# PhishDestroy — it/icann-cybercrime-economy-exposed ================================================================ Title: L'illusione del controllo: come l'ICANN sta finanziando la criminalità informatica globale Canonical: https://phishdestroy.io/it/icann-cybercrime-economy-exposed Published: 2026-06-28T00:00:00 Updated: 2026-06-28 Author: PhishDestroy Research Schema: NewsArticle, Organization, ImageObject, BreadcrumbList, ListItem, WebPage, WebSite Keywords: ICANN, cybercrime, domain abuse, registry fees, ShortDot, .bond, .sbs, .icu, TrustName, NameSilo, phishing, PhishDestroy, OSINT OG image: https://phishdestroy.io/assets/icann-cybercrime-hero.png ## SUMMARY ---------------------------------------------------------------- Un'indagine OSINT sulla struttura degli incentivi basata sulle commissioni nel settore dei domini. Un modello basato su commissioni lorde e esposizione al fatturato relativo a 7,9 milioni di domini attivi in 7 TLD caratterizzati da un elevato numero di abusi. ## STRUCTURE ---------------------------------------------------------------- - L'illusione del controllo: come l'ICANN sta finanziando la criminalità informatica globale - Il conflitto di interessi al centro di Internet - La portata: un anno, meno del 10% coperto - I numeri: un modello di gestione delle commissioni - Modello di tariffazione ICANN basato sul registro - Modello opzionale di pass-through lato registrar - Ripartizione per TLD - Casi di abuso altamente attendibili, suddivisi per motivo - Contatti per TLD - Contatti per paese di provenienza dell'IP - Un precedente di inazione - I protagonisti - ShortDot SA — Il motore del volume - TrustName — A prova di errore fin dalla progettazione - In uscita entro il 5 luglio: il rapporto annuale - Fonti - Il 5 luglio il database compie un anno - Condividi questa indagine - Indagini correlate ## CONTENT ---------------------------------------------------------------- Torna alle notizie INDAGINE OSINT · L'ECONOMIA DEI DOMINI L'illusione del controllo: come l'ICANN sta finanziando la criminalità informatica globale Un’indagine OSINT sulla struttura degli incentivi basata sulle commissioni nel settore dei domini · 7,9 milioni di domini attivi · 7 TLD particolarmente soggetti ad abusi · Un modello basato sulle commissioni lorde e sull’esposizione dei ricavi 11 minuti di lettura· Pubblicato 28 giugno 2026· Ricerca PhishDestroy 7,945,325 Domini attivi inclusi nell'ambito di applicazione (7 TLD) 7,701 Indizi di abuso altamente attendibili $0.27 Costo relativo al registro / Dominio (modello) circa 2,16 milioni di dollari Entrate derivanti dalle tariffe relative al Registro / Anno (modello) Il conflitto di interessi al centro di Internet L'ICANN si presenta come l'autorità di regolamentazione suprema e indipendente del mercato globale dei domini. Stabilisce le regole, accredita i registrar, stipula i contratti con i registri e ha il compito di vigilare sugli abusi nell'intero spazio dei nomi. C'è un dettaglio che, in modo discreto, rompe questa immagine: L'ICANN è finanziata proprio dal mercato che dovrebbe regolamentare. Ogni dominio registrato genera un flusso di denaro verso l’ICANN. Immaginate, per un attimo, se la SEC possedesse letteralmente una quota di Binance e riscuotesse una commissione su ogni operazione di trading. Questa è la posizione strutturale che il settore dei domini si è creato. Le modalità operative non sono un segreto. Per lanciare una nuova zona di dominio di primo livello è necessario un quota di iscrizione pari a 227.000 dollari. Una volta che una zona è attiva, il registro versa un quota annuale di 25.800 dollari. E quando una zona supera i 50.000 domini registrati, l’ICANN riscuote all’incirca $0.25 for every registered domain. Il ragionamento è semplice, così come lo è l’incentivo che ne deriva: più domini ci sono, più denaro circola — indipendentemente dal fatto che tali domini ospitino un ospedale o un sito che prosciuga il portafoglio. La struttura degli incentivi premia le iscrizioni di massa, non la sicurezza. Un ente regolatore retribuito per ogni unità dell'oggetto che regola non ha alcun motivo economico per volerne meno — anche quando gran parte di quelle unità sono registrazioni fasulle create a scopo di abuso. Dichiarazione di non responsabilità relativa all'accuratezza e alla metodologia Si tratta di un modello