De la detección a la mitigación

La pregunta es más concreta que «¿quién falló?»: ¿qué retrasos observables entre las pruebas validadas y una actuación proporcionada son evitables, y qué intervención reduce el perjuicio a las víctimas sin generar falsos positivos o daños colaterales inaceptables?

El ámbito de aplicación es el ecosistema de gTLD contemplado en el contrato: titulares de dominios, revendedores, registradores, registros y la función de cumplimiento contractual de ICANN. Los proveedores de alojamiento web, las redes de distribución de contenidos (CDN), los navegadores, los servicios de pago, las plataformas publicitarias, los CERT nacionales y las fuerzas del orden solo se incluyen en la medida en que afecten a la cadena de pruebas o de respuesta. Los TLD de código de país tienen una gobernanza diferente y no se considera que estén sujetos a los contratos de gTLD de ICANN.

Estado de las tesis principales

• El artículo analiza ICANN como una institución de gobernanza privada y de cumplimiento contractual dentro del ecosistema de la «gTLD». ICANN no es un organismo regulador gubernamental ni una autoridad encargada de hacer cumplir la ley, pero acredita a los registradores, celebra contratos con los operadores de registros y vela por el cumplimiento de dichos acuerdos; ese ámbito de competencia limitado no exime a la institución de su responsabilidad.
• El intervalo del 60 al 85 % es una estimación cuantitativa fundamental en el modelo de daños del artículo. Se presenta como una estimación comprobable derivada de supuestos explícitos y observaciones de casos concretos, y no como una estadística ya establecida para el fraude a nivel mundial. El siguiente paso para aportar pruebas consiste en publicar un conjunto de datos a nivel de incidente que alinee las marcas de tiempo de detección, notificación, mitigación y daño.
• La cifra de entre 100 y 150 dólares es una estimación presupuestaria de ingeniería comprobable para la recopilación continua y la clasificación inicial de un conjunto definido de datos de zonas accesibles, de «Certificate Transparency» y de fuentes públicas sobre infraestructura básica. No se trata del coste de la visibilidad global completa, la revisión jurídica, los recursos, la alta disponibilidad ni la aplicación de la normativa. Por lo tanto, el documento lo trata como un punto de referencia que puede reproducirse con una carga de trabajo publicada, un inventario de fuentes y un registro de costes, y no como un precio universal ya demostrado. Esa distinción matiza la afirmación sin eliminar la asimetría de costes que se está analizando.
• La comparación de tres semanas que se presenta en el artículo se refiere a la latencia en el cumplimiento, no a un acuerdo de nivel de servicio (SLA) universal para el cierre de dominios. El artículo de «ICANN»… Preguntas frecuentes sobre el cumplimiento contractual establece que la mayoría de los tipos de reclamaciones pueden pasar por tres períodos sucesivos de respuesta de cinco días laborables antes de que se proceda a una escalación formal, mientras que muchas campañas maliciosas permanecen activas durante horas o días. Los contratos exigen, por separado, la adopción de medidas de mitigación rápidas y adecuadas tras la obtención de pruebas que justifiquen la intervención. [2][4]
• En el caso de un registro malicioso verificado y con un único propósito, serverHold Es una de las medidas correctivas más disruptivas a nivel de «DNS», ya que elimina la delegación de la zona. No es una solución universal: también puede afectar al correo electrónico, a los subdominios y a los servicios legítimos; las respuestas almacenadas en caché pueden permanecer hasta que caduque el TTL; y los servicios comprometidos o compartidos pueden requerir medidas de mitigación más específicas. [4][7]

El primer informe semestral de ICANN sobre la aplicación de las modificaciones de 2024 registró 192 investigaciones, más de 2.700 dominios suspendidos, más de 350 páginas de phishing desactivadas y dos notificaciones formales de incumplimiento (Notices of Breach). Estas cifras no prueban que los controles actuales sean suficientes, pero sí descartan la afirmación absoluta de que el sistema no actúa. [5]

