Ketika Laporan Penyalahgunaan Tak Menemui Tindakan: Bagaimana Penyedia Layanan Pendaftaran Menjadi Mitra Diam-diam dalam Kejahatan Siber

Sistem yang Rusak

Setiap laporan penyalahgunaan yang kami kirimkan mengikuti protokol yang jelas: URL domain, kategori (phishing, crypto drainer, kasino palsu), jumlah deteksi di VirusTotal, bukti tangkapan layar, dan status daftar hitam. Ini bukanlah keluhan yang samar-samar — melainkan paket bukti forensik. Namun, domain demi domain tetap online selama minggu dan bulan setelah laporan pertama.

Tidak ada standar universal mengenai cara pendaftar domain harus menangani laporan penyalahgunaan. Tidak ada Perjanjian Tingkat Layanan (SLA). Tidak ada batas waktu respons yang wajib dipatuhi. Tidak ada tolok ukur akuntabilitas. Setiap pendaftar domain memutuskan sendiri apakah domain yang dilaporkan sebagai 16 mesin antivirus layak mendapat perhatian — atau balasan templat dan tiket yang ditutup.

Siapa yang Mampu Mengatasi 16 Mesin Antivirus?

Inilah pertanyaan yang tidak ingin dijawab oleh registrar mana pun. Ketika Kaspersky, ESET, Fortinet, BitDefender, Sophos, G-Data dan sepuluh penyedia layanan keamanan lainnya menandai sebuah domain sebagai berbahaya di VirusTotal — dan tim penanggulangan penyalahgunaan dari penyedia nama domain tersebut memutuskan "tidak perlu mengambil tindakan apa pun" — Siapa sebenarnya yang menelepon itu?

Bayangkan betapa tidak masuk akalnya hal ini: seorang analis penyalahgunaan di sebuah lembaga pendaftaran domain dapat mengesampingkan informasi intelijen ancaman gabungan dari 16 mesin antivirus independen, masing-masing dengan miliaran titik data, laboratorium penelitian khusus, dan pengalaman puluhan tahun. Berdasarkan apa? Infrastruktur pemindaian apa yang digunakan oleh tim penanggulangan penyalahgunaan di NiceNIC atau GlobalDomainGroup sehingga lebih unggul daripada milik Kaspersky?

Jawabannya sederhana: tidak ada. Mereka tidak memeriksa. Mereka tidak memverifikasi. Mereka bisa jadi sama sekali tidak melihat laporan tersebut, atau mereka menggunakan perhitungan finansial: domain yang aktif menghasilkan pendapatan; domain yang ditangguhkan tidak.

Mari kita jelaskan secara gamblang apa artinya ini: seseorang di pihak pendaftar menelaah bukti dari 13 penyedia layanan keamanan independen dan 13 laporan penyalahgunaan yang terpisah — lalu memutuskan bahwa penilaiannya sendiri lebih tepat. Itu bukan kesalahan. Itu adalah kebijakan.

Tak Ada Otoritas yang Mereka Hormati

Sebutkan satu saja vendor antivirus yang dianggap sebagai sumber terpercaya oleh para pendaftar domain. Anda tidak bisa — karena memang tidak ada.

• Kaspersky — mendeteksi domain? Diabaikan.
• ESET — menandainya sebagai phishing? Diabaikan.
• Fortinet — memblokirnya di tingkat jaringan? Diabaikan.
• BitDefender — memperingatkan jutaan pengguna? Diabaikan.
• Google Safe Browsing — sistem keamanan web terbesar di Bumi? Tetap diabaikan.

Ada tidak ada ambang batas deteksi di mana pendaftar domain diwajibkan untuk bertindak. Bukan 5 mesin. Bukan 10. Bukan 16. Sebuah domain bisa ditandai oleh setiap vendor antivirus di VirusTotal, muncul di berbagai daftar hitam, dan menerima selusin laporan penyalahgunaan — namun pendaftar domain tidak memiliki kewajiban yang dapat ditegakkan untuk melakukan apa pun.

Ini bukanlah celah dalam sistem. Inilah sistemnya. Industri pendaftaran domain telah berhasil menghindari standar mengikat apa pun yang mewajibkan mereka untuk menghormati temuan para peneliti keamanan, vendor antivirus, atau platform intelijen ancaman. Ketika 16 dari 70 mesin mendeteksi sebuah domain — itu bukan sekadar "mungkin." Itu adalah konsensus. Namun, tim penanggulangan penyalahgunaan dari registrar, yang tidak memiliki infrastruktur pemindaian sama sekali dan memiliki kepentingan finansial untuk mempertahankan domain tersebut tetap aktif, mengabaikan konsensus tersebut.

