氣氣氣氣氣，聯邦信用卡莫名被 GoDaddy 請款（盜刷？資安漏洞？）

早上起來看到有一封扣款簡訊，約莫一萬多塊台幣，當時不太在意以為是之前入金 eToro 的通知，到辦公室之後收到一封 Godaddy 寄來的「thank you for your order.」，心想靠杯惹 … 小蛙根本沒有刷什麼東西，哪來謝謝我的訂購（心裡罵了一堆髒話，#%$!)%*$%)@%）

先說結論，手機二階段驗證真的很重要，補上二階段驗證之後，當天下午小蛙就收到又被登入了三次 … 所以是小蛙的密碼太薄弱，被有心人士踹破了，「應該」不是 GoDaddy 系統出了問題，應該吧！呵呵，登入的時候可以讓使用者選擇使用「帳號」或是 8 位數字的「客戶編號」，自然就成了有心人士的溫床了 …

這事件落幕之後，要準備跳槽到 Google Domains 了，真恐怖。

原由

小蛙原本的網域名稱蛙齋 wazai.net 跟另一個都瘋 crazyall.net 都是跟 GoDaddy 購買的，算一算也用了好多年，都沒出過什麼問題，後來記下來的網域名稱 noter.tw 由於是 .tw 結尾的，跟中華電信買會比較便宜，因此後來轉到中華電信，wazai.net 跟 crazyall.net 就繼續放在 GoDaddy 上。

很久以前小蛙買 VPS 的時候就吃過一次虧，這種線上服務刷卡的時候，務必、千萬要記得確認是一次性刷卡或是週期性付款，（再把警示文拿過來）

注意：PayPal 有兩種，PayPal Check Out 指的是透過 PayPal 來做這次的付款動作，有另一種是 PayPal Subscription 是指定期付款，也就是如果你的付費週期為 1 年，每年這個時候就會幫你做付款動作，小蛙有一次不小心按到 PayPal Subscription，結果就多被刷出一次帳單。

有些可能會寫「自動訂閱」或「自動續約」，這種「自動」肯定是會無通知地就幫你刷下去，英文介面的除了上面那兩種，也可能會遇到像是「Auto renew」之類的字眼，這類的也會在旁邊註明一個下次扣款日期，使用網路購買的服務都要小心一些。

初步處理

上 GoDaddy 網站看訂單狀態

小蛙第一步先上 GoDaddy 看該筆訂單是怎麼一回事，果然有一筆訂單的付款記錄，內容是買了兩台「第 4 代專屬自行管理 Windows – 6 核心/64 GB – SSD – 1 個月」，還很 GY 的打開自動續約，如果小蛙沒發現的話，下個月還會再多扣一筆這個款項 … 小蛙趕緊把自動續約跟訂購的產品刪除，但是款項已扣要怎麼辦？阿咕要小蛙先打電話給信用卡公司看能否凍結卡片或先暫時止付

確認沒有自動續約或其他怪異產品存在後，小蛙立刻加入了手機二段式登入驗證，至少如果有其他人要盜用帳號，小蛙的手機會收到驗證碼通知（除非 GoDaddy 資安上有漏洞可以讓駭客直接繞過驗證進入）

聯絡聯邦信用卡客服

因為 GoDaddy 客服要 9 點才有人上工，阿咕建議小蛙先打去聯邦客服，問看看能不能做止付或凍結之類的動作，小蛙打去聯邦客服，客服也查了確認是 GoDaddy 扣走的款項，說他們沒有辦法追回這個款項，必須要去 GoDaddy 那邊申訴，請他們刷退才可以 … Orz … 不是當事人可以舉證並不是自己刷的，而是遭到盜刷，銀行就可以先凍結付款嗎？

詢問能否關閉信用卡國外刷卡的功能，客服說沒有辦法，不過可以協助更換卡片 … 然後聯絡 GoDaddy 請對方處理刷退，再將刷退相關的資料保存好，到時候銀行要核對資料的時候可能會用到。

聯絡 GoDaddy 客服

掛掉電話之後小蛙繼續聯絡 GoDaddy 客服，網站上留的是台北電話，播過去是個中國口音的男子，對方蠻有禮貌、口條也很好，描述了小蛙遇到的問題之後，客服需要有客戶編號及 PIN 碼才可以做相對應的處理。

客服說這單子不是上面提到的自動續約造成的扣款，而是「使用者親自下訂單」的扣款，What the Fxxx …？小蛙在 GoDaddy 上除了購買網域之外，從來沒有下過什麼伺服器訂單，一個月要八千多塊台幣，而且還一次下兩台 … 連挑 VPS 都挑便宜到會跑路的小蛙，怎可能去下這兩筆單，跟客服反應說這不是我下的單後，客服詢問小蛙現在的位置是否在台北，小蛙回答是，接著客服就去查資料。

約莫過了一分鐘，客服回覆說「這筆訂單是在紐約下訂的，好奇怪呀！怎麼會下在你的帳戶裡呢？」對啊！小蛙也很想知道這件事情，下在小蛙的帳戶哩，但不是小蛙自己下的，是不是表示 GoDaddy 系統有漏洞？或是小蛙的帳號安全性有問題？不然小蛙是夢遊到紐約去下單？

客服表示先送退款申請單給 GoDaddy 上頭，大概晚上就會收到一封信說明結果 … （心裡 OS：說明什麼結果啊？單就不是小蛙下的，還是在紐約下，而且下了之後那服務根本不是小蛙要用的 … ）

後續

當天下午大概四點多就收到一封退款通知信

趕快去 GoDaddy 後台看看訂單記錄，果然多出一筆標示 (退款) 的訂單記錄

這次真的是驚魂啊～超害怕這盜用小蛙帳號的人亂刷一大堆 … 希望這鬧劇就此落幕，之後小蛙會發一篇移轉 domain 的文章。