Encuentra en RDAP los contactos de abuso del registrador y de la red de un dominio o una IP.
Red: RDAP + DoHNueva
Generador de denuncias de abuso
Se ejecuta localmenteNueva
La herramienta en sí está en inglés; en esta página se explica en tu idioma.
Utiliza Generador de denuncias de abuso
Para qué sirve
Introduce las URL, las direcciones IP, las fechas y las pruebas de un sitio de phishing o de estafa y obtén un correo de abuso listo para enviar a su registrador, a su proveedor de hosting o a su CDN. Los hashes de los archivos se calculan en tu navegador y no se envía nada a ningún sitio.
Funciona íntegramente en tu navegador: no se sube nada de lo que introduzcas.
Cómo utilizar Generador de denuncias de abuso
- Elige el tipo de destinatario y de ataque. En Report to (Denunciar a), elige Registrar, Hosting provider o CDN / reverse proxy. En Attack type (Tipo de ataque), elige la más cercana de seis opciones, como Phishing o Crypto wallet drainer.
- Introduce lo que viste. Pega las URL, una por línea; las formas neutralizadas como hxxps:// y [.] se convierten de nuevo en URL reales. Deja Domain vacío para usar el dominio registrable de la primera URL, y añade las direcciones IP si las conoces.
- Indica las horas. Rellena First seen y Last seen (primera y última detección); se interpretan como UTC y se muestran en formato ISO bajo cada campo. Now (Ahora) pone en Last seen la hora actual.
- Añade pruebas. Pega hashes o suelta archivos para obtener su SHA-256 en tu navegador. Añade enlaces de análisis y una breve descripción de lo que pide la página.
- Genera y corrige. Pulsa Generate report (Generar denuncia). Los elementos rojos Fix before sending (Corregir antes de enviar) bloquean la denuncia; los amarillos Check (Revisar) son consejos. Tras la primera denuncia, el texto se actualiza a medida que editas.
- Envíala. Copia el asunto y el cuerpo, ábrelos en tu aplicación de correo o descarga un .txt o un .json. En el caso de Cloudflare, pega el cuerpo en su formulario de abuso.
Ejemplo
Drainer de carteras en un dominio parecido
hxxps://connect.wallet-verify[.]example/claimFind the registrar's abuse address with Abuse Contact Lookup. Section 3.18 of the RAA binds ICANN-accredited registrars of gTLDs (.com, .net, .xyz and the other generic TLDs); for country-code domains the report cites the registry's policy instead.
Subject
Abuse report: crypto wallet drainer domain wallet-verify[.]example (impersonating Example Wallet)
Body
Hello abuse team,
I am reporting the domain name wallet-verify.example, registered through your company. It is used for a crypto wallet drainer: a fake site that asks visitors to connect a wallet and sign transactions that send their funds to the attacker, impersonating Example Wallet.
Details
Attack type: Crypto wallet drainer
Brand: Example Wallet
Domain: wallet-verify.example
URLs: https://connect.wallet-verify.example/claim
IP addresses: 192.0.2.10
First seen: 2026-10-19T08:00:00Z (UTC)
Last seen: 2026-10-20T09:30:00Z (UTC)
Evidence
https://urlscan.io/result/00000000-0000-4000-8000-000000000000/
Description
The page copies the Example Wallet site and asks visitors to connect a wallet and sign a token approval for all their assets.
Request
Section 3.18 of the ICANN Registrar Accreditation Agreement requires accredited registrars to investigate abuse reports and, when there is actionable evidence that a domain name is used for DNS abuse such as phishing or malware, to take prompt mitigation action. Please suspend this domain name (for example with the clientHold status) so that it stops resolving, and lock it against transfer while you investigate.
Please confirm that
…Una denuncia al registrador de wallet-verify.example: el asunto lleva el dominio neutralizado; el cuerpo, la URL real, la IP 192.0.2.10, la primera y la última detección en UTC, un enlace de urlscan.io y una solicitud de suspensión que cita la sección 3.18 del RAA de la ICANN.
