# PhishDestroy — es/icann-cybercrime-economy-exposed ================================================================ Title: La ilusión del control: cómo la ICANN está financiando la ciberdelincuencia a nivel mundial Canonical: https://phishdestroy.io/es/icann-cybercrime-economy-exposed Published: 2026-06-28T00:00:00 Updated: 2026-06-28 Author: PhishDestroy Research Schema: NewsArticle, Organization, ImageObject, BreadcrumbList, ListItem, WebPage, WebSite Keywords: ICANN, cybercrime, domain abuse, registry fees, ShortDot, .bond, .sbs, .icu, TrustName, NameSilo, phishing, PhishDestroy, OSINT OG image: https://phishdestroy.io/assets/icann-cybercrime-hero.png ## SUMMARY ---------------------------------------------------------------- Una investigación OSINT sobre la estructura de incentivos basada en las comisiones del sector de los dominios. Un modelo de comisiones brutas y exposición a los ingresos aplicado a 7,9 millones de dominios activos en 7 TLD con un alto índice de abusos. ## STRUCTURE ---------------------------------------------------------------- - La ilusión del control: cómo la ICANN está financiando la ciberdelincuencia a nivel mundial - El conflicto de intereses en el corazón de Internet - El alcance: un año, menos del 10 % cubierto - Las cifras: un modelo de ingresos por comisiones - Modelo de tasas de la ICANN desde el punto de vista de los registros - Modelo opcional de «pass-through» por parte del registrador - Desglose por TLD - Casos de abuso con un alto grado de fiabilidad, clasificados por motivo - Clientes potenciales por TLD - Clientes potenciales por país de IP - Un precedente de inacción - Los jugadores - ShortDot SA — El motor de volumen - TrustName — A prueba de fallos desde el diseño - Próximamente, antes del 5 de julio: el informe anual - Fuentes - La base de datos cumple un año el 5 de julio - Comparte esta investigación - Investigaciones relacionadas ## CONTENT ---------------------------------------------------------------- Volver a las noticias INVESTIGACIÓN OSINT · LA ECONOMÍA DE LOS DOMINIOS La ilusión del control: cómo la ICANN está financiando la ciberdelincuencia a nivel mundial Una investigación OSINT sobre la estructura de incentivos basada en las comisiones del sector de los dominios · 7,9 millones de dominios activos · 7 TLD con un alto índice de abusos · Un modelo de comisiones brutas y exposición a los ingresos 11 minutos de lectura· Publicado 28 de junio de 2026· Investigación de PhishDestroy 7,945,325 Dominios activos incluidos en el ámbito de aplicación (7 TLD) 7,701 Pistas de abuso con un alto grado de fiabilidad $0.27 Tarifa del registro / Dominio (modelo) ~2,16 millones de dólares Ingresos por tasas de registro / Año (modelo) El conflicto de intereses en el corazón de Internet La ICANN se presenta como el organismo regulador supremo e independiente del mercado mundial de dominios. Establece las normas, acredita a los registradores, firma los contratos con los registros y, en teoría, se encarga de velar por que no se produzcan abusos en todo el espacio de nombres. Hay un detalle que rompe discretamente esta imagen: La ICANN recibe financiación precisamente del mercado que se supone que debe regular. Cada dominio que se registra genera ingresos para la ICANN. Imagina, por un momento, que la SEC tuviera, literalmente, una participación en Binance y cobrara una comisión por cada operación. Esa es la posición estructural que el sector de los dominios se ha labrado. El funcionamiento no es ningún misterio. Para crear una nueva zona de dominio de primer nivel se requiere un cuota de inscripción de 227 000 dólares. Una vez que una zona está activa, el registro abona una cuota anual de 25 800 dólares. Y una vez que una zona supera los 50 000 dominios registrados, la ICANN recauda aproximadamente $0.25 for every registered domain. El cálculo es sencillo, al igual que el incentivo que genera: cuantos más dominios haya, más dinero circula, tanto si esos dominios alojan un hospital como si se trata de una estafa para vaciar la cartera. El sistema de incentivos premia la inscripción masiva, no la seguridad. Un organismo regulador al que se le paga por unidad de lo que regula no tiene ningún motivo económico