Dari Deteksi hingga penerapan langkah tanggapan

Pertanyaannya lebih spesifik daripada “siapa yang gagal?”: Penundaan apa saja yang dapat dicegah antara bukti yang telah diverifikasi dan tindakan yang proporsional, serta intervensi mana yang dapat mengurangi kerugian yang dialami korban tanpa menimbulkan hasil positif palsu yang tidak dapat diterima atau dampak sampingan?

Ruang lingkupnya mencakup ekosistem gTLD yang terikat kontrak: pemegang nama domain, pengecer, pendaftar nama domain, lembaga pendaftaran, serta fungsi kepatuhan kontrak ICANN. Penyedia layanan hosting, CDN, peramban, layanan pembayaran, platform periklanan, CERT nasional, dan otoritas peradilan pidana hanya dimasukkan jika mereka memengaruhi rantai bukti atau rantai tanggapan. TLD kode negara memiliki tata kelola yang berbeda dan tidak dianggap tunduk pada kontrak gTLD dari ICANN.

Status tesis-tesis utama

• Makalah ini menganalisis ICANN sebagai lembaga tata kelola swasta dan penegakan kepatuhan kontrak dalam ekosistem gTLD. ICANN bukanlah regulator pemerintah atau badan penegak hukum, namun lembaga ini memberikan akreditasi kepada registrar, menandatangani perjanjian dengan operator registry, dan menegakkan perjanjian-perjanjian tersebut; lingkup kewenangan yang terbatas tersebut tidak menghilangkan pertanggungjawaban kelembagaan.
• Rentang 60–85% merupakan perkiraan kuantitatif utama dalam model dampak yang diuraikan dalam makalah ini. Angka tersebut disajikan sebagai perkiraan yang dapat diuji, yang diperoleh dari asumsi-asumsi eksplisit dan pengamatan kasus—bukan sebagai angka statistik yang sudah mapan untuk seluruh kasus penipuan di seluruh dunia. Penerbitan kumpulan data tingkat insiden yang menyelaraskan cap waktu deteksi, pemberitahuan, mitigasi, dan dampak merupakan langkah pembuktian berikutnya.
• Angka $100–150 merupakan perkiraan anggaran teknik yang dapat diuji untuk pengumpulan berkelanjutan dan penyaringan awal atas sekumpulan data yang telah ditentukan, meliputi zona yang dapat diakses, Certificate Transparency, dan data umpan publik mengenai infrastruktur komoditas. Angka ini bukanlah biaya untuk visibilitas global yang lengkap, tinjauan hukum, banding, ketersediaan tinggi, atau penegakan hukum. Oleh karena itu, makalah ini memperlakukannya sebagai tolok ukur yang dapat direproduksi dengan beban kerja, inventaris sumber, dan catatan biaya yang dipublikasikan—bukan sebagai harga universal yang telah terbukti. Perbedaan tersebut mempersempit klaim tanpa menghilangkan asimetri biaya yang sedang diuji.
• Perbandingan selama tiga minggu dalam makalah ini berkaitan dengan latensi kepatuhan, bukan SLA penutupan domain secara universal. ICANN’s Pertanyaan Umum (FAQ) tentang Kepatuhan Kontrak disebutkan bahwa sebagian besar jenis keluhan dapat melewati tiga periode tanggapan berturut-turut masing-masing selama lima hari kerja sebelum ditindaklanjuti secara formal, sementara banyak kampanye jahat beroperasi selama berjam-jam atau berhari-hari. Kontrak-kontrak tersebut secara terpisah mensyaratkan tindakan mitigasi yang cepat dan tepat setelah adanya bukti yang dapat ditindaklanjuti. [2][4]
• Untuk pendaftaran berbahaya yang telah diverifikasi dan memiliki tujuan tunggal, serverHold merupakan salah satu langkah mitigasi tingkat DNS yang paling mengganggu karena menghapus delegasi dari zona tersebut. Langkah ini tidak bersifat universal: langkah ini juga dapat mengganggu layanan email, subdomain, dan layanan yang sah; jawaban yang tersimpan dalam cache mungkin tetap ada hingga masa berlaku TTL habis; dan layanan yang disusupi atau digunakan bersama mungkin memerlukan langkah mitigasi yang lebih spesifik. [4][7]