Qué comprueba
| Señal | Qué significa |
|---|---|
| Report to | Registrar pide la suspensión (por ejemplo, clientHold) y un bloqueo de transferencia. Hosting provider pide retirar el contenido y conservar los registros. CDN pide el host de origen, el reenvío y una página de aviso. |
| Attack type | Las denuncias de phishing, drainer y malware a un registrador de gTLD citan el abuso del DNS según la sección 3.18 del RAA y piden una mitigación rápida. Para inversiones falsas, falso soporte técnico y otros fraudes, el texto solo dice que los registradores deben investigar y responder de forma adecuada. |
| Dominio tomado de las URL | El dominio registrable de la primera URL que tiene nombre de host, determinado con la Public Suffix List, de modo que connect.wallet-verify.example pasa a ser wallet-verify.example. Las URL sobre una IP sin nombre no aportan dominio. |
| Fix before sending | Por ejemplo, URL sin http://, https:// o ftp://, IP o hashes no válidos, fechas incorrectas, Last seen anterior a First seen, direcciones de correo no válidas o enlaces de pruebas que no son enlaces web. |
| Avisos Check | Un TLD de código de país (el RAA no se aplica), un dominio en una plataforma compartida (usa la plantilla de hosting), una fecha futura, una denuncia al registrador sin dominio o la falta de pruebas. |
| Ajuste de neutralización | Por defecto solo el asunto, para que los filtros de correo no traten tu denuncia como phishing mientras el equipo de abuso sigue recibiendo los enlaces reales. También puedes neutralizar los indicadores del cuerpo, o nada. |
| Hashes de pruebas | MD5, SHA-1, SHA-256 o SHA-512 en hexadecimal, uno por línea con un nombre de archivo opcional. Los archivos soltados, de hasta 50 MB cada uno, se procesan con SHA-256 y nunca se suben. |
| Enlace mailto largo | Si el enlace de correo supera los 2000 caracteres, una nota avisa de que algunas aplicaciones de correo lo cortan. Usa Copy (Copiar) en su lugar. |
Más ejemplos
Denuncia al hosting de una página en una IP sin dominio
Report to: Hosting provider · Attack: Phishing · URL: hxxp://198.51.100.23/secure/login.php · IP: 198.51.100.23 · Brand: Example Bank · First seen: 2026-10-21 14:05Subject: Abuse report: phishing content at hxxp://198[.]51[.]100[.]23/secure/login[.]php on 198[.]51[.]100[.]23 (impersonating Example Bank). El cuerpo incluye la URL real, la IP y First seen 2026-10-21T14:05:00Z (UTC), y pide retirar el contenido y conservar los registros. Un recuadro Check indica que aún no se han añadido pruebas.
Denuncia a una CDN por una actualización falsa
Report to: CDN / reverse proxy · Attack: Malware delivery · URL: https://update.example.org/chrome-update.exe · Description: fake browser updateSubject: Abuse report: malware delivery site example[.]org served through your network. El cuerpo pide al proveedor que identifique al proveedor de hosting, reenvíe la denuncia y muestre una página de aviso, y que no comparta tus datos de contacto.
Entrada que hay que corregir
Report to: Registrar · URL: login.example.net/verify · First seen: 2026-10-21 10:00 · Last seen: 2026-10-20 10:00 · Hash: 12345 kit.zipNo se genera la denuncia. Fix before sending enumera: Not a URL (debe empezar por http://, https:// o ftp://), Not a hash y Last seen is earlier than first seen. Un recuadro Check añade: No evidence yet.
Preguntas frecuentes
¿Qué piden las tres plantillas?
La plantilla para el registrador pide la suspensión del dominio (por ejemplo, clientHold) y un bloqueo de transferencia, citando la sección 3.18 del Registrar Accreditation Agreement de la ICANN para los TLD genéricos. La plantilla de hosting pide retirar el contenido y conservar los registros, y la de CDN pide al proveedor que identifique el host de origen, reenvíe la denuncia y muestre un aviso de phishing.
¿Comprueba el generador que el sitio es malicioso?
No. Da formato a lo que introduces y solo comprueba la forma: la sintaxis de URL, direcciones IP, hashes y fechas, que la última detección sea posterior a la primera y que haya un dominio en las denuncias al registrador. Decidir si las pruebas bastan te corresponde a ti, y la referencia al RAA solo se aplica a los registradores de TLD genéricos acreditados por la ICANN.
¿Se envía a algún sitio la denuncia o mis datos de contacto?
No. La denuncia se genera en tu navegador y los archivos que sueltas se procesan localmente para calcular su hash, sin subirse. Solo sale de la página cuando la copias, la abres en tu aplicación de correo o la descargas.
¿Debo denunciar al registrador, al hosting o a la CDN?
Un registrador puede hacer que el dominio deje de resolver; un hosting puede retirar la página; una CDN puede revelar el host real y mostrar un aviso. Es habitual enviar denuncias separadas al registrador y a la red que hay detrás de la IP. Abuse Contact Lookup encuentra ambas direcciones.
¿Cómo denuncio un sitio detrás de Cloudflare?
Elige la plantilla de CDN. Cloudflare recibe las denuncias de abuso en su formulario de abuse.cloudflare.com, categoría Phishing & Malware, así que pega allí el cuerpo generado en lugar de enviar un correo.
¿Qué contiene el archivo JSON descargado?
La hora en que se generó, la plantilla, el tipo de ataque, la marca, el dominio, las URL, las IP, la primera y la última detección, los enlaces de pruebas y los hashes, la descripción, el destinatario, tu nombre y tu correo si los introdujiste, y el asunto y el cuerpo. Es útil para llevar el control de qué denunciaste y cuándo.