Insentif Keuangan

Penyedia layanan pendaftaran domain mengenakan biaya tahunan untuk setiap domain. Setiap penangguhan berarti hilangnya pendapatan. Setiap Penghapusan domain berisiko menimbulkan pengembalian dana. Ada insentif finansial yang langsung dan dapat diukur untuk menjaga agar domain tetap aktif — dan tidak ada sanksi finansial jika laporan penyalahgunaan diabaikan.

Hal ini tidak berlaku bagi semua penyedia infrastruktur. Cloudflare, misalnya, menangani laporan penyalahgunaan secara efisien dan tidak memperoleh pendapatan dari pendaftaran domain dengan cara yang sama. Perbedaan ini penting: ketika perusahaan yang menangani laporan Anda memperoleh keuntungan dari tetap aktifnya domain tersebut, konflik kepentingan tersebut bersifat struktural.

Bukti: Data Real-Time dari Laporan Kami

Di bawah ini adalah contoh dari catatan eskalasi penyalahgunaan bulan Maret 2026. Setiap entri mewakili domain phishing yang sebenarnya yang masih aktif pada saat laporan ini dibuat, meskipun telah ada laporan sebelumnya dan temuan yang telah dikonfirmasi.

VT = Deteksi VirusTotal dari sekitar 70 mesin pemindaian. "Aktif" = jumlah jam sejak deteksi pertama pada saat eskalasi. Data: Catatan eskalasi penyalahgunaan PhishDestroy, 19–21 Maret 2026.

Angka-angka Tidak Bohong

Para Pelanggar Berulang: Rincian Berdasarkan Petugas Pendaftaran

Tidak semua penyedia layanan pendaftaran domain sama. Data kami menunjukkan pola yang jelas — beberapa penyedia layanan pendaftaran domain berulang kali muncul dalam daftar yang berkinerja terburuk.

Jumlah Total Jam Ketidakaktifan oleh Panitera

Jumlah total jam aktif dari semua domain yang dilaporkan per pendaftar dalam dataset kami bulan Maret 2026. Bukan jumlah total penyalahgunaan oleh pendaftar — melainkan hanya yang kami amati dalam satu sampel.

Apa yang Kami Kirim vs. Apa yang Mereka Lakukan

Setiap laporan penyalahgunaan PhishDestroy mencakup:

Setelah pihak pendaftaran tidak mengambil tindakan, kami meneruskan masalah ini ke Kepatuhan terhadap ICANN (compliance@icann.org). Dalam setiap kasus yang disebutkan di atas, ICANN dicantumkan sebagai penerima salinan (CC) pada laporan kedua atau laporan-laporan berikutnya. Hasilnya? Sama-sama tidak ada.

Standar ICANN yang Tidak Ada

ICANN's Perjanjian Akreditasi Pendaftar (RAA), Bagian 3.18 mewajibkan penyedia layanan pendaftaran domain untuk menyediakan kontak khusus penanganan penyalahgunaan serta "mengambil langkah-langkah yang wajar dan segera untuk menyelidiki dan menanggapi dengan tepat" laporan-laporan mengenai penyalahgunaan.

Dalam praktiknya, frasa "wajar dan segera" berarti apa pun yang diputuskan oleh petugas pendaftaran. Ada:

• Tidak ada batas waktu respons maksimum — seorang pendaftar bisa menunggu berminggu-minggu dan mengklaim bahwa hal itu "wajar"
• Tidak ada ambang batas penangguhan wajib — 16 deteksi VT tidak secara otomatis memicu apa pun
• Tidak ada kewajiban pelaporan kepada publik — lembaga pendaftaran tidak wajib mempublikasikan jumlah laporan yang mereka terima atau tindakan yang mereka ambil terkait laporan tersebut
• Tidak ada sanksi yang berarti — ICANN jarang mencabut akreditasi karena tidak mengambil tindakan terhadap penyalahgunaan

Hasilnya: penyedia layanan pendaftaran menganggap penanganan penyalahgunaan sebagai pos biaya yang harus diminimalkan, bukan kewajiban keselamatan yang harus dipenuhi.

Mereka Menindak Praktik Typosquatting — Namun Tidak Menindak Praktik Phishing

Inilah yang membuat hal ini semakin tidak masuk akal. Beberapa registrar yang sama, yang mengabaikan laporan phishing selama berbulan-bulan, justru sangat efisien dalam menangani satu jenis penyalahgunaan tertentu: penyalahgunaan nama domain — domain yang sangat mirip sehingga dapat menimbulkan kebingungan dengan nama merek yang sudah mapan.