Laporan enam bulan pertama ICANN mengenai pelaksanaan persyaratan kontrak berdasarkan amandemen tahun 2024 mencatat 192 penyelidikan, lebih dari 2.700 domain yang ditangguhkan, lebih dari 350 halaman phishing yang dinonaktifkan, dan dua Pemberitahuan Pelanggaran. Angka-angka tersebut tidak membuktikan bahwa pengendalian saat ini sudah memadai, tetapi angka-angka tersebut membantah klaim mutlak bahwa sistem tidak mengambil tindakan apa pun. [5]

Beberapa operasi phishing berlangsung dalam rentang waktu beberapa jam atau beberapa hari. Bijmans dkk. melaporkan bahwa masa aktif rata-rata yang teramati adalah 45 jam dan mediannya 24 jam untuk 1.288 domain phishing dalam sebuah studi tahun 2021. [11] Sebuah studi tahun 2026 mengenai domain phishing yang baru terdaftar melaporkan distribusi yang sangat tidak seimbang: dari 14.112 domain dengan masa aktif yang dapat diukur, rata-rata masa aktifnya adalah 8,6 hari dan mediannya satu hari. [12] Kedua sampel tersebut tidak dapat digeneralisasikan untuk setiap kategori ancaman, namun keduanya menunjukkan mengapa proses yang hanya diukur dalam satuan hari kerja dapat melewatkan operasi penipuan dan phishing yang berlangsung singkat.

Aset yang secara ekonomi relevan seringkali bukanlah biaya pendaftaran, melainkan lalu lintas, konten kreatif, infrastruktur, dan kepercayaan yang terakumulasi di sekitar sebuah domain. Intuisi tersebut masuk akal; besarannya bervariasi tergantung pada operasi penipuan dan phishing. Oleh karena itu, kalkulator di bawah ini menampilkan setiap nilai masukan, alih-alih menyajikan hasil hipotetis sebagai rata-rata yang teramati.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

“Kerugian setelah deteksi” hanya dapat menjadi hasil yang berguna jika deteksi, penyampaian, dan kerugian didefinisikan secara konsisten. Cap waktu pada daftar hitam bukanlah bukti bahwa pendaftar domain telah menerima bukti yang dapat ditindaklanjuti. Transaksi dompet digital tidak secara otomatis dapat dikaitkan dengan satu domain tertentu. Domain yang menjadi tidak dapat diakses tidak menunjukkan pelaku mana yang menyebabkan perubahan tersebut.

Skema acara minimum

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

Pembilang dan penyebut harus menggunakan aturan atribusi yang sama. Hasil harus melaporkan kohort, interval kepercayaan, sensor kanan, sumber data yang hilang, penanganan korban ganda, dan sensitivitas terhadap jendela pengamatan. Label “dapat dicegah” harus disediakan khusus untuk desain kausal atau, setidaknya, perbandingan yang dipasangkan — bukan setiap kejadian setelah pemberitahuan.

Tidak ada satu pihak pun yang dapat memantau atau mengendalikan seluruh kejadian tersebut secara menyeluruh. Pihak pendaftar (registrar) mengetahui hubungan dengan pihak yang mendaftar (registrant); pihak registri (registry) mengendalikan status domain yang ditetapkan oleh registri; pihak host dan penyedia layanan penamaan (CDN) mengendalikan penyampaian konten; peramban (browser) dan penyedia layanan keamanan mengendalikan peringatan; penyedia layanan pembayaran dan dompet digital dapat menghentikan transfer; sementara pihak berwenang dapat memaksa pelestarian atau penyitaan data. Pihak yang mengendalikan (ICANN) menyusun dan menegakkan kontrak dalam ekosistem pendaftaran nama domain (gTLD), namun tidak mengoperasikan sistem kendali universal (EPP).

