Dal rilevamento alla mitigazione

La domanda è più circoscritta di «chi ha fallito?» : quali ritardi osservabili tra prove validate e un’azione proporzionata sono evitabili, e quale intervento riduce il danno alle vittime senza generare falsi positivi o danni collaterali inaccettabili?

L’ambito di applicazione è costituito dall’ecosistema contrattuale di gTLD: registranti, rivenditori, registrar, registri e la funzione di conformità contrattuale di ICANN. I fornitori di servizi di hosting, i CDN, i browser, i servizi di pagamento, le piattaforme pubblicitarie, i CERT nazionali e le forze dell’ordine sono inclusi solo nella misura in cui incidono sulla catena probatoria o di risposta. I TLD con codice paese hanno una governance diversa e non si presume che siano soggetti ai contratti gTLD di ICANN.

Stato delle tesi principali

• Il documento analizza l’ICANN come istituzione di governance privata e di garanzia del rispetto dei contratti nell’ambito dell’ecosistema dell’gTLD. L’ICANN non è un’autorità di regolamentazione governativa né un organismo preposto all’applicazione della legge, ma accredita i registrar, stipula contratti con gli operatori di registro e garantisce il rispetto di tali accordi; tale mandato limitato non esclude la responsabilità istituzionale.
• L’intervallo compreso tra il 60% e l’85% rappresenta una stima quantitativa centrale nel modello di valutazione del danno presentato nell’articolo. Esso viene presentato come una stima verificabile, derivata da ipotesi esplicite e osservazioni di casi concreti, e non come un dato statistico già consolidato relativo a tutte le frodi a livello globale. La pubblicazione di un set di dati a livello di singolo incidente che allinei i timestamp relativi al rilevamento, alla notifica, alla mitigazione e al danno rappresenta il prossimo passo probatorio.
• La cifra compresa tra 100 e 150 dollari rappresenta una stima di budget ingegneristica verificabile per la raccolta continua e lo smistamento iniziale su un insieme definito di dati relativi alle zone accessibili, alla Certificate Transparency e ai feed pubblici su infrastrutture di base. Non si tratta del costo della visibilità globale completa, della revisione legale, dei ricorsi, dell’alta disponibilità o dell’applicazione delle norme. Il documento lo considera quindi un punto di riferimento da riprodurre con un carico di lavoro pubblicato, un inventario delle risorse e un registro dei costi, non come un prezzo universale già comprovato. Tale distinzione restringe la portata dell’affermazione senza cancellare l’asimmetria dei costi oggetto di verifica.
• Il confronto di tre settimane presentato nell'articolo riguarda la latenza di conformità, non uno SLA universale relativo alla chiusura dei domini. ICANN’s Domande frequenti sulla conformità contrattuale afferma che la maggior parte delle tipologie di reclami può passare attraverso tre periodi consecutivi di risposta di cinque giorni lavorativi prima di essere sottoposta a un’escalation formale, mentre molte campagne malevole rimangono attive per ore o giorni. I contratti prevedono inoltre, separatamente, l’adozione di misure di mitigazione tempestive e adeguate una volta acquisite prove sufficienti per un’azione legale. [2][4]
• Nel caso di una registrazione malevola verificata e con un unico scopo, serverHold È una delle misure correttive a livello di DNS più invasive, poiché rimuove la delega dalla zona. Non è una soluzione universale: può infatti compromettere anche la posta elettronica, i sottodomini e i servizi legittimi; le risposte memorizzate nella cache potrebbero permanere fino alla scadenza del TTL; inoltre, i servizi compromessi o condivisi potrebbero richiedere misure di mitigazione più mirate. [4][7]

Il primo rapporto semestrale ICANN sull’attuazione delle modifiche del 2024 ha registrato 192 indagini, oltre 2.700 domini sospesi, più di 350 pagine di phishing disattivate e due notifiche formali di violazione contrattuale (Notices of Breach). I dati non dimostrano che i controlli attuali siano sufficienti, ma escludono l’affermazione assoluta secondo cui il sistema non interviene. [5]

Alcune campagne di phishing hanno una durata che va da poche ore a qualche giorno. In uno studio del 2021, Bijmans et al. hanno riportato una durata media osservata di 45 ore e una mediana di 24 ore per 1.288 domini di phishing. Uno studio del 2026 sui domini di phishing di nuova registrazione ha riportato una distribuzione fortemente asimmetrica: per 14.112 domini con durata misurabile, la media era di 8,6 giorni e la mediana di un giorno. Nessuno dei due campioni può essere generalizzato a tutte le classi di minacce, ma entrambi dimostrano perché un processo misurato solo in giorni lavorativi possa tralasciare campagne di breve durata. [11][12]

