Grupo NiceNIC International

Principais conclusões

• Um em cada dezesseis domínios é um site de phishing. Nossa varredura completa da zona, que abrangeu 351.701 domínios registrados no NiceNIC, identificou 22.535 páginas de phishing confirmadas — uma taxa de contaminação de 6,4%. Para um registrador desse porte, esse número é extraordinário; a média do setor fica bem abaixo de 0,5%.
• As plataformas de criptomoedas são o alvo principal. Somente a Coinbase foi responsável por 3.798 domínios falsificados, com a Ledger (1.317) e a Kraken (1.214) também sendo alvos frequentes. Esse padrão é consistente com operações organizadas de coleta de frases-semente, nas quais os domínios são registrados em massa, mantidos em operação por um curto período e, em seguida, transferidos para uma nova infraestrutura.
• Picos de registros revelam atividades coordenadas por agentes. Em 16 de junho de 2026, 1.382 domínios de phishing foram registrados em um único dia — 14,9 vezes a média diária. Picos dessa magnitude não ocorrem espontaneamente; eles indicam um pequeno número de agentes com relações diretas com registradores, meios de pagamento pré-aprovados e fluxos de provisionamento automatizados.
• O .com domina, mas os TLDs genéricos servem como alternativa. Dos 351.701 domínios analisados, 194.812 (55,4%) utilizam a extensão .com. No entanto, a gestão da NiceNIC dos domínios .vip (27.121 domínios) e .icu (16.517 domínios) oferece canais de registro em massa a baixo custo, que os agentes mal-intencionados exploram intensamente quando é mais difícil adquirir domínios .com rapidamente.
• A resposta a casos de abuso está estruturalmente ausente. A PhishDestroy enviou centenas de denúncias de abuso à NiceNIC por meio de diversos canais de denúncia. As taxas de remoção permanecem próximas de zero para infraestruturas ativas de phishing. Os domínios que recebem notificações de remoção costumam ser reativados dentro de 24 a 48 horas na mesma conta do registrador, o que indica que não há aplicação de medidas de fiscalização no nível da conta.
• O conjunto de dados completo está arquivado publicamente. Todos os domínios de phishing, datas de registro, marcas visadas e denúncias de abuso são documentados no repositório público de evidências. Os dados são estruturados para o recebimento pelas autoridades policiais e para a análise de conformidade da ICANN.

Feed de detecção em tempo real

Domínios de phishing do NiceNIC mais recentes detectados pelo PhishDestroy. Atualizados continuamente.

Provas e investigação relacionada