Mengapa? Karena typosquatting menargetkan perusahaan yang memiliki anggaran hukum. Ketika Google, Apple, atau Microsoft mengajukan pengaduan UDRP terkait domain yang mirip, penyedia layanan pendaftaran domain akan bertindak dalam hitungan hari. Ancaman gugatan hukum dan sanksi dari ICANN akibat penyalahgunaan merek dagang itu nyata dan segera.

Tapi bagaimana jika sebuah domain phishing mencuri uang dari korban perorangan? Bagaimana jika sebuah program penguras aset kripto menghabiskan tabungan seumur hidup seseorang? Bagaimana jika kasino palsu mencuri data kartu kredit para pemain? Tidak ada tim hukum perusahaan. Tidak ada pengajuan UDRP. Tidak ada urgensi. Bagian penanganan penyalahgunaan di lembaga pendaftaran menerapkan standar yang berbeda — yaitu standar di mana kerugian finansial yang dialami korban tidak memicu tanggapan yang sama seperti masalah merek dagang yang dihadapi suatu merek.

Pesannya jelas: Penyedia layanan pendaftaran domain melindungi merek, bukan individu. Mereka menanggapi kewenangan hukum, bukan bukti adanya kerugian. Laporan-laporan kami berisi lebih banyak bukti objektif daripada pengajuan UDRP mana pun — hasil pemindaian VirusTotal, deteksi antivirus, konfirmasi daftar hitam, tangkapan layar — namun tetap tidak ditanggapi.

Kami Melakukan Pekerjaan Mereka — Tanpa Biaya

PhishDestroy adalah sebuah proyek independen dan non-komersial. Kami memindai domain. Kami mengklasifikasikan ancaman. Kami membuat laporan VirusTotal. Kami mengambil tangkapan layar. Kami menyusun laporan penyalahgunaan yang terperinci dan mengirimkannya kepada pendaftar domain, lembaga pendaftaran domain, dan ICANN. Kami menangani urusan keamanan yang seharusnya ditangani sendiri oleh para pendaftar domain.

Dan inilah kenyataan yang tidak menyenangkan: Beberapa penyedia layanan pendaftaran domain memang melakukan pekerjaan ini. Beberapa penyedia layanan pendaftaran domain mengelola infrastruktur pemindaian domain mereka sendiri, menggunakan sumber informasi ancaman eksklusif, dan secara proaktif menangguhkan domain berbahaya bahkan sebelum ada yang melaporkannya. Mereka memang ada. Mereka membuktikan bahwa hal itu mungkin dilakukan.

Pertanyaannya bukanlah apakah respons cepat terhadap pelecehan itu mungkin dilakukan. Benar. Pertanyaannya adalah mengapa beberapa pendaftar memilih untuk tidak melakukannya. Dan jawabannya, setiap kali, selalu kembali ke insentif struktural yang sama: Domain yang aktif menghasilkan pendapatan. Domain yang ditangguhkan tidak.

Standar Resmi yang Harus Diterapkan

Kerangka kerja untuk meminta pertanggungjawaban pendaftar domain sebenarnya sudah ada — hanya saja belum ditegakkan:

50.000 Domain dan Terus Bertambah

Contoh-contoh di atas merupakan sebuah contoh dari satu minggu. Skala sebenarnya sungguh mencengangkan.

Sumber informasi ancaman kami yang terus diperbarui di content_active.txt berisi lebih dari 50.000 domain yang telah dilaporkan sebagai domain berbahaya. Masing-masing domain tersebut menerima setidaknya satu laporan penyalahgunaan. Banyak di antaranya bahkan menerima lebih dari satu laporan. Penyedia layanan pendaftaran domain tersebut telah menerima bukti-bukti — hasil pemindaian VirusTotal, tangkapan layar, serta konfirmasi daftar hitam — namun mereka lebih memilih untuk membela klien mereka daripada mengutamakan keselamatan masyarakat.

Karena memang begitulah adanya: sebuah pilihan. Klien pendaftar domain adalah orang yang mendaftarkan domain tersebut — si penipu. Klien pendaftar domain bukanlah nenek yang kehilangan tabungannya akibat halaman perbankan palsu, atau pengguna kripto yang dompet digitalnya dihabiskan, atau gamer yang akun Steam-nya dicuri. Pendaftar domainlah yang memilih si penipu. Setiap kali.

