Grupo NiceNIC International

Conclusiones principales

• Uno de cada dieciséis dominios es un sitio de phishing. Nuestro análisis completo de la zona, que abarcó 351 701 dominios registrados en NiceNIC, identificó 22 535 páginas de phishing confirmadas, lo que supone una tasa de contaminación del 6,4 %. Para un registrador de este tamaño, esa cifra es extraordinaria; la media del sector se sitúa muy por debajo del 0,5 %.
• Las plataformas de criptomonedas son el objetivo principal. Solo Coinbase sumó 3.798 dominios falsificados, mientras que Ledger (1.317) y Kraken (1.214) también fueron objeto de numerosos ataques. Este patrón concuerda con las operaciones organizadas de recopilación de frases de semillas, en las que se registran dominios de forma masiva, se mantienen activos durante un breve periodo de tiempo y, a continuación, se pasa a una nueva infraestructura.
• Los picos de registros revelan una actividad coordinada por parte de los actores. El 16 de junio de 2026 se registraron 1.382 dominios de phishing en un solo día, lo que supone 14,9 veces la media diaria. Los picos de esta magnitud no se producen de forma espontánea; indican la existencia de un pequeño número de actores que mantienen relaciones directas con los registradores, disponen de métodos de pago preaprobados y cuentan con procesos de aprovisionamiento automatizados.
• .com es el dominante, pero los TLD genéricos sirven como alternativa. De los 351 701 dominios analizados, 194 812 (el 55,4 %) utilizan la extensión .com. Sin embargo, la gestión por parte de NiceNIC de las extensiones .vip (27 121 dominios) y .icu (16 517 dominios) ofrece canales de registro masivo a bajo coste que los autores de amenazas aprovechan en gran medida cuando resulta más difícil adquirir rápidamente dominios .com.
• La respuesta ante los casos de abuso brilla por su ausencia. PhishDestroy ha presentado cientos de denuncias de abuso a NiceNIC a través de múltiples canales de notificación. Las tasas de retirada siguen siendo prácticamente nulas en el caso de la infraestructura de phishing activa. Los dominios que reciben notificaciones de retirada suelen volver a resolverse en un plazo de 24 a 48 horas bajo la misma cuenta de registrador, lo que indica que no se están aplicando medidas a nivel de cuenta.
• El conjunto de datos completo está archivado y es de acceso público. Todos los dominios de phishing, las fechas de registro, las marcas afectadas y las denuncias de uso indebido quedan documentados en el repositorio público de pruebas. Los datos están estructurados para su tramitación por parte de las fuerzas del orden y para la revisión de cumplimiento de la ICANN.

Transmisión en directo de la detección

Dominios de phishing de NiceNIC más recientes detectados por PhishDestroy. Se actualizan continuamente.

Pruebas e investigación relacionada