para querer que haya menos unidades, ni siquiera cuando una gran parte de esas unidades son registros basura creados con fines fraudulentos. Aviso legal sobre precisión y metodología Se trata de un modelo basado en el cobro de tasas, no en los beneficios de la ICANN. Los conjuntos de datos contienen dominios activos y señales de clasificación de abusos, pero no el recuento exacto de transacciones, la atribución de los registradores, los precios al por mayor de los registros o los costes operativos de la ICANN. A lo largo de este informe utilizamos el enfoque ingresos por honorarios, exposición de ingresos y modelo de honorarios brutos. Nunca afirmamos que haya «rentabilidad». Todas las cifras que figuran a continuación son cálculos transparentes basados en las tarifas públicas aplicadas al número de dominios activos: se trata de una estimación del orden de magnitud del dinero que circula por el sistema, no de una cuenta de resultados cuantificada. El alcance: un año, menos del 10 % cubierto El 5 de julio, el PhishDestroy base de datos pública (DestroyList) [https://gitlab.com/phishdestroy/destroylist] cumple un año. Es una plataforma abierta y gratuita que utilizan investigadores, proveedores de monederos electrónicos y empresas de seguridad de todo el mundo. Y esta es la incómoda realidad tras un año completo de funcionamiento: en doce meses de trabajo ininterrumpido, no ha sido capaz de hacer frente ni siquiera al 10 % de la avalancha de phishing. No porque el equipo haya dejado de actuar, sino porque la oferta de nuevos dominios maliciosos es, en la práctica, ilimitada al precio en torno al cual se ha diseñado el sistema. Cuando un dominio cuesta menos que una taza de café y el regulador obtiene beneficios por cada uno que se crea, el volumen siempre prevalece. Las cifras: un modelo de ingresos por comisiones A lo largo de Los 7 nuevos dominios de nivel superior (TLD) con mayor índice de abuso, nuestro proceso de triaje identificó 7.945.325 dominios activos. Solo con esos dominios, al aplicar la tabla de tarifas publicada por la propia ICANN se obtiene el modelo que se muestra a continuación. 3,047,348 Dominios con IP (38,35 %) 4,897,977 Dominios sin IP (61,65 %) 913,199 Dominios con nombre de host (11,49 %) 7,701 Pistas de abuso de alta fiabilidad (0,10 %) Modelo de tasas de la ICANN desde el punto de vista de los registros Fuente: Acuerdo de Registro Básico de la ICANN, artículo 6.1: cuota fija de registro de 6.250 dólares por trimestre y por TLD, más una comisión por transacción de registro de 0,25 dólares por cada incremento anual una vez superado el umbral de 50.000 transacciones. ↔ Gama de modelos | Cálculo | Presupuesto Tasa por transacción de registro | 7,945,325 × $0.25 | $1,986,331.25 Tasa fija de inscripción | 7 TLDs × $25,000/year | $175,000.00 Modelo de tasas de la ICANN por parte de los registradores | transacción + fijo | $2,161,331.25 / year-model Tarifa efectiva por dominio, según el registro | ÷ 7,945,325 | $0.27 Modelo opcional de «pass-through» por parte del registrador Fuente: Acuerdo de acreditación de registradores de la ICANN, sección 3.9. Nota: la cifra de 0,18 dólares por dominio y año es una hipótesis del modelo, no una factura comprobada. Esta capa se presenta únicamente como un escenario de sensibilidad. ↔ Gama de modelos | Cálculo | Presupuesto Modelo de administración del registrador | 7,945,325 × $0.18 | $1,430,158.50 Modelo variable combinado | 7,945,325 × $0.43 | $3,416,489.75 Variable combinada + registro fijo | — | $3,591,489.75 / year-model Tarifa efectiva combinada por dominio | ÷ 7,945,325 | $0.45 Considéralas como «exposición de ingresos», no como ingresos. El modelo combinado (aprox. 