalam
Dalam arti apa pun ini tidak terlihat seperti inside job
Penerimanya juga justru bergerak untuk mengembalikannya ke pemilik semula, jadi sulit mempertahankan penjelasan bahwa ini perampasan yang disengaja
Tulisan itu menyoroti tiga hal, yaitu semua alamat email jadi tidak valid, semua materi pemasaran jadi salah, dan kehilangan SEO, tetapi menurut saya ada dampak yang lebih besar yang terlewat
Kalau kehilangan domain, semua akun online yang terkunci karena kode verifikasi login aneh dikirim ke email akan langsung menjadi masalah
Bank, CRM, dan berbagai layanan bisnis bisa ikut terblokir satu per satu
Karena selama domainnya saya miliki, emailnya bisa saya host di mana saja, jadi rasanya ideal
Tetapi setelah memikirkan skenario bencana seperti ini, pada akhirnya saya merasa tetap harus menyisakan Gmail
Untungnya di EU verifikasi pemilik sebenarnya masih cukup dianggap penting, jadi bahkan jika ada kesalahan seperti ini kemungkinan bisa dibuka kembali dalam beberapa jam
Kalau semuanya terikat ke email itu, dampaknya bisa lebih serius daripada kehilangan ponsel atau SIM, dan mirip dengan situasi saat tidak bisa memakai nomor di luar negeri, tetapi lebih buruk
Karena email dan berbagai kontak memakai domain yang sama, peniru bisa terus membalas seolah tidak terjadi apa-apa
Yang lebih menakutkan, misalnya jika GoDaddy begitu saja menyerahkan sesuatu seperti npmjs.com, rasanya seseorang bahkan bisa jadi crypto billionaire dalam semalam
Menurut saya lebih baik mendaftarkan merek dagang untuk domain
Biayanya hanya beberapa ratus dolar dan bisa dilakukan secara online, lalu hak Anda akan jauh lebih kuat baik saat berhadapan dengan ICANN, pembajak domain, typosquatter, registrar, maupun di pengadilan
Anda juga bisa mengirim surat peringatan keras atas nama pengacara, melewati tahap dukungan, dan cepat menaikkannya menjadi respons hukum
ANIMATS®
Artinya Anda harus membayar lebih agar daya pertahanan kepemilikan juga lebih besar
Menurut pendapat pribadi saya, sebaiknya jangan membawa merek dagang ke sengketa seperti ini
Begitu Anda mengajukan klaim merek dagang, domainnya akan dikunci untuk mencegah perubahan, dan biasanya Anda akan diarahkan untuk mengajukan UDRP
Bisa butuh beberapa bulan sampai ada keputusan
Surat peringatan pengacara juga mirip; kecuali dalam kasus yang sangat terbatas, kami tidak punya kewajiban untuk mengeluarkan biaya merespons secara hukum
Tetapi begitu Anda menuntut penanganan tertentu berdasarkan hak hukum, pada akhirnya kami hanya bisa menjawab agar Anda menempuh pengadilan yang berwenang atau prosedur formal
Di Kanada pada praktiknya Anda hampir pasti harus memakai pengacara, dan saat penumpukan pasca-COVID parah, pendaftarannya bahkan bisa menunggu 4 tahun
Akan sangat bagus jika bisa mendaftar secara online dengan mudah
Dalam kasus saya, saya punya merek dagang terdaftar AS dan secara waktu juga lebih dulu, tetapi Facebook tetap menutup situs saya
Bukan cuma 10 tahun lalu, bahkan sekarang pun saya tidak mengerti kenapa orang memakai GoDaddy
Dari sudut pandang bisnis, strategi memilih pemasok yang paling terkenal biasanya cukup berhasil, dan orang cenderung berharap mereka punya proses yang matang untuk menangani berbagai situasi
Itulah kenapa kejadian ini terasa lebih serius
Domain juga merupakan industri aneh: sangat penting bagi bisnis, tetapi pendapatan per pelanggan hampir tidak ada
Seluruh infrastruktur bergantung padanya, tetapi nilainya cuma sekitar $15 per tahun, jadi begitu ada satu permintaan dukungan saja, pelanggan itu bisa langsung menjadi tidak menguntungkan
Kalau Anda bertanya ke 100 orang mereka beli domain di mana, kemungkinan besar GoDaddy akan menang telak di posisi pertama
Kebanyakan juga tidak akan tahu soal citra merek yang buruk atau insiden keamanan
Saya agak tertawa melihat ungkapan staf TI yang kompeten
Saya hampir tidak pernah ingat mendengar hal baik tentang GoDaddy
Dan dukungan managed hosting mereka ternyata lumayan bagus