Dari Laporan hingga Korban: Setiap Jam Berarti

Begitu kami mengirimkan laporan penyalahgunaan, hitungan waktu pun dimulai. Sejak saat itu, pihak pendaftar akan secara resmi mengetahui bahwa sebuah domain yang berada di bawah pengelolaan mereka sedang digunakan untuk melakukan penipuan. Setiap jam yang dibiarkan berlalu tanpa tindakan setelah pemberitahuan tersebut merupakan satu jam keterlibatan yang disadari.

Banyak domain dalam kumpulan data kami tidak hanya bertahan setelah beberapa laporan — mereka bertahan hingga masa pendaftaran berakhir. Mereka menjalani siklus lengkap: mendaftar, melakukan penipuan, dilaporkan, dilaporkan lagi, kasusnya diteruskan ke ICANN, terus melakukan penipuan, hingga masa berlakunya habis secara alami. Penyedia layanan pendaftaran mengantongi biaya pendaftaran. Penipu mengantongi dana hasil curian. Para korban tidak mendapat apa-apa.

Penangguhan domain yang tepat waktu bukan sekadar tindakan administratif. Hal itu bukan sekadar “ketidaknyamanan bagi pemegang nama domain.” Ini adalah operasi penyelamatan. Setiap domain yang diblokir tepat waktu berarti dompet yang tidak terkuras, kredensial yang tidak dicuri, dan rekening tabungan yang tidak dikosongkan. Penyedia layanan pendaftaran domain yang menggambarkan penghapusan tersebut sebagai "pensensoran" atau "gangguan bisnis" justru memperlihatkan dengan jelas kepentingan siapa yang mereka layani.

Haruskah Penyedia Layanan Pendaftaran Memberikan Kompensasi kepada Korban?

Inilah pertanyaan yang enggan dijawab oleh seluruh industri pendaftaran domain:

Coba pikirkan. Begitu petugas pendaftaran menerima laporan tersebut, mereka akan tidak lagi tidak tahu. Mereka telah diberi tahu, disertai bukti, bahwa sebuah domain yang berada di bawah kendali mereka sedang digunakan untuk mencuri uang, kredensial, dan identitas. Sejak saat itu, ketidakberdayaan yang terus berlanjut bukanlah kelalaian — melainkan sebuah keputusan yang disadari agar terjadi kerugian.

• Apakah pihak pendaftaran bersedia bertanggung jawab? untuk setiap dolar yang dicuri melalui domain yang telah diperingatkan kepada mereka?
• Apakah pihak pendaftaran bersedia memberikan ganti rugi kepada para korban? Siapa saja yang mengalami kerugian setelah laporan penyalahgunaan diajukan namun diabaikan?
• Apakah tim hukum pendaftar Apakah Anda memahami bahwa pernyataan "kami telah memeriksa dan tidak menemukan masalah apa pun" — padahal 16 mesin antivirus menunjukkan hasil yang berbeda — bukanlah posisi yang dapat dibenarkan?

Jika jawaban untuk ketiga pertanyaan tersebut adalah "tidak" — maka tidak ada alasan yang sah untuk mempertahankan domain tersebut agar tetap aktif. Tangguhkan dulu, selidiki nanti. Begitulah cara penyedia infrastruktur yang bertanggung jawab beroperasi. Begitulah cara Cloudflare beroperasi. Begitulah cara penyedia layanan hosting seperti Hetzner dan OVH semakin sering beroperasi. Hanya pendaftar domain yang masih berpegang teguh pada model di mana kenyamanan penipu lebih diutamakan daripada keselamatan korban.

Siapa yang Menanggung Akibatnya

Setiap jam domain phishing tetap aktif berarti ada korban baru:

• Domain penguras kripto (farewex, perowex, xerowex, naebex) — dompet terkuras dalam hitungan detik. Total 4.658 jam penggunaan domain apiname.com menandakan ribuan potensi pengurasan dompet.
• Kasino palsu / Penipuan CS:GO (varian casebattle, csgomy, ggddrop, tastdrop) — penipuan kartu kredit, pencurian identitas, dan manipulasi hasil permainan yang menargetkan para gamer.
• Peniruan identitas layanan palsu (dexscreener[.]at, trustwallet[.]receipts[.]sh, amlbot[.]im, dotabuff[.]org) — peniruan merek yang berujung pada pencurian kredensial dan kerugian finansial.
• Infrastruktur penyortiran (patricksstash, stashhpatrick) — menjual data pembayaran hasil pencurian kepada penjahat lainnya.