3,59 millones de dólares al año) representa el límite máximo de los ingresos por tasas que se generan en este segmento de 7 TLD. Se trata de los ingresos brutos por tasas antes de deducir cualquier coste, reembolso, cancelación o reparto mayorista; es un indicador de escala, no del beneficio neto de ninguna entidad. Desglose por TLD Las siete zonas no son iguales. Algunas se caracterizan únicamente por el volumen; otras concentran el abuso. La .vip y .icu Estas zonas, por sí solas, representan la inmensa mayoría de las pistas sobre abusos con un alto grado de fiabilidad. ↔ TLD | Dominios activos | Con IP | Casos de abuso de alto nivel | Modelo basado en el registro | Modelo combinado .sbs | 1,900,628 | 632,352 | 243 | $500,157.00 | $842,270.04 .vip | 1,891,899 | 1,235,909 | 4,388 | $497,974.75 | $838,516.57 .bond | 1,333,658 | 104,650 | 134 | $358,414.50 | $598,472.94 .cfd | 936,860 | 402,780 | 242 | $259,215.00 | $427,849.80 .icu | 934,951 | 279,093 | 2,607 | $258,737.75 | $427,028.93 .cyou | 744,378 | 270,498 | 74 | $211,094.50 | $345,082.54 .buzz | 202,951 | 122,066 | 13 | $75,737.75 | $112,268.93 TOTAL | 7,945,325 | 3,047,348 | 7,701 | $2,161,331.25 | $3,591,489.75 Casos de abuso con un alto grado de fiabilidad, clasificados por motivo Motivo de la detección | Clientes potenciales punycode_idn | 6,794 crypto_brand_plus_action_or_auth | 372 document_or_mail_brand_plus_auth_doc | 188 finance_brand_plus_auth_payment | 170 wallet_drainer_lure | 102 apple_icloud_plus_auth | 93 social_brand_plus_auth | 80 brand_auth_random_suffix | 23 cloudflare_plus_auth | 3 Clientes potenciales por TLD TLD | Clientes potenciales .vip | 4,388 .icu | 2,607 .sbs | 243 .cfd | 242 .bond | 134 .cyou | 74 .buzz | 13 Clientes potenciales por país de IP País | Clientes potenciales (en blanco / sin resolver) | 5,166 EE. UU. | 940 HK | 566 CN | 375 SG | 131 MI | 87 DE | 78 EN | 69 JP | 46 GB | 40 CA | 34 BG | 28 Un precedente de inacción La respuesta habitual es que la ICANN cuenta con un departamento de cumplimiento que se encarga de los abusos. En la práctica, ese departamento de cumplimiento es un lugar donde las denuncias bien documentadas acaban archivadas. Consideremos el Caso de cumplimiento de la ICANN: «Artists vs. NameSilo» [https://blog.aa419.org/icann-compliance-complaint-uny-783-11184-namesilo-standards-compliance/]. Una denuncia debidamente fundamentada sobre la gestión de un caso de abuso por parte de un registrador se elevó a través de los canales oficiales, y la ICANN, en la práctica, se desentendió del asunto. Esta pauta se aprecia claramente en el Cuadro de mando de cumplimiento de la ICANN [https://compliance-reports.icann.org/compliance/dashboard/2026/0426/report.html]: un flujo constante de reclamaciones, que se archivan como «resueltas» sin que se aprecie apenas ningún cambio en el comportamiento del registrador. Registro público Cuadro de mando de cumplimiento de la ICANN (04/2026): compliance-reports.icann.org/compliance/dashboard/2026/0426/report.html [https://compliance-reports.icann.org/compliance/dashboard/2026/0426/report.html] Los jugadores ShortDot SA — El motor de volumen Varias de las zonas que figuran en este informe son gestionadas por ShortDot SA (en la que, según se informa, NameSilo tiene una participación de alrededor del 11 %). La cartera de ShortDot incluye .icu, .bond, .cyou, .sbs, .cfd, .qpon y .buzz. Una pregunta lógica que se le puede plantear a cualquier persona del sector: ¿Cuándo fue la última vez que viste una página web legítima y conocida, de «sombrero blanco», con alguna de estas extensiones? La respuesta sincera, para la mayoría de la gente, es «nunca». Estas zonas se encuentran casi en su totalidad en la «cola larga» de los registros que se desechan. La hipocresía de .bond. .bond Se promocionó como un destino de primera categoría para el sector financiero. El mundo financiero real lo rechazó de plano: ningún banco ni gestora de activos que se precie trasladó allí su marca. En cambio, se convirtió en una mina de oro para phishing bancario y de criptomonedas: una extensión que suena a finanzas, pero que no está sujeta a ningún tipo de control propio del sector financiero. TrustName — A prueba de fallos desde el diseño Y luego está Nombre del fideicomiso, una empresa bielorrusa que configuró lo que equivale a Un DNS a prueba de fallos tan solo dos días después de su lanzamiento y, desde entonces, la ICANN no ha podido ponerse en contacto con él de forma efectiva. Las denuncias por abuso no llegan a ninguna parte; el «regulador» no dispone de ningún medio eficaz al que recurrir. Lo más llamativo es la geopolítica: Las sanciones parecen eludir por completo al organismo regulador.. Una entidad que estaría prohibida en casi cualquier