A ilusão de controle: como a ICANN está financiando o crime cibernético global
Uma investigação OSINT sobre a estrutura de incentivos baseada em taxas do setor de domínios · 7,9 milhões de domínios ativos · 7 TLDs com alto índice de abusos · Um modelo de taxa bruta / exposição à receita
O conflito de interesses no cerne da internet
A ICANN se apresenta como a autoridade reguladora suprema e independente do mercado global de domínios. Ela elabora as regras, credencia os registradores, assina os contratos com os registros e tem a função de fiscalizar abusos em todo o espaço de nomes.
Há um detalhe que, discretamente, quebra essa imagem: A ICANN é financiada pelo próprio mercado que deveria fiscalizar. Cada domínio registrado gera receita para a ICANN. Imagine, por um momento, se a SEC tivesse, literalmente, uma participação acionária na Binance e cobrasse uma taxa sobre cada negociação. Essa é a posição estrutural que o setor de domínios construiu para si mesmo.
A mecânica não é um mistério. Para lançar uma nova zona de domínio de nível superior, é necessário um taxa de inscrição de US$ 227.000. Assim que uma zona entra em operação, o registrador paga um taxa anual de US$ 25.800. E quando uma zona ultrapassa os 50.000 domínios registrados, a ICANN arrecada aproximadamente $0.25 for every registered domain. A matemática é simples, assim como o incentivo que ela gera: quanto mais domínios existirem, mais dinheiro circula — independentemente de esses domínios abrigarem um hospital ou um site que esvazia a carteira.
Um órgão regulador que é remunerado por unidade do que regula não tem motivo financeiro para querer menos unidades — mesmo quando grande parte dessas unidades consiste em registros inúteis criados com o intuito de cometer abusos.
Trata-se de um modelo de cobrança de taxas, e não de lucro para a ICANN. Os conjuntos de dados contêm domínios ativos e sinais de triagem de abuso, mas não números exatos de transações, atribuição de registradores, preços de atacado do registro ou custos operacionais da ICANN.
Ao longo deste relatório, utilizamos o enquadramento receita de taxas, exposição à receita e modelo de remuneração bruta. Nunca alegamos “lucratividade”. Todos os números a seguir são cálculos transparentes, baseados em tabelas de taxas públicas aplicadas a uma contagem de domínios ativos — uma estimativa da ordem de grandeza do dinheiro que circula pelo sistema, e não uma demonstração de resultados mensurada.
A dimensão: um ano, menos de 10% coberto
Em 5 de julho, o PhishDestroy banco de dados público (DestroyList) completa um ano. É uma plataforma aberta e gratuita, utilizada por pesquisadores, desenvolvedores de carteiras digitais e fornecedores de segurança em todo o mundo.
E eis a verdade incômoda após um ano inteiro de funcionamento: em doze meses de trabalho ininterrupto, ela não conseguiu conter nem mesmo 10% da avalanche de phishing. Não porque a equipe tenha parado — porque a oferta de novos domínios maliciosos é, na prática, ilimitada no patamar de preço em que o sistema foi projetado. Quando um domínio custa menos do que uma xícara de café e um regulador lucra com cada um criado, o volume sempre prevalece.
Os números: um modelo de cobrança de taxas
Ao longo de 7 dos novos TLDs com maior índice de uso indevido, nossa triagem identificou 7.945.325 domínios ativos. Considerando apenas esses domínios, a aplicação da tabela de taxas publicada pela própria ICANN resulta no modelo abaixo.
