Da detecção à mitigação

A questão é mais específica do que “quem falhou?”: quais atrasos observáveis entre evidências validadas e ação proporcional são evitáveis, e qual intervenção reduz os danos às vítimas sem gerar falsos positivos ou danos colaterais inaceitáveis?

O escopo abrange o ecossistema contratual dos gTLDs: registrantes, revendedores, registradores, registros e a função de conformidade contratual da ICANN. Provedores de hospedagem, CDNs, navegadores, serviços de pagamento, plataformas de publicidade, CERTs nacionais e autoridades policiais são incluídos apenas quando afetam a cadeia de evidências ou de resposta. Os TLDs de código de país têm governança diferente e não se presume que estejam sujeitos aos contratos gTLD da ICANN.

Situação das teses centrais

• O artigo analisa a ICANN como uma instituição de governança privada e de cumprimento contratual no ecossistema da gTLD. A ICANN não é um órgão regulador governamental nem uma autoridade de fiscalização, mas credencia registradores, celebra contratos com operadores de registro e faz cumprir esses acordos; essa competência limitada não isenta a instituição de sua responsabilidade.
• A faixa de 60 a 85% é uma estimativa quantitativa central no modelo de danos apresentado no artigo. Ela é apresentada como uma estimativa verificável, derivada de suposições explícitas e observações de casos — e não como uma estatística já estabelecida para todas as fraudes globais. A publicação de um conjunto de dados no nível dos incidentes que alinhe os registros de data e hora de detecção, notificação, mitigação e danos é o próximo passo probatório.
• O valor de US$ 100–150 é uma estimativa orçamentária de engenharia verificável para coleta contínua e triagem inicial sobre um conjunto definido de dados de zonas acessíveis, Certificado de Transparência e feed público em infraestrutura de commodities. Não se trata do custo da visibilidade global completa, revisão jurídica, recursos, alta disponibilidade ou fiscalização. O artigo, portanto, trata esse valor como uma referência a ser reproduzida com uma carga de trabalho publicada, um inventário de fontes e um registro de custos — e não como um preço universal já comprovado. Essa distinção restringe a afirmação sem eliminar a assimetria de custos que está sendo testada.
• A comparação de três semanas apresentada no artigo diz respeito à latência no atendimento, e não a um SLA universal para o bloqueio de domínios. O artigo de ICANN Perguntas frequentes sobre conformidade contratual afirma que a maioria dos tipos de reclamação pode passar por três períodos sucessivos de resposta de cinco dias úteis antes de ser encaminhada para uma instância superior, enquanto muitas campanhas maliciosas permanecem ativas por horas ou dias. Os contratos exigem, separadamente, medidas de mitigação imediatas e adequadas após a apresentação de evidências que justifiquem uma ação. [2][4]
• No caso de um registro malicioso comprovado e com um único objetivo, serverHold está entre as medidas de remediação mais disruptivas no nível do DNS, pois remove a delegação da zona. Não é uma solução universal: também pode causar interrupções no e-mail, nos subdomínios e em serviços legítimos; as respostas armazenadas em cache podem permanecer até o vencimento do TTL; e serviços comprometidos ou compartilhados podem exigir medidas de mitigação mais específicas. [4][7]

O primeiro relatório semestral da ICANN sobre a implementação das alterações de 2024 registrou 192 investigações, mais de 2.700 domínios suspensos, mais de 350 páginas de phishing desativadas e duas notificações formais de violação contratual (Notices of Breach). Esses números não comprovam que os controles atuais sejam suficientes, mas descartam a alegação absoluta de que o sistema não age. [5]

Algumas campanhas de phishing operam em um intervalo de tempo de horas ou dias. Bijmans et al. relataram uma duração média observada de 45 horas e uma mediana de 24 horas para 1.288 domínios de phishing em um estudo de 2021. Um estudo de 2026 sobre domínios de phishing recém-registrados relatou uma distribuição altamente assimétrica: para 14.112 domínios com tempo de vida mensurável, a média foi de 8,6 dias e a mediana, de um dia. Nenhuma das amostras pode ser generalizada para todas as classes de ameaças, mas ambas mostram por que um processo medido apenas em dias úteis pode deixar de detectar campanhas de curta duração. [11][12]