otro sector regulado sigue operando dentro del ecosistema de la ICANN porque las cuotas siguen llegando y nadie tiene ningún incentivo para ponerle fin. Investigación relacionada TrustName: DNS a prueba de fallos configurado dos días después del lanzamiento — Lee el informe completo de TrustName → Próximamente, antes del 5 de julio: el informe anual Antes de que la base de datos cumpla un año, PhishDestroy publicará un informe anual que pone al descubierto a los registradores — entre otros TrustName, NiceNIC, NameSilo y otros — que ignoró denuncias de abuso totalmente justificadas por Más de 300 días, hasta que los dominios en cuestión caducaran por sí solos. No será un resumen. Incluirá el los textos originales de los informes, los seguimientos y las marcas de tiempo exactas — un historial documental completo que muestre con exactitud cuánto tiempo puede seguir en funcionamiento un dominio documentado y claramente malicioso mientras las personas a las que se les paga para vigilarlo miran para otro lado. Más de 300 días de silencio no es un retraso. Es un modelo de negocio. Cuando lo único que finalmente consigue que un dominio malicioso deje de estar activo es su propia fecha de caducidad, el sistema de gestión de abusos ha dejado de ser un mecanismo de seguridad para convertirse en un ciclo de facturación. Fuentes Acuerdo de Registro Básico de la ICANN, art. 6.1 Tarifa fija de registro + tabla de comisiones por transacción utilizada en el modelo basado en el registro. [https://itp.cdn.icann.org/en/files/registry-agreements/base-registry-agreement-21-01-2024-en.html] RAA de la ICANN, sección 3.9 Cuotas de acreditación anuales y variables que se aplican en el modelo opcional de repercutición. [https://www.icann.org/en/system/files/files/registrar-accreditation-agreement-21jan24-en.htm] Cuadro de mando de cumplimiento de la ICANN, abril de 2026 Registro público de las denuncias recibidas y de los resultados de su resolución. [https://compliance-reports.icann.org/compliance/dashboard/2026/0426/report.html] Caso de cumplimiento normativo: «Artists» contra «NameSilo» Queja documentada sobre el cumplimiento normativo (UNY-783-11184) y su resultado. [https://blog.aa419.org/icann-compliance-complaint-uny-783-11184-namesilo-standards-compliance/] La base de datos cumple un año el 5 de julio DestroyList es una plataforma abierta, gratuita y creada por operadores. Durante este año ha luchado por mantenerse a flote ante una avalancha que la estructura de tarifas no deja de alimentar. Úsala, réplicala, amplíala… y no te pierdas el informe anual del registrador, que se publicará antes del 5 de julio. Abrir la base de datos pública [https://gitlab.com/phishdestroy/destroylist] Denunciar un dominio Más investigaciones #ICANN#DomainAbuse#OSINT#PhishingEconomy#RegistryFees Comparte esta investigación X/Twitter [https://twitter.com/intent/tweet?text=The%20Illusion%20of%20Control%3A%20How%20ICANN%20is%20Bankrolling%20Global%20Cybercrime&url=https://phishdestroy.io/icann-cybercrime-economy-exposed] Telegram [https://t.me/share/url?url=https://phishdestroy.io/icann-cybercrime-economy-exposed&text=An%20OSINT%20investigation%20into%20the%20fee-driven%20incentive%20structure%20of%20the%20domain%20industry.] Reddit [https://reddit.com/submit?url=https://phishdestroy.io/icann-cybercrime-economy-exposed&title=The%20Illusion%20of%20Control%3A%20How%20ICANN%20is%20Bankrolling%20Global%20Cybercrime] Investigaciones relacionadas INVESTIGACIÓN EN PROFUNDIDAD TrustName: el registrador «a prueba de balas» al que la ICANN no puede acceder INVESTIGACIÓN EN PROFUNDIDAD El fin de xmrwallet.com: NameSilo al descubierto INVESTIGACIÓN Los registradores facilitan las estafas a escala mundial ## EXTERNAL REFERENCES ---------------------------------------------------------------- gitlab.com (3 mentions) compliance-reports.icann.org (3 mentions) blog.aa419.org (2 mentions) t.me (2 mentions) itp.cdn.icann.org (1 mention) www.icann.org (1 mention) twitter.com (1 mention) reddit.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) huggingface.co (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/es/icann-cybercrime-economy-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.