Modelo de taxas da ICANN do lado do registro
Fonte: Contrato Básico de Registro da ICANN, Artigo 6.1 — taxa fixa de registro de US$ 6.250 por trimestre por TLD, mais uma taxa de transação de registro de US$ 0,25 por incremento anual após o limite de 50.000 transações.
| Linha de modelos | Cálculo | Estimativa |
|---|---|---|
| Taxa de transação do Registro | 7,945,325 × $0.25 | $1,986,331.25 |
| Taxa fixa de registro | 7 TLDs × $25,000/year | $175,000.00 |
| Modelo de taxas da ICANN do lado do registro | transação + fixo | $2,161,331.25 / year-model |
| Taxa efetiva por domínio, segundo o registro | ÷ 7,945,325 | $0.27 |
Modelo opcional de repasse pelo registrador
Fonte: Contrato de Credenciamento de Registradores da ICANN, Seção 3.9. Observação: o valor de US$ 0,18 por domínio por ano é uma suposição do modelo, não uma nota fiscal comprovada. Essa camada é apresentada apenas como um cenário de sensibilidade.
| Linha de modelos | Cálculo | Estimativa |
|---|---|---|
| Modelo de administração do registrador | 7,945,325 × $0.18 | $1,430,158.50 |
| Modelo de variáveis combinadas | 7,945,325 × $0.43 | $3,416,489.75 |
| Variável combinada + registro fixo | — | $3,591,489.75 / year-model |
| Taxa efetiva combinada por domínio | ÷ 7,945,325 | $0.45 |
O modelo combinado (cerca de US$ 3,59 milhões/ano) representa o limite máximo das taxas que transitam por essa fatia de 7 TLDs. Trata-se da receita bruta proveniente das taxas, antes de qualquer custo, reembolso, exclusão ou repartição no atacado — um indicador de escala, e não do lucro líquido de ninguém.
Discriminação por TLD
As sete zonas não são iguais. Algumas são meras questões de volume; outras concentram os abusos. A .vip e .icu Essas zonas, por si só, representam a esmagadora maioria das pistas de abuso com alto grau de confiança.
| TLD | Domínios ativos | Com IP | Casos de abuso com alto nível de confiança | Modelo baseado no Registro | Modelo combinado |
|---|---|---|---|---|---|
.sbs | 1,900,628 | 632,352 | 243 | $500,157.00 | $842,270.04 |
.vip | 1,891,899 | 1,235,909 | 4,388 | $497,974.75 | $838,516.57 |
.bond | 1,333,658 | 104,650 | 134 | $358,414.50 | $598,472.94 |
.cfd | 936,860 | 402,780 | 242 | $259,215.00 | $427,849.80 |
.icu | 934,951 | 279,093 | 2,607 | $258,737.75 | $427,028.93 |
.cyou | 744,378 | 270,498 | 74 | $211,094.50 | $345,082.54 |
.buzz | 202,951 | 122,066 | 13 | $75,737.75 | $112,268.93 |
| TOTAL | 7,945,325 | 3,047,348 | 7,701 | $2,161,331.25 | $3,591,489.75 |
Principais casos de abuso com alto grau de confiança, por motivo
| Motivo da detecção | Clientes potenciais |
|---|---|
punycode_idn | 6,794 |
crypto_brand_plus_action_or_auth | 372 |
document_or_mail_brand_plus_auth_doc | 188 |
finance_brand_plus_auth_payment | 170 |
wallet_drainer_lure | 102 |
apple_icloud_plus_auth | 93 |
social_brand_plus_auth | 80 |
brand_auth_random_suffix | 23 |
cloudflare_plus_auth | 3 |
Leads por TLD
| TLD | Clientes potenciais |
|---|---|
.vip | 4,388 |
.icu | 2,607 |
.sbs | 243 |
.cfd | 242 |
.bond | 134 |
.cyou | 74 |
.buzz | 13 |
Leads por país de IP
| País | Clientes potenciais |
|---|---|
| (em branco / não resolvido) | 5,166 |
| EUA | 940 |
| HK | 566 |
| CN | 375 |
| SG | 131 |
| MEU | 87 |
| DE | 78 |
| EM | 69 |
| JP | 46 |
| GB | 40 |
| CA | 34 |
| BG | 28 |
Um precedente de inação
A defesa padrão é que a ICANN possui um departamento de conformidade responsável por lidar com abusos. Na prática, esse departamento de conformidade é um lugar onde as reclamações bem documentadas vão parar para serem arquivadas.
