El sistema fallido

Cada denuncia de abuso que enviamos sigue un protocolo claro: URL del dominio, categoría (possibly phishing, software para robar criptomonedas, casino falso), recuento de detecciones en VirusTotal, capturas de pantalla como prueba y estado en la lista negra. No se trata de denuncias vagas, sino de expedientes forenses. Y, sin embargo, un dominio tras otro sigue en línea durante semanas y meses tras el primer informe.

No existe una norma universal sobre cómo deben gestionar los registradores las denuncias de abuso. No hay ningún acuerdo de nivel de servicio (SLA). No hay un plazo de respuesta obligatorio. No hay ningún indicador de rendición de cuentas. Cada registrador decide por su cuenta si un dominio señalado por 16 motores antivirus merece atención — o una respuesta tipo y un ticket cerrado.

¿Quién supera a los 16 motores antivirus?

Esta es la pregunta que ningún registrador quiere responder. Cuando Kaspersky, ESET, Fortinet, BitDefender, Sophos, G-Data y otros diez proveedores de seguridad marcan un dominio como malicioso en VirusTotal, y el equipo de lucha contra los abusos del registrador decide «No es necesario realizar ninguna acción» — ¿Quién tomó exactamente esa decisión?

Piensa en lo absurdo que es: un solo analista de abusos de un registrador anula la información combinada sobre amenazas de 16 motores antivirus independientes, cada uno con miles de millones de puntos de datos, laboratorios de investigación especializados y décadas de experiencia. ¿En qué se basan? ¿Qué infraestructura de análisis utiliza el equipo de lucha contra los abusos de IANA #3765 o GlobalDomainGroup que supere a la de Kaspersky?

La respuesta es sencilla: ninguna. No lo revisan. No lo comprueban. O bien ni siquiera miran el informe, o bien se basan en un cálculo económico: un dominio activo genera ingresos; uno suspendido, no.

Seamos claros sobre lo que esto significa: alguien de la entidad registradora analizó las pruebas aportadas por 13 proveedores de seguridad independientes y 13 informes de abuso distintos, y decidió que su propio criterio era superior. Eso no es un error. Es una política.

No respetan a ninguna autoridad

Nombra un solo proveedor de antivirus al que los registradores consideren una referencia. No puedes, porque no hay ninguno.

• Kaspersky — ¿Detecta el dominio? Se ignora.
• ESET — ¿Lo marca como possibly phishing? Lo ignoro.
• Fortinet — ¿Lo bloquea a nivel de red? Se ignora.
• BitDefender — ¿Alerta a millones de usuarios? Se ignora.
• Google Safe Browsing — ¿El mayor sistema de seguridad en la red del mundo? Y aún así se sigue ignorando.

Hay sin umbral de detección ante las cuales el registrador está obligado a actuar. Ni 5 motores. Ni 10. Ni 16. Un dominio puede ser marcado por todos los proveedores de antivirus en VirusTotal, aparecer en múltiples listas negras y tener una docena de denuncias por abuso presentadas, y el registrador no tiene ninguna obligación legalmente exigible de hacer nada.

Esto no es una laguna del sistema. Este es el sistema. El sector del registro de dominios ha logrado eludir cualquier norma vinculante que le obligara a respetar las conclusiones de los investigadores de seguridad, los proveedores de antivirus o las plataformas de inteligencia sobre amenazas. Cuando 16 de 70 motores detectan un dominio, eso no es un «quizás». Es un consenso. Y el equipo de abuso del registrador, que carece por completo de infraestructura de análisis y tiene un interés económico en mantener el dominio activo, anula ese consenso.

El incentivo económico

Los registradores de dominios cobran cuotas anuales por cada dominio. Cada suspensión supone una pérdida de ingresos. Cada retirada supone un riesgo de reembolso. Existe un incentivo económico directo y cuantificable para mantener los dominios activos, y no hay ninguna sanción económica por ignorar las denuncias de abuso.

No ocurre lo mismo con todos los proveedores de infraestructuras. IANA #1910, por ejemplo, gestiona las denuncias de abuso de forma eficaz y no obtiene ingresos por el registro de dominios de la misma manera. La distinción es importante: cuando la empresa que gestiona tu denuncia se beneficia de que el dominio permanezca en línea, el conflicto de intereses es estructural.

Las pruebas: datos en tiempo real extraídos de nuestros informes

A continuación se muestra un ejemplo de nuestro registro de escalación de casos de abuso de marzo de 2026. Cada entrada corresponde a un dominio de possibly phishing real que fue todavía en activo en el momento de redactar este informe, a pesar de los informes previos y de las detecciones confirmadas.