O ativo economicamente relevante muitas vezes não é a taxa de registro, mas o tráfego, os materiais criativos, a infraestrutura e a confiança acumulados ao redor de um domínio. Essa premissa é plausível, mas sua magnitude varia entre operações fraudulentas. Por isso, a calculadora expõe cada dado de entrada em vez de apresentar um resultado hipotético como média observada.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

A “perda após a detecção” só se torna um resultado útil se detecção, entrega e dano forem definidos de modo consistente. O timestamp de uma lista de bloqueio não prova que o registrador recebeu evidências acionáveis. Uma transação de carteira não é automaticamente atribuível a um domínio. A indisponibilidade de um domínio não identifica qual ator provocou a mudança.

Esquema mínimo de eventos

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

O numerador e o denominador devem seguir a mesma regra de atribuição. Os resultados devem relatar a coorte, o intervalo de confiança, a censura à direita, as fontes ausentes, o tratamento de vítimas duplicadas e a sensibilidade à janela de observação. O termo “prevenível” deve ser reservado para um desenho causal ou, no mínimo, uma comparação pareada — e não para qualquer evento após a notificação.

Nenhum agente isolado tem visão completa ou controle sobre todo o incidente. O registrador conhece a relação com o registrante; o registro controla o status dos domínios sob sua jurisdição; o host e o CDN controlam a entrega de conteúdo; os navegadores e os fornecedores de segurança controlam os avisos; os provedores de pagamento e carteiras digitais podem interromper as transferências; as autoridades podem exigir a preservação ou apreensão. A ICANN redige e faz cumprir contratos no ecossistema gTLD, mas não opera um plano de controle EPP universal.

A capacidade distribuída não significa responsabilidade dissolvida. Um registrador patrocinador não se exime de suas obrigações contratuais ao delegar o tratamento de abusos a um revendedor; o registro controla o status do EPP definido no servidor; ICANN garante o cumprimento contratual. A trilha de auditoria deve registrar não apenas quem agiu, mas também quem recebeu evidências passíveis de ação, redirecionou o caso, deixou de responder ou deixou de cumprir uma obrigação atribuída. A autoridade legal permanece com o agente habilitado a aplicar uma medida; a responsabilização também abrange o descumprimento documentado.

As alterações globais de abril de 2024 ao Registrar Accreditation Agreement e ao Base Registry Agreement estabeleceram obrigações expressas para mitigar DNS Abuse. Os registradores devem agir prontamente quando dispuserem de evidências acionáveis de que um nome por eles patrocinado está sendo usado para DNS Abuse. Os operadores de registro devem agir prontamente quando determinarem de forma razoável, com base em evidências acionáveis, que um nome registrado está sendo usado para DNS Abuse. Em ambos os casos, a medida adequada depende do contexto, da gravidade e do impacto colateral. [2][3]

Três linhas do tempo que costumam ser confundidas

Essa flexibilidade traz benefícios: um domínio universitário comprometido não deve ser tratado da mesma forma que um domínio de phishing de finalidade única recém-registrado. O problema em termos de prestação de contas é que os termos “imediato” e “adequado” são difíceis de comparar sem registros de data e hora publicados, categorias de casos e códigos de resultado. A proposta a seguir acrescenta mecanismos de avaliação e revisão, sem pretender que um único prazo sirva para todos os casos.

Phishing está expressamente incluído na definição contratual de DNS Abuse. A fronteira mais difícil envolve sites que enganam sob um nome original em vez de se passarem por um terceiro identificável: algumas plataformas falsas de investimento, lojas fraudulentas, golpes de recuperação e esquemas para obter assinaturas de carteiras. Dependendo dos fatos, podem ser tratados como abuso de conteúdo web, fraude contra o consumidor ou outra categoria jurídica, e não como DNS Abuse contratual.