Kemampuan terdistribusi tidak berarti hilangnya tanggung jawab. Pendaftar sponsor tidak melepaskan kewajiban kontraktualnya dengan mendelegasikan penanganan penyalahgunaan kepada reseller; registri mengendalikan status EPP yang ditetapkan server; ICANN menegakkan kepatuhan kontraktual. Jejak audit harus mencatat tidak hanya siapa yang bertindak, tetapi juga siapa yang menerima bukti yang dapat ditindaklanjuti, mengalihkan kasus, gagal merespons, atau gagal melaksanakan tugas yang ditugaskan. Kewenangan hukum tetap berada pada pihak yang berwenang untuk menerapkan tindakan; pertanggungjawaban juga mencakup ketidakpatuhan yang terdokumentasi.

Amandemen global April 2024 terhadap Perjanjian Akreditasi Registrar dan Perjanjian Registri Dasar menetapkan kewajiban tegas untuk memitigasi DNS Abuse. Registrar wajib bertindak segera ketika memiliki bukti yang dapat ditindaklanjuti bahwa nama yang disponsorinya digunakan untuk DNS Abuse. Operator registri wajib bertindak segera apabila, berdasarkan bukti yang dapat ditindaklanjuti, mereka secara wajar menentukan bahwa suatu nama terdaftar digunakan untuk DNS Abuse. Dalam kedua kasus, tindakan yang tepat bergantung pada konteks, tingkat keparahan, dan dampak sampingan. [2][3]

Tiga garis waktu yang sering disamakan

Fleksibilitas ini memiliki manfaat: domain universitas yang diretas tidak seharusnya ditangani seperti domain phishing tujuan tunggal yang baru didaftarkan. Masalah akuntabilitasnya adalah bahwa istilah “segera” dan “tepat” sulit untuk dibandingkan tanpa adanya cap waktu yang dipublikasikan, kategori kasus, dan kode hasil. Usulan di bawah ini menambahkan mekanisme pengukuran dan peninjauan tanpa menganggap bahwa satu batas waktu berlaku untuk setiap kasus.

Phishing secara eksplisit termasuk dalam definisi kontraktual DNS Abuse. Batas yang lebih sulit menyangkut situs yang menipu pengguna dengan nama aslinya sendiri, alih-alih menyamar sebagai pihak ketiga yang dapat dikenali—misalnya platform investasi palsu, toko penipuan, penipuan pemulihan dana, dan skema tanda tangan dompet. Bergantung pada fakta, kasus tersebut dapat diperlakukan sebagai pelanggaran pada lapisan konten situs, penipuan konsumen, atau kategori hukum lain, bukan DNS Abuse kontraktual.

Konsultasi kebijakan dapat mempertimbangkan apakah kategori sempit berbasis bukti seperti VFHA sebaiknya dimasukkan ke dalam kontrak mendatang, kerangka rujukan lintas sektor, atau hukum nasional. Perluasan harus mensyaratkan uji kerugian yang tepat, bukti andal, pemulihan proporsional, tinjauan yurisdiksi, dan banding. Label “penipuan” yang samar tidak memadai.

Sebuah server komoditas dapat mengunduh snapshot yang dapat diakses dari berkas zona gTLD yang berpartisipasi dan menghitung perubahannya secara lokal, mengimpor peristiwa Certificate Transparency yang dipilih serta umpan terbuka, menormalisasi string, menghitung hash, dan memprioritaskan kandidat. Ini merupakan tolok ukur teknik yang berguna dan dapat diuji—bukan “pemantauan Internet secara menyeluruh.” Pada kuartal kedua tahun 2026, Verisign melaporkan 401,6 juta pendaftaran di seluruh TLD; CZDS mencakup berkas zona gTLD yang berpartisipasi, bukan semua TLD, dan CT mencatat sertifikat atau pra-sertifikat yang tercatat secara publik, bukan setiap domain yang aktif atau berbahaya. [8][9][17]

Kerangka kerja yang diusulkan ini merupakan arsitektur acuan, bukan “kill switch” global otomatis. Kerangka kerja ini menstandarkan format kasus, catatan keputusan, dan cap waktu, sekaligus memungkinkan operator yang berwenang untuk memilih tindakan efektif yang paling minim menimbulkan gangguan.