L’asset economicamente rilevante spesso non è la quota di registrazione, ma il traffico, i materiali creativi, l’infrastruttura e la fiducia accumulati attorno a un dominio. L’intuizione è plausibile, ma la sua entità varia tra campagne fraudolente. Il calcolatore espone quindi ogni input, anziché presentare un risultato ipotetico come media osservata.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

Il concetto di “perdita dopo l’individuazione” può diventare un parametro utile solo se i termini “individuazione”, “consegna” e “danno” vengono definiti in modo coerente. La data e l’ora di inserimento in una lista nera non costituiscono prova del fatto che il registrar abbia ricevuto prove utilizzabili. Una transazione da un wallet non è automaticamente attribuibile a un determinato dominio. Il fatto che un dominio diventi irraggiungibile non permette di identificare quale soggetto abbia causato tale cambiamento.

Schema minimo dell'evento

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

Il numeratore e il denominatore devono seguire la stessa regola di attribuzione. I risultati dovrebbero riportare la coorte, l’intervallo di confidenza, la censura a destra, le fonti mancanti, la gestione delle vittime duplicate e la sensibilità alla finestra di osservazione. L’etichetta «prevenibile» dovrebbe essere riservata a un disegno causale o, come minimo, a un confronto abbinato — non a ogni evento successivo alla notifica.

Nessun singolo attore vede o controlla l’intero incidente. Il registrar conosce il rapporto con il registrante; il registro controlla lo stato del dominio impostato a livello di registro; l’host e il CDN controllano la distribuzione dei contenuti; browser e fornitori di sicurezza controllano gli avvisi; i fornitori di pagamenti e wallet possono interrompere i trasferimenti; le autorità possono imporre conservazione o sequestro. ICANN redige e fa rispettare i contratti nell’ecosistema gTLD, ma non gestisce un piano di controllo EPP universale.

La distribuzione delle competenze non implica l’estinzione delle responsabilità. Un registrar sponsor non si sottrae ai propri obblighi contrattuali delegando la gestione degli abusi a un rivenditore; il registro controlla lo stato EPP dei server; ICANN garantisce il rispetto dei termini contrattuali. La traccia di audit deve registrare non solo chi ha agito, ma anche chi ha ricevuto prove utilizzabili, ha reindirizzato il caso, non ha risposto o non ha adempiuto a un dovere assegnato. L’autorità legale rimane in capo al soggetto autorizzato ad applicare una misura; la responsabilità riguarda anche l’inadempienza documentata.

Le modifiche globali dell’aprile 2024 al Registrar Accreditation Agreement e al Base Registry Agreement hanno introdotto obblighi espressi di mitigazione del DNS Abuse. I registrar devono agire tempestivamente quando dispongono di prove utilizzabili che un nome da essi sponsorizzato è impiegato per DNS Abuse. Gli operatori di registro devono agire tempestivamente quando determinano ragionevolmente, sulla base di prove utilizzabili, che un nome registrato è impiegato per DNS Abuse. In entrambi i casi, la misura appropriata dipende dal contesto, dalla gravità e dall’impatto collaterale. [2][3]

Tre linee temporali che vengono spesso confuse tra loro

Questa flessibilità presenta dei vantaggi: un dominio universitario compromesso non dovrebbe essere trattato come un dominio di phishing monouso appena registrato. Il problema della responsabilità risiede nel fatto che è difficile confrontare i concetti di “tempestività” e “adeguatezza” in assenza di timestamp pubblicati, categorie di casi e codici di esito. La proposta riportata di seguito introduce meccanismi di misurazione e revisione senza pretendere che un’unica scadenza sia adatta a tutti i casi.

Il phishing rientra esplicitamente nella definizione contrattuale di DNS Abuse. Il confine più difficile riguarda i siti che ingannano sotto un nome originale invece di impersonare un terzo identificabile: alcune piattaforme di investimento fittizie, negozi fraudolenti, recovery scam e schemi finalizzati a ottenere firme di wallet. A seconda dei fatti, possono essere trattati come abuso dei contenuti web, frode ai consumatori o altra categoria giuridica, anziché come DNS Abuse contrattuale.

