Segreteria Responsabilità
Ogni segnalazione di abuso che inviamo viene registrata. Questa pagina trasforma quel registro in una classifica: quanto tempo impiega ciascun registrar ad agire, quanti livelli di escalation sono necessari e quanti domini dannosi rimangono attivi sotto la loro supervisione. I dati vengono calcolati in modo deterministico a partire dai dati grezzi: le categorie derivano dai dati stessi, non da noi.
L'illusione della sicurezza: come i registrar traggono profitto dagli abusi che ignorano
Sulla carta, ogni registrar è tenuto, in base al proprio accordo con l’ICANN, a indagare sugli abusi e ad agire di conseguenza. In pratica, quell’accordo è lettera morta: una facciata che nasconde un modello di business basato sulla cecità volontaria. In tutta la storia di questo progetto non abbiamo mai visto l’ICANN applicare una sola sanzione significativa contro un registrar negligente, mentre il registrar continua a incassare la propria commissione su ogni dominio che vende — compresi quelli dannosi. Un registrar può decidere di ritenersi più competente di VirusTotal e della più ampia comunità di sicurezza informatica e lasciare attivo un dominio segnalato. Va bene — ma in tal caso la responsabilità per il danno che ricadrà sulla prossima vittima spetta al registrar, non alla vittima stessa.
Negligenza grave
Le segnalazioni di abusi fondate e supportate da prove vengono sistematicamente ignorate, insabbiate o accolte con una risposta automatica di mancata risposta.
Una prova inconfutabile, ignorata
I domini segnalati da VirusTotal e da laboratori indipendenti di sicurezza informatica rimangono attivi mentre i servizi di segnalazione degli abusi temporeggiano o non rispondono.
Ritardi redditizi
Il malware e il phishing rimangono online per settimane: ogni giorno in più equivale a un cliente pagante che il registrar non interromperà.
Qualcuno paga per l'errore
Ignora le prove e le conseguenze saranno tutte a tuo carico. “Non ci sono state segnalazioni” non è più una scusa valida: ogni segnalazione qui viene registrata, contrassegnata con data e ora ed è esportabile su richiesta.
Non prendiamo di mira domini o registrar. Qui nulla segue una tempistica prestabilita — e fino a quest’anno non avevamo alcun modo per segnalare nuovamente un caso. La prima notifica viene inviata al momento del rilevamento; procediamo a un’escalation solo dopo aver ricontrollato in modo indipendente che un dominio sia ancora attivo e pericoloso, e solo una piccolissima percentuale arriva mai a quel punto. Anche con questa cautela, ecco il bilancio: non si tratta di incompetenza, ma di tacita complicità — ed è tutto perfettamente verificabile, ogni e-mail, ogni data. Tutto quello che segue sono le ricevute.
Pubblico per definizione: ogni rapporto riportava un avviso di divulgazione
Ogni segnalazione di abuso che inviamo contiene un avviso esplicito per il destinatario: il suo contenuto — compresa la data e l'ora esatte di invio e il testo completo della richiesta — può essere e sarà reso pubblico. Questa pagina contiene solo le e-mail che riportavano tale avviso, e lo stesso avviso è pubblicato nel nostro progetto open source Elenco da eliminare archivio. I dati sono di nostra proprietà, la loro divulgazione è stata dichiarata in ogni messaggio e siamo pienamente nel nostro diritto di pubblicarli.
Alcuni registrar si comportano come se le loro politiche interne prevalessero sui requisiti dell’ICANN e sulla legislazione nazionale — come se il phishing e le frodi fossero “ammessi” fintanto che essi decidono personalmente di non intervenire. Lo rendiamo pubblico affinché chiunque possa rendersi conto della nuda verità: queste minacce persistono non perché siano passate inosservate, ma perché il provider responsabile ha deciso di non fare nulla.
Ogni vittima ha il diritto di sapere quante volte un registrar è stato avvertito in merito al dominio che le ha causato un danno — e quante volte avrebbe potuto impedire tale danno. Tali dati sono ora di dominio pubblico: questa pagina e il relativo set di dati completo sono open source ai sensi della Licenza MIT su GitHub, liberamente accessibile a chiunque per la verifica, la citazione o l'ulteriore elaborazione.
Richiesta del documento
DestroyList è un progetto indipendente, non commerciale e open source. Chiunque può verificare il numero di segnalazioni di abuso che abbiamo inviato per un dominio specifico, ma solo attraverso canali pubblici, in modo che l'accesso sia uguale per tutti:
Metodologia — come vengono calcolati questi dati
Registrar classificati in base alla (in)azione
| Segreteria | Domini | Rapporti | Sospeso | Mai sospeso | Verdetto |
|---|---|---|---|---|---|
| Caricamento dei dati relativi alla responsabilità in corso… | |||||
Garanzie di equità. Cloudflare e gli host gratuiti (Vercel, GitHub, Netlify e simili) sono stati esclusi di proposito: si tratta di servizi gratuiti, non di registrar a pagamento, e non spetta a loro coprire le mancanze di un registrar che rifiuta i propri clienti. I loro moduli per la segnalazione degli abusi di solito funzionano meglio e più velocemente, e noi continuiamo a inviare loro segnalazioni manualmente quando un registrar non adempie ai propri obblighi; inserirli in questa classifica sarebbe ingiusto. I registrar con meno di 10 domini segnalati sono stati omessi per evitare distorsioni dovute a campioni troppo piccoli. Le mediane di risposta sono calcolate solo sui domini per cui è stata confermata la rimozione; i domini ancora attivi vengono conteggiati separatamente e non vengono mai inclusi nella media. Ogni risultato è riproducibile a partire dal set di dati con hash riportato sopra.