Apa yang Harus Diubah

Model yang ada saat ini memang dirancang untuk tidak berfungsi. Penyedia layanan pendaftaran domain meraup keuntungan selama domain tersebut tetap aktif. ICANN tidak memiliki kewenangan penegakan hukum yang memadai. Para korban tidak memiliki jalan keluar. Inilah yang bisa memperbaikinya:

1. SLA wajib untuk penanganan kasus penyalahgunaan: Konfirmasi dalam 24 jam, tindakan awal dalam 72 jam, jalur eskalasi dalam 7 hari. Dapat diukur. Dapat diaudit.
2. Ambang batas penangguhan otomatis: Setiap domain yang terdeteksi oleh VirusTotal ≥10 dan memiliki 2 atau lebih laporan independen harus ditangguhkan sementara menunggu peninjauan — bukan sebaliknya.
3. Laporan transparansi kasus pelecehan di ruang publik: Setiap pendaftar yang terakreditasi oleh ICANN wajib mempublikasikan laporan triwulanan mengenai: laporan yang diterima, waktu respons rata-rata, tindakan yang diambil, serta domain yang ditangguhkan.
4. Sanksi denda atas ketidakpatuhan: Sanksi denda berjenjang bagi lembaga pendaftaran yang secara sistematis gagal bertindak. Pencabutan akreditasi bagi pelanggar berulang.
5. Ombudsman independen untuk kasus-kasus kekerasan: Sebuah lembaga independen yang dapat meninjau keputusan pendaftar, mengatasi kelambanan, dan mempercepat proses penangguhan dalam kasus ancaman kritis.
6. Daftar larangan lintas pendaftar: Apabila seorang pendaftar dipastikan sebagai pelaku pelanggaran berulang, semua penyedia layanan pendaftaran yang terakreditasi harus diberi tahu. Tidak boleh lagi ada praktik "domain shopping".

Apa yang Telah Dilakukan PhishDestroy Terkait Hal Ini

Kami tidak sekadar menyusun laporan dan menunggu industri memperbaiki dirinya sendiri. Kami membangun sistem yang memaksa adanya transparansi dan memberikan konsekuensi atas ketidakaktifan.

PhishDestroy — kami tidak melindungi merek. Kami tidak membela korban. Kami menghancurkan infrastruktur phishing dan penipuan.

Kesimpulan

Ketika 16 mesin antivirus menyatakan suatu domain berbahaya dan pendaftar domain mengatakan "tidak ada tindakan," pendaftar domain tersebut bukanlah sedang menggunakan penilaiannya — melainkan sedang melindungi pendapatannya. Ketika 13 laporan penyalahgunaan terpisah tidak ditanggapi dan sebuah domain tetap aktif selama 1.352 jam, pendaftar domain tersebut bukan sedang menangani tumpukan pekerjaan — melainkan memfasilitasi kejahatan.

Data dalam artikel ini bukanlah data teoretis. Ini adalah catatan eskalasi kasus penyalahgunaan yang kami kumpulkan secara langsung selama satu minggu di bulan Maret 2026 — dan di baliknya terdapat Lebih dari 50.000 domain yang dilaporkan dalam umpan ancaman kami yang terus diperbarui. Ini bukanlah masalah yang hanya terjadi pada satu pendaftar domain saja. Ini adalah sebuah kegagalan di seluruh industri bahwa ekosistem pendaftaran domain tidak berminat untuk memperbaikinya, karena model yang ada saat ini menguntungkan.

Tidak ada vendor antivirus yang temuan-temuannya wajib dipatuhi oleh pendaftar domain. Tidak ada ambang batas deteksi yang memicu tindakan wajib. Tidak ada Perjanjian Tingkat Layanan (SLA), tidak ada pertanggungjawaban, dan tidak ada konsekuensi. Pendaftar domain memungut biaya, mengabaikan laporan-laporan tersebut, dan para korbanlah yang menanggung akibatnya.

Penyedia layanan pendaftaran domain bukanlah penyedia infrastruktur yang netral. Mereka adalah para penjaga gerbang yang memilih — setiap hari, dengan setiap laporan yang diabaikan — untuk membiarkan infrastruktur kriminal tetap beroperasi secara daring. Mereka mengetahui dampak buruknya. Mereka memiliki kuasa untuk menghentikannya. Namun, mereka memilih untuk tidak melakukannya. Dan sampai ada yang menanyakan satu-satunya pertanyaan yang penting kepada mereka — "Apakah Anda bersedia memberikan ganti rugi kepada para korban dari domain-domain yang Anda tolak untuk ditangguhkan?" — tidak akan ada yang berubah.

Diamnya industri ini terkait pertanyaan ini justru merupakan jawaban yang paling jelas.