Uma consulta de política pública poderia avaliar se uma categoria estreita e amparada por evidências, como VFHA, deve integrar contratos futuros, um marco de encaminhamento intersetorial ou a legislação nacional. Qualquer ampliação deveria exigir teste preciso do dano, evidências confiáveis, remédios proporcionais, revisão jurisdicional e recurso. Rótulos vagos como “golpe” são insuficientes.

Um servidor padrão pode baixar instantâneos acessíveis dos arquivos de zona participantes do gTLD e calcular as alterações localmente, importar eventos selecionados do Certificate Transparency e feeds abertos, normalizar cadeias de caracteres, calcular hashes e priorizar candidatos. Trata-se de um parâmetro de referência de engenharia útil e testável — não de um “monitoramento completo da Internet”. No segundo trimestre de 2026, a Verisign relatou 401,6 milhões de registros em todos os TLDs; o CZDS abrange os arquivos de zona participantes do gTLD, e não todos os TLDs, e o CT registra certificados ou pré-certificados registrados publicamente, e não todos os domínios ativos ou maliciosos. [8][9][17]

O marco proposto é uma arquitetura de referência, não um “interruptor de desligamento” global automático. Ele padroniza o evidence envelope, o registro de decisão e os timestamps, permitindo que o operador autorizado escolha a medida eficaz com menor impacto colateral.

Níveis de evidência

O “API” deve criar um caso verificável e iniciar um cronômetro de resposta auditável; um denunciante não deve poder emitir um comando de suspensão diretamente. Se um caso E3/E4 se referir a um registro malicioso com finalidade única e expirar sem uma decisão fundamentada ou mitigação efetiva, o sistema o encaminha automaticamente ao operador do registro ou a outro agente com autoridade contratual ou legal. A serverHold O comando só pode ser emitido por um agente autorizado. A escalonamento automático e a autoridade do registro para agir no vencimento são propostas de alteração de política, e não alegações sobre autoridade existente. Cada transição de estado é assinada e anexada ao log de auditoria.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

Uma resposta bem-sucedida retorna o ID do caso, o ator destinatário, o nível de evidência, os erros de completude, o prazo previsto para análise e uma URL pública de transparência. Ela não deve prometer um remédio específico antes que um ator competente avalie sua competência e o impacto colateral.

As metas de nível de serviço devem distinguir confirmação de recebimento, triagem, decisão e mitigação eficaz. Isso permite medir o desempenho sem pressupor que a suspensão seja sempre o resultado correto.

Essas são metas piloto. Os valores corretos devem ser calculados com base na duração observada das ameaças, no quadro de pessoal, no custo dos erros e nas restrições legais, sendo depois divulgados por meio de distribuições de cumprimento, em vez de uma única média.

Uma resposta rápida sem medidas de proteção pode transformar dados incorretos em censura, sabotagem comercial ou interrupções na infraestrutura. Uma arquitetura adequada, portanto, trata os falsos positivos e os danos colaterais como falhas de segurança de primeira ordem.

Garantias mínimas do devido processo legal

1. O código do motivo, o nível de evidência e o responsável pela decisão são registrados para cada medida restritiva.
2. O registrante pode obter uma fundamentação compatível com a privacidade e apresentar contraevidências.
3. Os recursos de urgência são analisados por uma pessoa que não tomou a decisão original.
4. A reversão se propaga pelo mesmo canal assinado da ação original.
5. As estatísticas agregadas de erros e restaurações são públicas; as evidências confidenciais continuam sujeitas a controle de acesso.

Uma pontuação pública atribuída a um registrador pode melhorar a prestação de contas, mas classificações simplistas são distorcidas pelo tamanho da carteira, pela cobertura dos feeds, pelo perfil da clientela e pela distinção entre registro malicioso e comprometimento posterior. Uma pontuação nunca deve justificar o bloqueio coletivo de todos os clientes de um registrador.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

Se for necessário utilizar um índice composto para fins de governança, os pesos devem ser definidos antes da avaliação, submetidos a testes de sensibilidade e testados retrospectivamente com casos não utilizados na avaliação. Os resultados devem ser estratificados por TLD, tamanho do registrador, classe de ameaça e fonte das evidências. O resultado é um indicador de responsabilidade — e não um veredicto automatizado sobre o domínio.