Una consultazione pubblica potrebbe esaminare se una categoria circoscritta e sostenuta da prove, come VFHA, debba rientrare in futuri contratti, in un quadro di rinvio intersettoriale o nel diritto nazionale. Ogni estensione dovrebbe richiedere una prova precisa del danno, elementi probatori affidabili, rimedi proporzionati, verifica della giurisdizione e ricorso. Etichette vaghe come «truffa» non sono sufficienti.

Un server standard è in grado di scaricare istantanee accessibili dei file di zona gTLD dei partecipanti e di calcolare le modifiche a livello locale, acquisire eventi selezionati relativi alla Certificate Transparency e feed aperti, normalizzare le stringhe, calcolare gli hash e stabilire le priorità dei candidati. Si tratta di un benchmark ingegneristico utile e verificabile, non di un “monitoraggio completo di Internet”. Nel secondo trimestre del 2026, Verisign ha riportato 401,6 milioni di registrazioni su tutti i TLD; il CZDS copre i file di zona gTLD partecipanti anziché tutti i TLD, mentre il CT registra certificati o precertificati registrati pubblicamente anziché ogni dominio attivo o dannoso. [8][9][17]

Il quadro proposto è un’architettura di riferimento, non un «interruttore di arresto» globale automatico. Standardizza l’evidence envelope, il fascicolo decisionale e i timestamp, consentendo all’operatore autorizzato di scegliere la misura efficace con il minore impatto collaterale.

Livelli di evidenza

L'APIe dovrebbe creare un caso verificabile e avviare un timer di risposta verificabile; un segnalante non deve poter emettere direttamente un comando di sospensione. Se un caso E3/E4 riguarda una registrazione dolosa a scopo unico e scade senza una decisione motivata o una mitigazione efficace, il sistema lo inoltra automaticamente all'operatore del registro o a un altro soggetto dotato di autorità contrattuale o legale. A serverHold Il comando può provenire esclusivamente da un soggetto autorizzato. L'escalation automatica e l'autorità del registro di intervenire alla scadenza sono modifiche proposte alla politica, non affermazioni relative all'autorità esistente. Ogni transizione di stato viene firmata e aggiunta al registro di audit.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

Una risposta positiva restituisce l’ID del caso, l’attore destinatario, il livello di prova, gli errori di completezza, il tempo di revisione previsto e un URL pubblico di trasparenza. Non deve promettere uno specifico rimedio prima che un attore competente ne valuti la propria competenza e l’impatto collaterale.

Gli obiettivi del livello di servizio devono distinguere presa in carico, triage, decisione e mitigazione efficace. Ciò consente di misurare le prestazioni senza presumere che la sospensione sia sempre l’esito corretto.

Si tratta di obiettivi pilota. I valori corretti dovrebbero essere ricavati sulla base della durata osservata delle minacce, del personale disponibile, del costo degli errori e dei vincoli normativi, per poi essere pubblicati indicando le distribuzioni di raggiungimento anziché un unico valore medio.

Una risposta rapida, se priva di misure di salvaguardia, può trasformare dati errati in censura, sabotaggio commerciale o interruzioni delle infrastrutture. Un’architettura corretta considera quindi i falsi positivi e i danni collaterali come gravi falle di sicurezza.

Garanzie minime di equo processo

1. Per ogni misura restrittiva vengono registrati il codice motivo, il livello di evidenza e il responsabile della decisione.
2. Il registrante può ottenere una motivazione che rispetti la privacy e presentare prove contrarie.
3. I ricorsi urgenti vengono esaminati da una persona che non ha preso la decisione originaria.
4. La revoca si propaga attraverso lo stesso canale firmato dell’azione originale.
5. Le statistiche aggregate relative agli errori e al ripristino sono di dominio pubblico; l'accesso alle prove sensibili rimane soggetto a controlli di accesso.

Un punteggio pubblico attribuito a un registrar può migliorare la responsabilità, ma classifiche semplicistiche sono distorte dalle dimensioni del portafoglio, dalla copertura dei feed, dalla composizione della clientela e dalla distinzione tra registrazione malevola e compromissione successiva. Un punteggio non deve mai giustificare il blocco collettivo di tutti i clienti di un registrar.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

Se ai fini della governance è necessario un indice composito, i pesi devono essere definiti prima della valutazione, sottoposti a test di sensibilità e verificati con un backtest su casi esclusi dall’analisi. I risultati devono essere stratificati per TLD, dimensioni del registrar, classe di minaccia e fonte delle prove. Il risultato è un segnale di responsabilità — non un verdetto automatico sul dominio.