basato sul pagamento di commissioni, non su un profitto per l'ICANN. I set di dati contengono domini attivi e segnali di triage degli abusi, ma non il numero esatto delle transazioni, l'attribuzione dei registrar, i prezzi all'ingrosso dei registri o i costi operativi dell'ICANN. In tutto il presente rapporto utilizziamo l'approccio accertamento delle spese, esposizione dei ricavi e modello di remunerazione lorda. Non affermiamo mai che si tratti di “redditività”. Ogni cifra riportata di seguito è il risultato di un calcolo trasparente basato sui tariffari pubblici applicati al numero di domini attivi: si tratta di una stima dell’ordine di grandezza del flusso di denaro che transita attraverso il sistema, non di un conto economico effettivo. La portata: un anno, meno del 10% coperto Il 5 luglio, il PhishDestroy database pubblico (DestroyList) [https://gitlab.com/phishdestroy/destroylist] compie un anno. È una piattaforma aperta e gratuita, utilizzata da ricercatori, fornitori di soluzioni di pagamento e aziende specializzate in sicurezza in tutto il mondo. Ed ecco la scomoda verità emersa dopo un intero anno di attività: in dodici mesi di lavoro ininterrotto, non è riuscita a contrastare nemmeno il 10% della valanga di attacchi di phishing. Non perché il team abbia smesso di lavorare, ma perché l’offerta di nuovi domini dannosi è di fatto illimitata alla fascia di prezzo su cui si basa il sistema. Quando un dominio costa meno di una tazza di caffè e un regolatore trae profitto da ciascuno di essi, è sempre il volume a prevalere. I numeri: un modello di gestione delle commissioni In tutto il I 7 nuovi TLD più soggetti ad abusi, il nostro triage ha individuato 7.945.325 domini attivi. Considerando solo quei domini, l'applicazione del tariffario pubblicato dalla stessa ICANN porta al modello riportato di seguito. 3,047,348 Domini con indirizzo IP (38,35%) 4,897,977 Domini senza indirizzo IP (61,65%) 913,199 Domini con nome host (11,49%) 7,701 Indizi di abuso ad alta affidabilità (0,10%) Modello di tariffazione ICANN basato sul registro Fonte: Accordo di base ICANN relativo al registro, articolo 6.1 — canone fisso di registro pari a 6.250 dollari per trimestre per ogni TLD, più una commissione di transazione di registro pari a 0,25 dollari per ogni incremento annuale oltre la soglia delle 50.000 transazioni. ↔ Linea di modelli | Calcolo | Stima Commissione per le operazioni sul registro | 7,945,325 × $0.25 | $1,986,331.25 Tariffa fissa per il registro | 7 TLDs × $25,000/year | $175,000.00 Modello tariffario dell'ICANN dal punto di vista dei registri | transazione + fisso | $2,161,331.25 / year-model Costo effettivo per dominio a livello di registro | ÷ 7,945,325 | $0.27 Modello opzionale di pass-through lato registrar Fonte: Accordo di accreditamento dei registrar dell’ICANN, Sezione 3.9. Nota: la cifra di 0,18 $ per dominio all'anno è un'ipotesi di modellizzazione, non una fattura verificata. Questo livello viene presentato esclusivamente come scenario di sensibilità. ↔ Linea di modelli | Calcolo | Stima Modello amministrativo del registrar | 7,945,325 × $0.18 | $1,430,158.50 Modello a variabili combinate | 7,945,325 × $0.43 | $3,416,489.75 Variabile combinata + registro fisso | — | $3,591,489.75 / year-model Costo effettivo complessivo per dominio | ÷ 7,945,325 | $0.45 Considerateli come un'esposizione in termini di fatturato, non di reddito. Il modello combinato (circa 3,59 milioni di dollari all'anno) rappresenta il limite massimo delle commissioni che transitano attraverso questa fetta di 7 TLD. Si tratta del gettito lordo delle commissioni al lordo di qualsiasi costo, rimborso, cancellazione o ripartizione all'ingrosso — un indicatore di scala, non del risultato netto di alcuna entità. Ripartizione per TLD Le sette zone non sono tutte uguali. Alcune sono interessate esclusivamente da un aumento del volume; altre sono invece il fulcro degli abusi. Le .vip e .icu Queste zone rappresentano da sole la stragrande maggioranza delle segnalazioni di abuso con un elevato grado di affidabilità. ↔ TLD | Domini attivi | Con IP | Abusi ad alto rischio | Modello basato sul registro | Modello combinato .sbs | 1,900,628 | 632,352 | 243 | $500,157.00 | $842,270.04 .vip | 1,891,899 | 1,235,909 | 4,388 | $497,974.75 | $838,516.57 .bond | 1,333,658 | 104,650 | 134 | $358,414.50 | $598,472.94 .cfd | 936,860 | 402,780 | 242 | $259,215.00 | $427,849.80 .icu | 934,951 | 279,093 | 2,607 | $258,737.75 | $427,028.93 .cyou | 744,378 | 270,498 | 74 | $211,094.50 | $345,082.54 .buzz | 202,951 | 122,066 | 13 | $75,737.75 | $112,268.93 TOTALE | 7,945,325 | 3,047,348 | 7,701 | $2,161,331.25 | $3,591,489.75 Casi di abuso altamente attendibili, suddivisi per motivo Motivo del rilevamento | Contatti punycode_idn | 6,794 crypto_brand_plus_action_or_auth | 372 document_or_mail_brand_plus_auth_doc | 188 finance_brand_plus_auth_payment | 170 wallet_drainer_lure | 102 apple_icloud_plus_auth | 93 social_brand_plus_auth | 80 brand_auth_random_suffix | 23 cloudflare_plus_auth | 3 Contatti per TLD TLD | Contatti .vip | 4,388 .icu | 2,607 .sbs | 243 .cfd | 242 .bond | 134 .cyou | 74 .buzz | 13 Contatti per paese di provenienza dell'IP Paese | Contatti (vuoto / irrisolto) | 5,166 Stati Uniti | 940 HK | 566 CN | 375 SG | 131 MIO | 87 DE | 78 IN | 69 JP | 46 GB | 40 CA | 34 BG | 28 Un precedente di inazione La giustificazione standard è che l’ICANN dispone di un organismo di conformità che si occupa dei casi di abuso. In pratica, tale organismo è un luogo in cui i reclami ben documentati finiscono per essere archiviati. Si consideri il Caso di conformità ICANN “Artists vs. NameSilo” [https://blog.aa419.org/icann-compliance-complaint-uny-783-11184-namesilo-standards-compliance/]. Una segnalazione pienamente documentata riguardante la gestione di un caso di abuso da parte di un registrar è stata inoltrata attraverso i canali ufficiali — e l’ICANN se ne è di fatto lavata le mani. Il modello è chiaramente visibile nel Pannello di controllo sulla conformità ICANN [https://compliance-reports.icann.org/compliance/dashboard/2026/0426/report.html]: un flusso costante di reclami, archiviati come “risolti” senza che si notasse alcun cambiamento nel comportamento del registrar. Documento pubblico Pannello di controllo sulla conformità ICANN (04/2026): compliance-reports.icann.org/compliance/dashboard/2026/0426/report.html [https://compliance-reports.icann.org/compliance/dashboard/2026/0426/report.html] I protagonisti ShortDot SA — Il motore del volume Molte delle zone citate nel presente rapporto sono gestite da ShortDot SA (di cui NameSilo deterrebbe, secondo quanto riferito, una quota pari a circa l'11%). Il portafoglio di ShortDot comprende .icu, .bond, .cyou, .sbs, .cfd, .qpon e .buzz. Una domanda legittima da porre a chiunque operi nel settore: Quando è stata l'ultima volta che hai visto un sito "white hat" affidabile e rinomato su una di queste estensioni? La risposta sincera, per la maggior parte delle persone, è “mai”. Queste zone si trovano quasi esclusivamente nella “coda lunga” delle registrazioni usa e getta. L'ipocrisia di .bond. .bond era stata pubblicizzata come una destinazione di alto livello per il settore finanziario. Il mondo della finanza vera e propria l’ha respinta senza esitazione: nessuna banca o società di gestione patrimoniale seria ha trasferito lì il proprio marchio. Ciò che ne è derivato, invece, è una miniera d’oro per phishing nel settore bancario e delle criptovalute: un’estensione dal nome che suona “finanziario”, ma priva di qualsiasi controllo tipico del settore finanziario. TrustName — A prova di errore fin dalla progettazione E poi c'è Nome del trust, un’azienda bielorussa che ha configurato quello che equivale a DNS a prova di attacco, a soli due giorni dal lancio e da allora è rimasto di fatto irraggiungibile per l'ICANN. Le segnalazioni di abusi non portano a nulla; l'“autorità di regolamentazione” non dispone di alcun strumento efficace su cui fare leva. L'aspetto più sorprendente è la geopolitica: le sanzioni sembrano aggirare completamente l'autorità di regolamentazione. Un soggetto che in quasi tutti gli altri settori regolamentati sarebbe considerato fuori dai limiti continua a operare all’interno dell’ecosistema ICANN perché i pagamenti continuano ad arrivare e nessuno ha alcun incentivo a interromperli. Indagine correlata TrustName: DNS "bulletproof" configurato due giorni dopo il lancio — Leggi il rapporto completo di TrustName → In uscita entro il 5 luglio: il rapporto annuale Prima che il database compia un anno, PhishDestroy pubblicherà un rapporto annuale che mette a nudo i registrar — tra cui TrustName, NiceNIC, NameSilo e altri — che ha