Tingkat bukti

API harus membuat kasus yang dapat diverifikasi dan memulai penghitung waktu respons yang dapat diaudit; seorang pelapor tidak boleh dapat mengeluarkan perintah penangguhan secara langsung. Jika kasus E3/E4 berkaitan dengan pendaftaran berbahaya yang bertujuan tunggal dan kedaluwarsa tanpa keputusan yang beralasan atau mitigasi yang efektif, sistem secara otomatis akan meneruskannya ke operator registri atau pihak lain yang memiliki kewenangan kontraktual atau hukum. A serverHold Perintah hanya dapat berasal dari pihak yang berwenang. Eskalasi otomatis dan kewenangan pendaftaran untuk bertindak saat masa berlaku habis merupakan usulan perubahan kebijakan, bukan klaim mengenai kewenangan yang sudah ada. Setiap transisi status ditandatangani dan dicatat dalam log audit.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

Respons yang berhasil akan mengembalikan ID kasus, pihak penerima, tingkat bukti, kesalahan kelengkapan, waktu peninjauan yang ditargetkan, dan URL transparansi publik. Respons tersebut tidak boleh menjanjikan tindakan perbaikan tertentu sebelum pihak yang berwenang mengevaluasi kewenangan dan dampak sampingan.

Sasaran tingkat layanan sebaiknya dibedakan ucapan terima kasih, triase, keputusan dan mitigasi yang efektif. Hal ini memungkinkan kinerja diukur tanpa mengasumsikan bahwa penangguhan selalu merupakan hasil yang tepat.

Ini adalah target awal. Nilai yang tepat harus ditentukan berdasarkan masa aktif ancaman yang teramati, jumlah personel, biaya kesalahan, dan batasan hukum, kemudian dipublikasikan bersama distribusi pencapaian, bukan hanya nilai rata-rata tunggal.

Tanggapan yang cepat tanpa langkah-langkah pengamanan dapat memperparah masalah data yang salah hingga berujung pada sensor, sabotase komersial, atau gangguan infrastruktur. Oleh karena itu, arsitektur yang tepat menganggap hasil positif palsu dan dampak sampingan sebagai kegagalan keamanan yang sangat serius.

Jaminan prosedur hukum yang layak minimal

1. Kode alasan, tingkat bukti, dan pengambil keputusan yang bertanggung jawab dicatat untuk setiap tindakan pembatasan.
2. Seorang pendaftar dapat memperoleh pernyataan alasan yang menjamin privasi dan mengajukan bukti tandingan.
3. Kasus-kasus yang bersifat mendesak (banding) ditinjau oleh seseorang yang tidak terlibat dalam pengambilan keputusan awal.
4. Pembalikan menyebar melalui saluran bertanda yang sama dengan tindakan aslinya.
5. Statistik kesalahan dan pemulihan secara keseluruhan bersifat terbuka untuk umum; sedangkan bukti-bukti sensitif tetap dikendalikan aksesnya.

Skor pendaftar publik dapat meningkatkan akuntabilitas, namun peringkat yang dibuat secara sembarangan dapat terdistorsi oleh ukuran portofolio, cakupan data, komposisi pelanggan, serta apakah domain tersebut didaftarkan dengan niat jahat atau kemudian diretas. Skor tersebut tidak boleh dijadikan alasan untuk melakukan pemblokiran massal terhadap seluruh pelanggan dari sebuah pendaftar.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

Jika diperlukan penilaian gabungan (composite) untuk tujuan tata kelola, bobot harus ditetapkan sebelum evaluasi, diuji sensitivitasnya, dan diuji kembali (backtest) terhadap kasus-kasus yang disisihkan. Hasilnya harus dikelompokkan berdasarkan jenis ancaman (TLD), ukuran pendaftar (registrar size), kelas ancaman (threat class), dan sumber bukti. Hasil akhirnya adalah sinyal akuntabilitas — bukan putusan otomatis mengenai domain.

Pendaftaran transparansi dapat menghilangkan perselisihan mengenai apakah suatu pemberitahuan pernah ada, kapan pemberitahuan tersebut disampaikan, dan tindakan apa yang diambil selanjutnya. Namun, mempublikasikan setiap bukti dapat membahayakan identitas korban, data pribadi, metode investigasi, dan jalur eksploitasi yang masih aktif. Solusinya adalah sistem akses berjenjang.