Un registro di trasparenza può eliminare le controversie relative all’esistenza di una notifica, alla data di consegna e alle azioni intraprese in seguito. La pubblicazione di ogni elemento, tuttavia, potrebbe compromettere la privacy delle vittime, i dati personali, i metodi investigativi e le strategie di attacco ancora in uso. La soluzione è un accesso a più livelli.

Ogni aggiornamento è di tipo "append-only", provvisto di data e ora e firmato. Le correzioni non cancellano la cronologia, ma aggiungono un record che sostituisce quello precedente. La ricerca pubblica dovrebbe rispettare le norme di conservazione, impedire l'identificazione di massa delle vittime e offrire un rimedio in caso di dati personali inesatti.

Un progetto pilota utile deve essere abbastanza circoscritto da poter essere governato e abbastanza ampio da verificare la catena causale. Ambito suggerito: tre registrar volontari, due operatori di registro, un partner di hosting/CDN, due feed di ricerca indipendenti e un collegio qualificato per i ricorsi. Il protocollo dello studio e le definizioni degli esiti devono essere registrati prima dell’assegnazione dei casi.

Risultati primari dello studio pilota

• Tempo mediano e al 90° percentile che intercorre tra l’acquisizione di prove validate e l’attuazione di misure di mitigazione efficaci.
• Differenza nel danno attribuibile successivo alla notifica o in un indicatore prestabilito dell’esposizione delle vittime.
• Tasso di falsi positivi, gravità delle azioni errate e tempo mediano di ripristino.
• Ricorrenza a livello dello stesso registrante, dello stesso cluster di infrastrutture e della stessa campagna.
• Costo operativo diretto per caso convalidato e per misura di mitigazione efficace.

La risposta al DNS Abuse non è né un filtro puramente tecnico né un problema che una singola istituzione possa risolvere da sola. I contratti vigenti dal 2024 hanno introdotto obblighi significativi di mitigazione, ma lasciano un’ampia discrezionalità in materia di prove, tempistiche e rimedi. Tale discrezionalità è necessaria alla proporzionalità; senza dati comparabili, rende anche difficile valutare le prestazioni.

1. Standardizzare l’evidence envelope. Adottare campi comuni per provenienza, timestamp ed esiti tra segnalanti, registrar, registri e fornitori di infrastrutture.
2. Misurare le fasi separatamente. Pubblicare i tempi relativi alla conferma, alla valutazione, alla decisione, alla mitigazione e al ricorso, suddivisi per classe di minaccia e livello di evidenza.
3. Distinguere una registrazione dolosa da una compromissione. Privilegiare la risoluzione dei problemi a livello di percorso/account per i servizi legittimi compromessi e riservare le misure a livello di dominio ai casi in cui siano proporzionate.
4. Sperimentare obiettivi di risposta. Verificare obiettivi su scala oraria per registrazioni malevole a scopo unico e ad alta affidabilità, anziché dichiarare un termine universale.
5. Pubblicare dati di responsabilità rispettosi della privacy. Utilizzare un registro di trasparenza multilivello con cronologie firmate e prove ad accesso ristretto.
6. Valutare l'impatto causale. Non si deve equiparare una sospensione più rapida a un risparmio economico finché uno studio pre-registrato non avrà misurato l’impatto sulle vittime e il fenomeno dello spostamento.

La conclusione costruttiva non è che il problema originario scompaia una volta che le sue affermazioni siano state qualificate. È piuttosto che le affermazioni centrali possono ora essere verificate: l’intervallo di danno post-rilevamento compreso tra il 60 e l’85% costituisce un’ipotesi quantitativa esplicita; 100–150 dollari rappresentano un'ipotesi di budget ingegneristico verificabile per un livello definito di sensori e triage; e gli obiettivi di risposta su scala oraria possono essere sperimentati per registrazioni malevole a scopo unico e ad alta affidabilità. Pubblicare il carico di lavoro, i costi, i timestamp e i risultati, confrontarli con un valore di riferimento e misurare lo scostamento e l’errore. Una conferma giustificherebbe modifiche contrattuali e politiche; un rifiuto identificherebbe quale ipotesi si è rivelata errata.