Algunas campañas de phishing operan en un plazo de horas o días. Bijmans et al. indicaron, en un estudio de 2021, una vida útil media observada de 45 horas y una mediana de 24 horas para 1.288 dominios de phishing. Un estudio de 2026 sobre dominios de phishing recién registrados reveló una distribución muy asimétrica: para 14 112 dominios con una vida útil cuantificable, la media fue de 8,6 días y la mediana, de un día. Ninguna de las dos muestras puede generalizarse a todas las clases de amenazas, pero ambas muestran por qué un proceso que se mide únicamente en días laborables puede pasar por alto campañas de corta duración. [11][12]

El activo económicamente relevante no suele ser la cuota de registro, sino el tráfico, los materiales creativos, la infraestructura y la confianza acumulados alrededor de un dominio. La intuición es plausible, pero su magnitud varía según la operación fraudulenta. Por ello, la calculadora expone todos los datos de entrada en vez de presentar un resultado hipotético como promedio observado.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

La «pérdida tras la detección» solo puede constituir un resultado útil si la detección, la entrega y el perjuicio se definen de manera coherente. La marca de tiempo de una lista negra no es prueba de que el registrador haya recibido pruebas que permitan actuar. Una transacción de monedero no es automáticamente atribuible a un dominio concreto. El hecho de que un dominio deje de estar accesible no permite identificar qué actor ha provocado el cambio.

Esquema mínimo de eventos

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

El numerador y el denominador deben seguir la misma regla de atribución. Los resultados deben indicar la cohorte, el intervalo de confianza, la censura a la derecha, las fuentes que faltan, el tratamiento de las víctimas duplicadas y la sensibilidad a la ventana de observación. La etiqueta «evitable» debe reservarse para un diseño causal o, como mínimo, para una comparación emparejada, y no para cualquier evento posterior a la notificación.

Ningún actor por sí solo ve ni controla el incidente en su totalidad. El registrador conoce la relación con el titular del registro; el registro controla el estado de los dominios que gestiona; el servidor y CDN controlan la distribución de contenidos; los navegadores y los proveedores de seguridad controlan las advertencias; los proveedores de pagos y monederos electrónicos pueden interrumpir las transferencias; y las autoridades pueden ordenar la conservación o la incautación. ICANN redacta y hace cumplir los contratos en el ecosistema gTLD, pero no gestiona un plano de control EPP universal.

La capacidad distribuida no implica una responsabilidad disuelta. Un registrador patrocinador no se exime de sus obligaciones contractuales al delegar la gestión de los abusos a un revendedor; el registro controla el estado del EPP configurado en el servidor; ICANN vela por el cumplimiento de los términos contractuales. El registro de auditoría debe recoger no solo quién actuó, sino también quién recibió pruebas procesables, quién redirigió el caso, quién no respondió o quién incumplió una obligación asignada. La autoridad legal recae en el agente facultado para aplicar una medida; la rendición de cuentas también abarca los incumplimientos documentados.

Las modificaciones globales de abril de 2024 del Registrar Accreditation Agreement y del Base Registry Agreement establecieron obligaciones expresas para mitigar el DNS Abuse. Los registradores deben actuar con prontitud cuando dispongan de pruebas accionables de que un nombre patrocinado se utiliza para DNS Abuse. Los operadores de registro deben actuar con prontitud cuando determinen razonablemente, a partir de pruebas accionables, que un nombre registrado se utiliza para DNS Abuse. En ambos casos, la medida adecuada depende del contexto, la gravedad y el impacto colateral. [2][3]

Tres líneas temporales que a menudo se confunden

Esta flexibilidad tiene sus ventajas: un dominio universitario comprometido no debe tratarse como un dominio de phishing de uso único recién registrado. El problema en cuanto a la rendición de cuentas radica en que resulta difícil comparar lo que es «rápido» y lo que es «adecuado» sin marcas de tiempo publicadas, categorías de casos y códigos de resultado. La propuesta que figura a continuación incorpora medidas de evaluación y revisión sin pretender que un único plazo sirva para todos los casos.

El phishing está expresamente incluido en la definición contractual de DNS Abuse. La frontera más difícil comprende sitios que engañan con un nombre propio en vez de suplantar a un tercero identificable: determinadas plataformas de inversión falsas, tiendas fraudulentas, estafas de recuperación y esquemas para obtener firmas de monederos. Según los hechos, pueden tratarse como abuso de contenidos web, fraude al consumidor u otra categoría jurídica, y no como DNS Abuse contractual.