Setiap pembaruan bersifat "append-only", dilengkapi cap waktu, dan ditandatangani. Koreksi tidak menghapus riwayat; melainkan menambahkan catatan yang menggantikan catatan sebelumnya. Pencarian publik harus mematuhi aturan penyimpanan, mencegah pengungkapan massal identitas korban, dan menyediakan mekanisme ganti rugi atas data pribadi yang tidak akurat.

Sebuah uji coba awal yang bermanfaat harus cukup kecil agar dapat dikelola dengan baik dan cukup besar untuk menguji rantai kausal. Cakupan yang disarankan: tiga pendaftar sukarela, dua operator registri, satu mitra hosting/CDN, dua sumber data penelitian independen, dan panel banding yang berkualifikasi. Protokol penelitian dan definisi hasil harus didaftarkan sebelum kasus-kasus dialokasikan.

Hasil utama program percontohan

• Waktu median dan persentil ke-90 dari bukti yang telah divalidasi hingga penerapan mitigasi yang efektif.
• Perbedaan dalam kerugian yang dapat dikaitkan setelah pemberitahuan atau indikator paparan korban yang telah ditentukan sebelumnya.
• Tingkat hasil positif palsu, tingkat keparahan tindakan yang keliru, dan waktu pemulihan median.
• Pengulangan pada pendaftar, klaster infrastruktur, dan tingkat operasi penipuan/phishing yang sama.
• Biaya operasional langsung per kasus yang telah diverifikasi dan per langkah mitigasi yang efektif.

Respons terhadap DNS Abuse bukan sekadar filter teknis, dan bukan pula masalah yang dapat diselesaikan oleh satu lembaga saja. Perubahan kontrak tahun 2024 menetapkan kewajiban mitigasi yang bermakna, tetapi tetap memberikan keleluasaan besar terkait bukti, waktu, dan tindakan pemulihan. Keleluasaan itu diperlukan demi proporsionalitas; tanpa catatan yang dapat dibandingkan, kinerja juga sulit dievaluasi.

1. Standarkan paket bukti. Gunakan bidang bersama untuk asal-usul bukti, stempel waktu, dan hasil di antara pelapor, registrar, registri, dan penyedia infrastruktur.
2. Ukur setiap tahap secara terpisah. Publikasikan waktu konfirmasi penerimaan, triase, keputusan, mitigasi, dan banding berdasarkan kelas ancaman dan tingkat bukti.
3. Bedakan pendaftaran berbahaya dari kompromi layanan. Prioritaskan pemulihan pada tingkat jalur/akun untuk layanan sah yang terkompromi, dan gunakan tindakan seluruh domain hanya ketika proporsional.
4. Uji coba target respons. Uji sasaran berskala jam untuk pendaftaran berbahaya dengan keyakinan tinggi dan tujuan tunggal, alih-alih menetapkan tenggat universal.
5. Publikasikan data akuntabilitas yang menjamin privasi. Gunakan sistem pendaftaran transparansi berjenjang yang dilengkapi dengan riwayat yang telah ditandatangani dan bukti yang dibatasi aksesnya.
6. Evaluasi dampak kausal. Jangan menyamakan penangguhan yang lebih cepat dengan uang yang terselamatkan sebelum studi praregistrasi mengukur dampak terhadap korban dan perpindahan ancaman ke saluran lain.

Kesimpulan yang konstruktif bukanlah bahwa masalah awal akan hilang begitu klaim-klaimnya dikualifikasi. Melainkan bahwa klaim-klaim inti kini dapat diuji: rentang kerugian pasca-deteksi sebesar 60–85% merupakan hipotesis kuantitatif yang eksplisit; $100–150 merupakan asumsi anggaran teknik yang dapat diuji untuk lapisan sensor dan triase yang telah didefinisikan; dan target respons dalam skala jam dapat diuji coba untuk pendaftaran jahat yang memiliki tingkat keyakinan tinggi dan tujuan tunggal. Publikasikan beban kerja, biaya, cap waktu, dan hasilnya, bandingkan dengan garis dasar, lalu ukur pergeseran dan kesalahannya. Konfirmasi akan membenarkan perubahan kontrak dan kebijakan; penolakan akan mengidentifikasi asumsi mana yang gagal.