Saya tidak menyukai layanannya, tetapi beberapa klien saya memakainya, dan setiap kali ada masalah server, dukungan mereka cepat memperbaikinya sehingga jauh lebih mudah daripada saya turun tangan sendiri
Setidaknya sampai sekarang itu dukungan lokal, bukan outsourcing ke luar negeri
Kalau pendirinya nonteknis, mereka tinggal mencari buy a domain di Google lalu pergi ke hasil pertama yang muncul
Belakangan, saat sistem TI makin matang, seharusnya pindah ke penyedia yang lebih baik, tetapi pendaftaran sering dibuat untuk beberapa tahun sekaligus dengan auto-renew, dan jika semuanya berjalan tanpa masalah maka urusan yang terlihat di depan mata akan lebih diprioritaskan daripada risiko yang sifatnya teoretis
Terus terang, kompeten dan menaruh domain pelanggan di GoDaddy terasa kurang cocok bila disandingkan
Itu memang sebuah kesalahan, tetapi pola yang sangat umum
Kalau semuanya sudah berjalan baik, tidak mudah meyakinkan klien yang tidak pernah punya masalah agar memindahkan DNS, hosting, dan email juga
Setelah Google Domains diambil alih, saya juga banyak memakai Squarespace, karena harganya masuk akal dan yang terpenting semuanya sudah berjalan
Mungkin ada alat yang lebih baik, tetapi migrasi butuh waktu, risiko gangguan ke klien, dan stres
Bukan karena saya tidak bisa menjalankan VPS, tetapi memang tidak ada alasan kuat untuk menghabiskan beberapa jam itu tanpa dibayar
Mungkin hal serupa juga terjadi di sini, dan meskipun Lee sangat kompeten, foot gun yang lama tidak bermasalah itu baru meledak belakangan
Memang tidak ideal, tetapi di dunia nyata hal seperti ini sangat mungkin terjadi, dan setidaknya berkat kejadian ini saya makin jelas soal penyedia mana yang akan saya hindari nanti
27 tahun itu waktu yang sangat panjang
Staf TI yang kompeten bisa menyiapkan rencana cadangan untuk gangguan yang bisa diperkirakan, tetapi tidak bisa mengendalikan kesalahan setingkat registrar
Bahkan perusahaan seperti MarkMonitor yang menjual diri sebagai bulletproof domains pun pernah membuat kesalahan besar
Dan memang mudah mengatakan daftarkan domain baru di X, tetapi jauh lebih sulit mengatakan pindahkan domain lama dari Y
GoDaddy itu tetap registrar resmi, dan pelanggan ini bahkan sudah mengaktifkan MFA ganda
Pelanggan sudah melakukan semua yang bisa dilakukan
Saya pernah mendengar cerita tentang kesalahan aneh GoDaddy, tetapi transfer ngawur setingkat ini baru kali ini saya lihat
Menyalahkan korban dalam situasi seperti ini tidak beda jauh dengan mengatakan kalau pintunya tidak dikunci maka dicuri pun itu salah sendiri
Yang melanggar aturan adalah GoDaddy, dan pelanggan membayar dengan harapan aturan itu dipatuhi
Kalau condong ke menyalahkan korban, biasanya Anda sedang berpihak pada sisi yang salah
Transfer domain yang salah itu sendiri sudah menunjukkan ketidakmampuan, dan kalau itu diproses tanpa satu pun dokumen yang diperlukan, itu jelas merupakan kelalaian
Ini serius di banyak lapisan
Karena itu saya lebih memilih registrar yang bertanggung jawab seperti porkbun, meskipun skalanya tidak terlalu besar
Sejak dulu saya pernah kehilangan domain di registrar tipe “cheap name”, saya jadi makin begitu
Ini cuma pengalaman pribadi, dan saya tidak punya hubungan kepentingan dengan dua perusahaan yang disebut
GoDaddy sudah sejak lama membuktikan sendiri bahwa mereka adalah perusahaan busuk
Kalau pelanggan tidak sempat membayar tepat waktu, mereka akan menahan domain itu lalu melelangkannya kembali dengan markup yang sangat besar, dan praktik buruk semacam itu bukan cuma satu dua kali
Domain utama saya sampai sekarang masih berada di nic.ddn.mil / rs.internic.net, yaitu lini Network Solutions masa kini
Dulu setidaknya masih ada etika hanya memberi satu domain per situs fisik demi generasi masa depan, tetapi ketika ada perusahaan farmasi yang ingin membeli sekitar 90 sekaligus, etika itu langsung lenyap
Meski begitu, bahkan proses usang yang tidak pernah mereka perbaiki selama puluhan tahun setelah punya sumber pendapatan itu pun terasa lebih bisa dipercaya daripada GoDaddy
Di kalangan orang yang tahu, GoDaddy sudah lama jadi bahan lelucon yang semua orang pahami