Encontre os contatos de abuso do registrador e da rede de um domínio ou IP via RDAP.
Rede: RDAP + DoHNova
Gerador de denúncias de abuso
Execução localNova
A ferramenta em si está em inglês; esta página explica como usá-la no seu idioma.
Use Gerador de denúncias de abuso
O que ele faz
Informe as URLs, os endereços IP, as datas e as evidências de um site de phishing ou golpe e receba um e-mail de denúncia de abuso pronto para enviar ao registrador, ao provedor de hospedagem ou à CDN. Os hashes de arquivos são calculados no seu navegador e nada é enviado a lugar nenhum.
Ele funciona inteiramente no seu navegador: nada do que você digitar é enviado.
Como usar Gerador de denúncias de abuso
- Escolha o destinatário e o tipo de ataque. Em Report to (denunciar a), escolha Registrar, Hosting provider ou CDN / reverse proxy. Em Attack type (tipo de ataque), escolha a mais próxima entre seis opções, como Phishing ou Crypto wallet drainer.
- Informe o que você viu. Cole as URLs, uma por linha; formas neutralizadas como hxxps:// e [.] são convertidas de volta em URLs reais. Deixe Domain vazio para usar o domínio registrável da primeira URL e adicione os endereços IP, se você os souber.
- Defina os horários. Preencha First seen e Last seen (primeira e última detecção); eles são lidos como UTC e exibidos no formato ISO abaixo de cada campo. Now define Last seen como o horário atual.
- Adicione evidências. Cole hashes ou solte arquivos na página para obter o SHA-256 deles no seu navegador. Adicione links de varredura e uma breve descrição do que a página pede.
- Gere e corrija. Clique em Generate report (gerar denúncia). Itens vermelhos Fix before sending bloqueiam a denúncia; itens amarelos Check são recomendações. Depois da primeira denúncia, o texto se atualiza conforme você edita.
- Envie. Copie o assunto e o corpo, abra-os no seu app de e-mail ou baixe em .txt ou .json. Para a Cloudflare, cole o corpo no formulário de abuso dela.
Exemplo
Drainer de carteira em um domínio parecido
hxxps://connect.wallet-verify[.]example/claimFind the registrar's abuse address with Abuse Contact Lookup. Section 3.18 of the RAA binds ICANN-accredited registrars of gTLDs (.com, .net, .xyz and the other generic TLDs); for country-code domains the report cites the registry's policy instead.
Subject
Abuse report: crypto wallet drainer domain wallet-verify[.]example (impersonating Example Wallet)
Body
Hello abuse team,
I am reporting the domain name wallet-verify.example, registered through your company. It is used for a crypto wallet drainer: a fake site that asks visitors to connect a wallet and sign transactions that send their funds to the attacker, impersonating Example Wallet.
Details
Attack type: Crypto wallet drainer
Brand: Example Wallet
Domain: wallet-verify.example
URLs: https://connect.wallet-verify.example/claim
IP addresses: 192.0.2.10
First seen: 2026-10-19T08:00:00Z (UTC)
Last seen: 2026-10-20T09:30:00Z (UTC)
Evidence
https://urlscan.io/result/00000000-0000-4000-8000-000000000000/
Description
The page copies the Example Wallet site and asks visitors to connect a wallet and sign a token approval for all their assets.
Request
Section 3.18 of the ICANN Registrar Accreditation Agreement requires accredited registrars to investigate abuse reports and, when there is actionable evidence that a domain name is used for DNS abuse such as phishing or malware, to take prompt mitigation action. Please suspend this domain name (for example with the clientHold status) so that it stops resolving, and lock it against transfer while you investigate.
Please confirm that
…Uma denúncia ao registrador de wallet-verify.example: o assunto traz o domínio neutralizado (defanged), o corpo traz a URL real, o IP 192.0.2.10, a primeira e a última detecção em UTC, um link do urlscan.io e um pedido de suspensão que cita a seção 3.18 do ICANN RAA.
