Re: 天上人间动漫网域名被盗及拿回始末(GoDaddy安全机制存在严重漏洞)

3天假期放完了，公安局已经上班，我拿着网站价值评估报告，来到成都市公安局打算立案，可是之前联系的那位警官却以外出办事为由让我明天早上9点再来找他。没办法，我只好5月3日一大早就去公安局门口等着，那天下着很大的雨，又冷又饿，等了一个多小时，那位警官的电话竟然还没打通，而没有警官通知门卫，门卫就不让我进去。我想这位警官可能是有意不想再接待我了，我再联系他也没用。于是我对门卫说我要报案，具体情况和第一次去金牛区公安局的情况差不多，后来联系上了一位网监大队的警官，这才让我进去。进去后我又一次详细的陈述了整个事情的经过。这位警官一听就明白，显然经常处理网络上案件，而且从头到尾一直态度非常和善，基本没有打官腔。在接待我的过程中他还接到其他人打来电话报案，说是网络游戏的装备被盗了，他让对方准备好资料过来一趟，可以进行调查。在听完我的陈述后，他看了我的评估报告，又拿去咨询了有关的同事，然后回来告诉我说，我做的这个报告不能用，因为该资产评估公司和评估师缺少一个政府部门的资质认证，他们提供的资质认证是一个北京的资产评估协会颁发的，这是个民间组织，这样的资质做出的评估报告只能用于民间交易等用途，不能用于司法用途，必须有物价局或其他政府部门颁发的资质认证才行。我对他说我找了很多家成都的会计师事务所和资产评估公司，都说没有这个资质，做不了网站的评估，而少数几家能做的又报价非常高。要是重做的话我估计又得花上万甚至几万的钱，万一最后还是没有破案，我这几万块钱都白费了。他说，“立案的话流程很严格，要求资料必须符合规定才能给立案。但是我听完你的叙述，了解了你的实际情况，年轻人做点事业也不容易，我可以相信你，先帮你调查，等调查有进展了，有破案的希望了，你再去重新做评估报告，然后我们再立案”，听完这位警官说的我心里舒服了些，尽管还没看到什么希望，但是至少他答应可以先调查，假如那个黑客改了我域名的DNS服务器，对网站进行了进一步的操作，那么可以马上联系他。

由于黑客还没有换掉我的DNS服务器，此时网站还能正常打开，没有人知道网站的域名已经被盗。接下来我的打算是这样，既然法律途径和GoDaddy申诉都没办法了，那我只有尽快提交域名仲裁。尽管一开始就听律师说仲裁不可能拿回被盗域名，但GoDaddy也说了，只要仲裁一开始他们就会把域名锁定，黑客将无法再修改DNS。而ICANN对于域名仲裁的最长裁决时限是60天，也就是自仲裁开始后，最多在60天内必须出结果。既然我已没什么希望能拿回域名了，那我就只有更换域名，以求尽量挽回一点损失。可是在仲裁开始前，我根本不敢更换域名，我只要将原来的域名一做转向，黑客极有可能立即将DNS换掉，这样网友们都来不及得知新的域名。等仲裁开始之后，我就立即将域名做转向，然后尽量拖延时间，拖满2个月，在这2个月的时间内，我尽可能的依靠网络和媒体，告知网友们网站已更换新的域名。有2个月的时间做缓冲，应该多少能挽回一些损失。假如黑客先我一步将DNS换掉了，那这2个月内网站都将被他控制，就算我最终能胜诉，这个网站也残废了。因此这是我至关重要的一步，我一天时间也耽误不起了。

5月3日，GoDaddy果然没有回复。我立即开始着手准备域名仲裁的材料，首先我需要详细的了解域名仲裁的政策和流程。我在亚洲域名争议解决中心北京秘书处的官网上泡了一整天（https://www.adndrc.org/bjc_home.html），终于摸清了域名仲裁的详细政策。域名仲裁一次可以申请仲裁2个域名，最低费用为1000美圆（1人专家组，3人专家组要2500美圆），提交资料之后，秘书处会先进行审核，确认没有问题后就要打款了，他们收到付款后仲裁便正式开始。仲裁机构不会管域名是不是被盗的，所有的案件都会依照《统一域名争议解决政策》（UDRP）来裁决。所谓的UDRP主要有3个条件：
(1) 争议域名与投诉人享有权利的商品商标或服务商标相同或混淆性相似；及
(2) 被投诉人（域名持有人）对争议域名不享有权利或不具备合法利益的原因；及
(3) 认为争议域名系恶意注册和使用的理由。

域名必须同时满足这3个条件，投诉人才能胜诉，少一个都不行。在投诉书中，投诉人必须根据这3条逐条进行阐述。之后再由被投诉人对这3条逐条进行答辩，最终由专家组裁定争议域名是否完全符合这3个条件。

为了写好域名仲裁投诉书，我开始在北京秘书处的官网上看之前的案件裁决结果。翻了十几页，看了上百个案件了，全是关于域名被抢注的，有的胜诉有的败诉。败诉的大多是因为没有注册商标，或商标注册在域名被抢注时间之后。另有一部分是因为域名没有被用在投诉人所在的相同行业内，而是做了其他网站，因此未被认定是恶意使用。后来我看到一个案件，是有关mrc.com域名被盗的仲裁，最终投诉人胜诉拿回了域名。该案件的情况与我的有些相似，都是在GoDaddy被盗，都是由于GoDaddy帐户被黑客入侵，最终导致域名被盗的。唯一不同的是mrc.com的原持有人早已将“MRC”注册为商标。因此该案件首先满足了UDRP政策中的第一个条件。而被投诉人没有提交任何证据支持该域名是由他自己注册的，或是与投诉人合法交易而获得的，专家组认为第二个条件也满足。关键是第三个条件，我之前看了很多案件裁决结果，只要这个争议域名未做站，或者做了站，但主题与投诉人的商标无任何联系，而且被投诉人没有拿着该域名去勒索对方，那么就不能认定为恶意，至少大部分案件的裁决专家都是这么判定的。不过本案的专家组在裁决意见中这样写道，“争议域名的注册系擅自从投诉人转移到被投诉人，该域名的账户系擅自从原注册商转移到现注册商，投诉人作为争议域名的合法持有人的利益应当受到保护，《政策》不应容忍非法的域名劫持行为的发生”，还有一句“被投诉人在未能证明就争议域名享有任何权利或者合法利益的情况下，成为争议域名的持有人，并获得了随时将争议域名出售或者投入不当使用的机会，无疑对投诉人的合法权益构成很大的威胁”，本案专家组认同了投诉人主张的域名被盗的事实，尽管表面上看当前mrc.com没有侵犯投诉人的权益，但被投诉人“获得了随时将争议域名出售或者投入不当使用的机会”，专家组认为被投诉人属于恶意占有该域名。因此第三个条件也符合，最终裁决将域名转回给投诉人。