Considere o “Artistas x NameSilo” — Processo de conformidade da ICANN. Uma reclamação devidamente fundamentada sobre a forma como um registrador lidou com um caso de abuso foi encaminhada por meio do canal oficial — e a ICANN, na prática, lavou as mãos do assunto. Esse padrão fica evidente diretamente no Painel de conformidade da ICANN: um fluxo constante de reclamações, encerradas como “resolvidas”, sem que se observe nenhuma mudança significativa no comportamento do registrador.
Painel de Conformidade da ICANN (04/2026): compliance-reports.icann.org/compliance/dashboard/2026/0426/report.html
Os jogadores
ShortDot SA — O Motor de Volume
Várias das zonas mencionadas neste relatório são operadas por ShortDot SA (na qual a NameSilo teria uma participação de cerca de 11%). O portfólio da ShortDot inclui .icu, .bond, .cyou, .sbs, .cfd, .qpon e .buzz.
Uma pergunta pertinente a se fazer a qualquer pessoa do setor: Quando foi a última vez que você viu um site legítimo e conhecido, do tipo “white-hat”, com alguma dessas extensões? A resposta sincera, para a maioria das pessoas, é “nunca”. Essas zonas se encontram quase que exclusivamente na cauda longa dos registros descartáveis.
.bond foi promovido como um destino de primeira linha para o setor financeiro. O mundo financeiro de verdade rejeitou-o categoricamente — nenhum banco ou gestora de ativos séria transferiu sua marca para lá. O que ele acabou se tornando, em vez disso, foi uma mina de ouro para phishing bancário e de criptomoedas: uma extensão que soa como algo do mundo financeiro, mas sem nenhum do escrutínio próprio do setor financeiro.
TrustName — À prova de falhas desde a concepção
Além disso, há Nome do Fundo Fiduciário, uma empresa bielorrussa que configurou o que equivale a DNS à prova de falhas, apenas dois dias após o lançamento e, desde então, tem permanecido praticamente inacessível para a ICANN. As denúncias de abuso não dão em nada; o “órgão regulador” não dispõe de nenhum mecanismo eficaz para agir.
O aspecto mais marcante é a geopolítica: as sanções parecem contornar totalmente o órgão regulador. Uma entidade que estaria fora dos limites em praticamente qualquer outro setor regulamentado continua operando dentro do ecossistema da ICANN porque a taxa continua sendo paga e ninguém tem incentivo para interromper esse fluxo.
TrustName: DNS à prova de falhas configurado dois dias após o lançamento — leia o relatório completo da TrustName →
A ser divulgado antes de 5 de julho: o relatório anual
Antes que o banco de dados complete um ano, o PhishDestroy publicará um relatório anual que expõe os registradores — incluindo TrustName, NiceNIC, NameSilo e outros — que ignorou denúncias de abuso totalmente justificadas relativas a Mais de 300 dias, até que os domínios em questão simplesmente expirassem por conta própria.
Não será um resumo. Incluirá o os textos originais dos relatórios, os acompanhamentos e os registros de data e hora exatos — um conjunto completo de registros que mostra exatamente por quanto tempo um domínio documentado e ativamente malicioso pode permanecer ativo enquanto as pessoas pagas para fiscalizá-lo fazem vista grossa.
Quando a única coisa que finalmente tira um domínio malicioso do ar é sua própria data de validade, o sistema de tratamento de abusos deixa de ser um mecanismo de segurança e passa a ser um ciclo de cobrança.
Fontes
Tabela de taxas fixas de registro + taxas de transação utilizada no modelo do lado do registro.
Taxas de credenciamento anuais + variáveis utilizadas no modelo opcional de repasse.
Registro público do recebimento de reclamações e dos resultados de sua resolução.
Reclamação documentada relativa à conformidade (UNY-783-11184) e seu desfecho.
O banco de dados completa um ano no dia 5 de julho
O DestroyList é aberto, gratuito e desenvolvido por operadores. Ao longo de um ano, ele tem lutado para acompanhar uma enxurrada que a estrutura de taxas não para de alimentar. Use-o, espelhe-o, desenvolva-o — e fique atento ao relatório de um ano do registrador, que será divulgado antes de 5 de julho.