O que ele verifica
| Sinal | O que isso significa |
|---|---|
| Report to | Registrar pede a suspensão (por exemplo, clientHold) e um bloqueio de transferência. Hosting provider pede a remoção do conteúdo e a preservação dos logs. CDN pede o host de origem, o encaminhamento e uma página de aviso. |
| Attack type | Denúncias de phishing, drainer e malware a um registrador de gTLD citam abuso de DNS com base na seção 3.18 do RAA e pedem mitigação imediata. Para investimento falso, falso suporte técnico e outras fraudes, o texto diz apenas que os registradores devem investigar e responder de forma adequada. |
| Domínio extraído das URLs | O domínio registrável da primeira URL que tem um nome de host, encontrado com a Public Suffix List; assim, connect.wallet-verify.example vira wallet-verify.example. URLs com apenas um endereço IP não fornecem domínio. |
| Fix before sending | Por exemplo, URLs sem http://, https:// ou ftp://, IPs ou hashes inválidos, datas incorretas, Last seen anterior a First seen, endereços de e-mail inválidos ou links de evidência que não são links da web. |
| Avisos Check | Um TLD de código de país (o RAA não se aplica), um domínio em plataforma compartilhada (use o modelo de hospedagem), uma data no futuro, uma denúncia ao registrador sem domínio ou ainda nenhuma evidência. |
| Configuração de neutralização (defang) | Por padrão, apenas o assunto, para que os filtros de e-mail não tratem sua denúncia como phishing e a equipe de abuso ainda receba os links reais. Você também pode neutralizar os indicadores do corpo, ou nada. |
| Hashes de evidência | MD5, SHA-1, SHA-256 ou SHA-512 em hexadecimal, um por linha, com nome de arquivo opcional. Arquivos soltos na página de até 50 MB cada recebem hash SHA-256 e nunca são enviados. |
| Link mailto longo | Se o link de e-mail passar de 2.000 caracteres, uma nota avisa que alguns apps de e-mail o cortam. Use Copy no lugar. |
Mais exemplos
Denúncia à hospedagem de uma página em IP direto
Report to: Hosting provider · Attack: Phishing · URL: hxxp://198.51.100.23/secure/login.php · IP: 198.51.100.23 · Brand: Example Bank · First seen: 2026-10-21 14:05Assunto: Abuse report: phishing content at hxxp://198[.]51[.]100[.]23/secure/login[.]php on 198[.]51[.]100[.]23 (impersonating Example Bank). O corpo lista a URL real, o IP e First seen 2026-10-21T14:05:00Z (UTC), e pede a remoção do conteúdo e a preservação dos logs. Uma caixa Check observa que ainda não foi adicionada nenhuma evidência.
Denúncia à CDN de uma atualização falsa
Report to: CDN / reverse proxy · Attack: Malware delivery · URL: https://update.example.org/chrome-update.exe · Description: fake browser updateAssunto: Abuse report: malware delivery site example[.]org served through your network. O corpo pede que o provedor informe o provedor de hospedagem, encaminhe a denúncia e exiba uma página de aviso, e que não compartilhe seus dados de contato.
Entrada que precisa de correção
Report to: Registrar · URL: login.example.net/verify · First seen: 2026-10-21 10:00 · Last seen: 2026-10-20 10:00 · Hash: 12345 kit.zipNenhuma denúncia. Fix before sending lista: Not a URL (deve começar com http://, https:// ou ftp://), Not a hash e Last seen is earlier than first seen. Uma caixa Check acrescenta: No evidence yet.
Perguntas frequentes
O que os três modelos pedem?
O modelo para registrador pede a suspensão do domínio (por exemplo, clientHold) e um bloqueio de transferência, citando a seção 3.18 do ICANN Registrar Accreditation Agreement para TLDs genéricos. O modelo para hospedagem pede a remoção do conteúdo e a preservação dos logs, e o modelo para CDN pede que o provedor informe o host de origem, encaminhe a denúncia e exiba um aviso de phishing.
O gerador verifica se o site é malicioso?
Não. Ele formata o que você informa e verifica apenas a forma: a sintaxe de URLs, endereços IP, hashes e datas, se a última detecção é posterior à primeira e se há um domínio nas denúncias ao registrador. Cabe a você decidir se as evidências bastam, e a referência ao RAA vale apenas para registradores de TLDs genéricos credenciados pela ICANN.
A denúncia ou meus dados de contato são enviados a algum lugar?
Não. A denúncia é montada no seu navegador, e os arquivos soltos na página são processados com hash localmente, sem upload. Ela só sai da página quando você a copia, abre no seu app de e-mail ou faz o download.
Devo denunciar ao registrador, ao host ou à CDN?
Um registrador pode impedir que o domínio resolva; um host pode remover a página; uma CDN pode revelar o host real e exibir um aviso. É comum enviar denúncias separadas ao registrador e à rede por trás do IP. O Abuse Contact Lookup encontra os dois endereços.
Como denunciar um site por trás da Cloudflare?
Escolha o modelo para CDN. A Cloudflare recebe denúncias de abuso pelo formulário em abuse.cloudflare.com, categoria Phishing & Malware; então cole ali o corpo gerado em vez de enviar um e-mail.
O que há no arquivo JSON baixado?
O horário em que foi gerado, o modelo, o tipo de ataque, a marca, o domínio, as URLs, os IPs, a primeira e a última detecção, os links e hashes de evidência, a descrição, o destinatário, seu nome e e-mail, se você os informou, e o assunto e o corpo. É útil para acompanhar o que você denunciou e quando.