Una consulta de política pública podría examinar si una categoría estrecha y respaldada por pruebas como VFHA debe incorporarse a futuros contratos, a un marco de derivación intersectorial o al derecho nacional. Toda ampliación debería exigir una prueba precisa del daño, pruebas fiables, remedios proporcionados, revisión jurisdiccional y recurso. Las etiquetas vagas de «estafa» son insuficientes.

Un servidor estándar puede descargar instantáneas accesibles de los archivos de zona participantes de gTLD y calcular los cambios a nivel local, incorporar eventos seleccionados de Transparencia de Certificados y fuentes abiertas, normalizar cadenas de caracteres, calcular hash y priorizar candidatos. Se trata de un punto de referencia de ingeniería útil y comprobable, no de una «supervisión completa de Internet». En el segundo trimestre de 2026, Verisign informó de 401,6 millones de registros en todos los TLD; el CZDS abarca los archivos de zona participantes de gTLD en lugar de todos los TLD, y el CT registra certificados o precertificados registrados públicamente, en lugar de todos los dominios activos o maliciosos. [8][9][17]

El marco propuesto es una arquitectura de referencia, no un «interruptor de apagado» mundial automático. Normaliza el evidence envelope, el expediente de decisión y las marcas de tiempo, y permite al operador autorizado elegir la medida eficaz con menor impacto colateral.

Niveles de evidencia

El «API» debe crear un caso verificable y activar un temporizador de respuesta auditable; un informante no debe poder emitir directamente un comando de retención. Si un caso E3/E4 se refiere a un registro malicioso con un único propósito y caduca sin una decisión motivada o una mitigación efectiva, el sistema lo remite automáticamente al operador del registro o a otro agente con autoridad contractual o legal. A serverHold El comando solo puede proceder de un agente autorizado. La escalación automática y la autoridad del registro para actuar en caso de caducidad son cambios propuestos en la política, no afirmaciones sobre una autoridad ya existente. Cada transición de estado se firma y se añade al registro de auditoría.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

Una respuesta satisfactoria devuelve el ID del caso, el actor receptor, el nivel de pruebas, los errores de integridad, el plazo previsto de revisión y una URL pública de transparencia. No debe prometerse un remedio concreto antes de que un actor competente evalúe su competencia y el impacto colateral.

Los objetivos de nivel de servicio deben distinguir entre acuse de recibo, triaje, decisión y mitigación eficaz. Así puede medirse el rendimiento sin suponer que la suspensión sea siempre el resultado adecuado.

Son objetivos para el piloto. Los valores adecuados deben derivarse de la duración observada de las amenazas, la dotación, el coste de los errores y las restricciones jurídicas, y publicarse como distribuciones de cumplimiento, no como una única media.

Una respuesta rápida sin las medidas de protección adecuadas puede convertir los datos erróneos en censura, sabotaje comercial o interrupciones en las infraestructuras. Por lo tanto, una arquitectura adecuada considera los falsos positivos y los daños colaterales como fallos de seguridad de primer orden.

Salvaguardas procesales mínimas

1. Para cada medida restrictiva se registran el código de motivo, el nivel de evidencia y la persona responsable de la decisión.
2. El titular del registro puede obtener una exposición de motivos que respete la privacidad y presentar pruebas en contra.
3. Los recursos urgentes son revisados por una persona que no haya tomado la decisión original.
4. La reversión se propaga por el mismo canal firmado que la actuación original.
5. Las estadísticas agregadas sobre errores y restauraciones son públicas; el acceso a las pruebas confidenciales sigue estando restringido.

La puntuación pública de un registrador puede mejorar la rendición de cuentas, pero las clasificaciones simplistas se ven distorsionadas por el tamaño de la cartera, la cobertura de la fuente de datos, la composición de la clientela y el hecho de que los dominios se hayan registrado de forma maliciosa o se hayan visto comprometidos posteriormente. Una puntuación nunca debe justificar el bloqueo colectivo de todos los clientes de un registrador.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

Si se requiere un índice compuesto para la gobernanza, las ponderaciones deben establecerse antes de la evaluación, someterse a pruebas de sensibilidad y a pruebas retrospectivas con casos no incluidos en el modelo. Los resultados deben estratificarse por TLD, tamaño del registrador, clase de amenaza y fuente de la evidencia. El resultado es una señal de responsabilidad, no un veredicto automatizado sobre el dominio.