Um registro de transparência pode eliminar controvérsias sobre se uma notificação existiu, quando foi entregue e quais medidas foram tomadas em seguida. A publicação de todos os elementos, no entanto, poderia expor vítimas, dados pessoais, métodos de investigação e caminhos de exploração ativos. A solução é o acesso em níveis.

Cada atualização é do tipo “somente acréscimo”, possui registro de data e hora e é assinada. As correções não apagam o histórico; elas adicionam um registro que substitui o anterior. A pesquisa pública deve respeitar as regras de retenção, impedir a identificação em massa de vítimas e oferecer reparação em caso de dados pessoais imprecisos.

Um projeto-piloto útil deve ser pequeno o suficiente para ser governável e amplo o suficiente para testar a cadeia causal. Escopo sugerido: três registradores voluntários, dois operadores de registro, um parceiro de hospedagem/CDN, dois feeds independentes de pesquisa e um painel qualificado para análise de recursos. O protocolo do estudo e as definições dos resultados devem ser registrados antes da distribuição dos casos.

Resultados primários do estudo piloto

• Tempo mediano e do 90º percentil entre a evidência validada e a mitigação efetiva.
• Diferença no dano atribuível após a notificação ou em um indicador pré-especificado de exposição da vítima.
• Taxa de falsos positivos, gravidade das ações indevidas e tempo mediano de restauração.
• Recorrência no mesmo registrante, no mesmo cluster de infraestrutura e na mesma campanha.
• Custo operacional direto por caso validado e por medida de mitigação eficaz.

A resposta ao DNS Abuse não é um filtro puramente técnico nem um problema que uma única instituição possa resolver sozinha. Os contratos vigentes desde 2024 estabeleceram obrigações relevantes de mitigação, mas deixam ampla discricionariedade quanto às evidências, ao momento da ação e ao remédio. Essa discricionariedade é necessária à proporcionalidade; sem registros comparáveis, também dificulta a avaliação do desempenho.

1. Padronizar o evidence envelope. Adotar campos comuns de proveniência, timestamp e resultado entre denunciantes, registradores, registros e provedores de infraestrutura.
2. Medir as etapas separadamente. Publicar os tempos de confirmação, triagem, decisão, mitigação e recurso por classe de ameaça e nível de evidência.
3. Distinguir um registro malicioso de um comprometimento. Dê preferência à correção por meio de caminhos/contas para serviços legítimos comprometidos e reserve medidas que abranjam todo o domínio para os casos em que elas sejam proporcionadas.
4. Testar metas de resposta em projeto-piloto. Avaliar objetivos em escala horária para registros maliciosos de finalidade única e alta confiança, em vez de declarar um prazo universal.
5. Publicar dados de prestação de contas compatíveis com a privacidade. Usar um registro de transparência em níveis, com históricos assinados e evidências restritas.
6. Avaliar o impacto causal. Não se deve equiparar uma suspensão mais rápida à economia de dinheiro até que um estudo pré-registrado avalie os resultados relativos ao impacto sobre as vítimas e ao deslocamento.

A conclusão construtiva não é que o problema original desapareça assim que suas alegações forem matizadas. É que as alegações centrais agora podem ser testadas: a faixa de danos pós-detecção de 60 a 85% é uma hipótese quantitativa explícita; $100–150 é uma suposição orçamentária de engenharia testável para uma camada definida de sensores e triagem; e metas de resposta na escala de horas podem ser testadas para registros maliciosos de alta confiança e com finalidade única. Publique a carga de trabalho, os custos, os carimbos de data/hora e os resultados, compare-os com uma linha de base e avalie o desvio e o erro. A confirmação justificaria mudanças contratuais e nas políticas; a rejeição identificaria qual suposição falhou.