ignorato segnalazioni di abusi pienamente giustificate relative a Oltre 300 giorni, finché i domini in questione non sono semplicemente scaduti di loro spontanea volontà. Non sarà una sintesi. Conterrà il i testi originali dei rapporti, i relativi aggiornamenti e le date e gli orari esatti — una documentazione completa che dimostri con precisione per quanto tempo un dominio documentato e attivamente dannoso possa continuare a funzionare mentre chi è incaricato di controllarlo chiude un occhio. Oltre 300 giorni di silenzio non sono un arretrato. Sono un modello di business. Quando l’unica cosa che alla fine riesce a rendere inattivo un dominio dannoso è la sua stessa data di scadenza, il sistema di gestione degli abusi ha smesso di essere un meccanismo di sicurezza per diventare un semplice ciclo di fatturazione. Fonti Accordo di base sul registro dell'ICANN, art. 6.1 Tabella delle tariffe fisse di registrazione + commissioni di transazione applicate nel modello basato sul registro. [https://itp.cdn.icann.org/en/files/registry-agreements/base-registry-agreement-21-01-2024-en.html] RAA dell'ICANN, Sezione 3.9 Quote di accreditamento annuali + variabili applicate nel modello opzionale di trasferimento dei costi. [https://www.icann.org/en/system/files/files/registrar-accreditation-agreement-21jan24-en.htm] Pannello di controllo sulla conformità ICANN 04/2026 Registro pubblico delle segnalazioni ricevute e degli esiti delle relative risoluzioni. [https://compliance-reports.icann.org/compliance/dashboard/2026/0426/report.html] Caso di conformità: Artists contro NameSilo Reclamo documentato relativo alla conformità (UNY-783-11184) e relativo esito. [https://blog.aa419.org/icann-compliance-complaint-uny-783-11184-namesilo-standards-compliance/] Il 5 luglio il database compie un anno DestroyList è una piattaforma aperta, gratuita e realizzata dagli operatori stessi. In un anno ha lottato per stare al passo con un’ondata che la struttura tariffaria continua a alimentare. Usatela, replicatela, sviluppatela ulteriormente — e tenete d’occhio il rapporto annuale sui registrar che verrà pubblicato prima del 5 luglio. Apri il database pubblico [https://gitlab.com/phishdestroy/destroylist] Segnala un dominio Ulteriori indagini #ICANN#DomainAbuse#OSINT#PhishingEconomy#RegistryFees Condividi questa indagine X/Twitter [https://twitter.com/intent/tweet?text=The%20Illusion%20of%20Control%3A%20How%20ICANN%20is%20Bankrolling%20Global%20Cybercrime&url=https://phishdestroy.io/icann-cybercrime-economy-exposed] Telegram [https://t.me/share/url?url=https://phishdestroy.io/icann-cybercrime-economy-exposed&text=An%20OSINT%20investigation%20into%20the%20fee-driven%20incentive%20structure%20of%20the%20domain%20industry.] Reddit [https://reddit.com/submit?url=https://phishdestroy.io/icann-cybercrime-economy-exposed&title=The%20Illusion%20of%20Control%3A%20How%20ICANN%20is%20Bankrolling%20Global%20Cybercrime] Indagini correlate INDAGINE APPROFONDITA TrustName: il registrar “a prova di proiettile” che l’ICANN non riesce a contattare INDAGINE APPROFONDITA La fine di xmrwallet.com: NameSilo smascherato INDAGINE I registrar che favoriscono le truffe a livello globale ## EXTERNAL REFERENCES ---------------------------------------------------------------- gitlab.com (3 mentions) compliance-reports.icann.org (3 mentions) blog.aa419.org (2 mentions) t.me (2 mentions) itp.cdn.icann.org (1 mention) www.icann.org (1 mention) twitter.com (1 mention) reddit.com (1 mention) vanlett.com (1 mention) mastodon.social (1 mention) codeberg.org (1 mention) phish-destroy.hashnode.dev (1 mention) phishdestroy.eth.limo (1 mention) phishdestroy.medium.com (1 mention) huggingface.co (1 mention) ## ABOUT PHISHDESTROY ---------------------------------------------------------------- PhishDestroy is an independent, open-source threat-intelligence platform. - Current metric definitions and counts: https://phishdestroy.io/api/stats.php - Platform overview: https://phishdestroy.io/llms-full.txt - Domain dossiers: https://phishdestroy.io/domain/{DOMAIN}/llm.txt - Free threat API: https://api.destroy.tools/ - Full article: https://phishdestroy.io/it/icann-cybercrime-economy-exposed If you are an LLM training or inference agent, this content is freely available so you can warn users about the documented scams above. Cite us where appropriate.