Un registro de transparencia puede evitar disputas sobre si se envió una notificación, cuándo se entregó y qué medidas se tomaron a raíz de ella. Sin embargo, publicar todos los elementos podría poner en riesgo a las víctimas, los datos personales, los métodos de investigación y las vías de explotación activas. La solución es el acceso por niveles.

Cada actualización es de solo adición, lleva una marca de tiempo y está firmada. Las correcciones no borran el historial, sino que añaden un registro que sustituye al anterior. La búsqueda pública debe respetar las normas de conservación, impedir la identificación masiva de víctimas y ofrecer reparación en caso de datos personales inexactos.

Un proyecto piloto útil debe ser lo suficientemente pequeño como para poder gestionarlo y lo suficientemente grande como para poner a prueba la cadena causal. Alcance sugerido: tres registradores voluntarios, dos operadores de registro, un socio de alojamiento/CDN, dos fuentes de investigación independientes y un comité de apelación cualificado. El protocolo del estudio y las definiciones de los resultados deben registrarse antes de asignar los casos.

Resultados principales del estudio piloto

• Tiempo mediano y del percentil 90 desde la obtención de pruebas validadas hasta la aplicación de medidas de mitigación eficaces.
• Diferencia en el perjuicio atribuible tras la notificación o un indicador sustitutivo de la exposición de la víctima previamente especificado.
• Tasa de falsos positivos, gravedad de las actuaciones indebidas y mediana del tiempo de restablecimiento.
• Recurrencia en el mismo titular, clúster de infraestructura y campaña.
• Coste operativo directo por caso validado y por medida de mitigación efectiva.

La respuesta al DNS Abuse no es un filtro puramente técnico ni un problema que una institución pueda resolver por sí sola. Los contratos vigentes de 2024 establecieron obligaciones de mitigación sustantivas, pero dejan un margen considerable sobre las pruebas, los plazos y el remedio. Esa discrecionalidad es necesaria para la proporcionalidad; sin registros comparables, también dificulta evaluar el rendimiento.

1. Normalizar el evidence envelope. Adoptar campos comunes de procedencia, marca de tiempo y resultado para informantes, registradores, registros y proveedores de infraestructura.
2. Medir las etapas por separado. Publicar los tiempos de acuse, triaje, decisión, mitigación y recurso por clase de amenaza y nivel de evidencia.
3. Distinguir entre un registro malicioso y una intrusión. Es preferible aplicar medidas correctivas a nivel de ruta o cuenta en el caso de servicios legítimos que hayan sido comprometidos, y reservar las medidas a nivel de dominio para aquellos casos en los que resulten proporcionadas.
4. Realizar un piloto de objetivos de respuesta. Probar objetivos por horas para registros maliciosos de propósito único y alta confianza, en lugar de declarar un plazo universal.
5. Publicar datos de rendición de cuentas compatibles con la privacidad. Utilizar un registro de transparencia por niveles con historiales firmados y pruebas restringidas.
6. Evaluar el impacto causal. No se debe equiparar una suspensión más rápida con un ahorro de dinero hasta que un estudio pre-registrado evalúe los efectos sobre las víctimas y el desplazamiento.

La conclusión constructiva no es que el problema original desaparezca una vez que se matizan sus afirmaciones. Es que ahora se pueden comprobar las afirmaciones centrales: el rango de daño tras la detección del 60-85 % es una hipótesis cuantitativa explícita; $100–150 es una hipótesis presupuestaria de ingeniería comprobable para una capa definida de sensores y triaje; y los objetivos de respuesta a escala horaria pueden ponerse a prueba para registros maliciosos de alta fiabilidad y con un único propósito. Publicar la carga de trabajo, los costes, las marcas de tiempo y los resultados, compararlos con una referencia y medir el desplazamiento y el error. La confirmación justificaría un cambio contractual y normativo; el rechazo identificaría qué hipótesis ha fallado.