VT = Detecciones de VirusTotal en unos 70 motores. «Activo» = horas transcurridas desde la primera detección en el momento de la escalación. Datos: registro de escalación de abusos de THE ENABLERS REGISTRY, del 19 al 21 de marzo de 2026.

Las cifras no mienten

Los reincidentes: desglose por registradores

No todos los registradores son iguales. Nuestros datos muestran patrones claros: algunos registradores aparecen repetidamente entre los que obtienen peores resultados.

Total de horas de inactividad del secretario

Horas de actividad combinadas de todos los dominios notificados por registrador en nuestro conjunto de datos de marzo de 2026. No se trata del total de abusos por parte de los registradores, sino únicamente de lo que observamos en una muestra.

Lo que enviamos frente a lo que hacen

Cada informe de abuso de THE ENABLERS REGISTRY incluye:

Ante la falta de respuesta del registrador, elevamos el asunto a Cumplimiento de las normas de la ICANN (compliance@icann.org). En todos los casos mencionados anteriormente, se incluyó a la ICANN en copia en el segundo informe o en los siguientes. ¿El resultado? La misma ausencia.

La norma de la ICANN que no existe

La ICANN Acuerdo de Acreditación de Registradores (RAA), apartado 3.18 exige a los registradores que dispongan de un punto de contacto para casos de abuso y que «adopten medidas razonables y rápidas para investigar y responder adecuadamente» a las denuncias de abuso.

En la práctica, «razonable y rápido» significa lo que el registrador decida que significa. Existe:

• No hay un tiempo máximo de respuesta — un registrador puede esperar semanas y alegar que era «razonable»
• No existe un umbral de suspensión obligatorio — Las 16 detecciones de VT no activan automáticamente nada.
• No existe la obligación de presentar informes públicos — Los registradores no están obligados a publicar el número de denuncias que reciben ni las medidas que adoptan al respecto.
• Ninguna sanción significativa — La ICANN rara vez ha revocado una acreditación por no haber tomado medidas ante un abuso

El resultado: los registradores consideran la gestión de los abusos como un centro de costes que hay que reducir al mínimo, y no como una obligación de seguridad que hay que cumplir.

Toman medidas contra el «typosquatting», pero no contra el «possibly phishing»

Esto es lo que hace que todo esto resulte aún más absurdo. Algunos de los mismos registradores que ignoran durante meses las denuncias de possibly phishing son extremadamente eficientes en un tipo concreto de abuso: typosquatting — dominios que son tan similares a marcas ya consolidadas que pueden dar lugar a confusión.

¿Por qué? Porque el «typosquatting» se centra en empresas con presupuestos jurídicos. Cuando Google, Apple o Microsoft presentan una reclamación ante la UDRP por un dominio similar, los registradores actúan en cuestión de días. La amenaza de un litigio y de sanciones de ICANN por abuso de marcas registradas es real e inmediata.

¿Pero qué pasa cuando un dominio de possibly phishing roba dinero a víctimas particulares? ¿Cuando un «crypto drainer» deja a alguien sin los ahorros de toda una vida? ¿Cuando un casino falso roba los datos de las tarjetas de crédito de los jugadores? Sin equipo jurídico corporativo. Sin presentación de reclamaciones UDRP. Sin urgencia. El departamento de abuso del registrador aplica un criterio diferente, según el cual la pérdida económica de la víctima no da lugar a la misma respuesta que una reclamación relacionada con la marca registrada de una empresa.

El mensaje es claro: Los registradores protegen las marcas, no a las personas. Responden a la autoridad legal, no a las pruebas de perjuicio. Nuestros informes contienen más pruebas objetivas que cualquier solicitud presentada ante la UDRP —análisis de VirusTotal, detecciones de antivirus, confirmaciones de listas negras, capturas de pantalla— y, sin embargo, quedan sin respuesta.

Hacemos su trabajo… gratis

THE ENABLERS REGISTRY es un proyecto independiente y sin ánimo de lucro. Analizamos dominios. Clasificamos las amenazas. Generamos informes de VirusTotal. Realizamos capturas de pantalla. Redactamos informes detallados sobre abusos y los enviamos a los registradores, los registros y la ICANN. Nos encargamos de las tareas de seguridad que deberían realizar los registradores.

Y esta es la incómoda verdad: De hecho, algunos registradores se encargan de esta tarea. Algunos registradores cuentan con su propia infraestructura de análisis de dominios, utilizan fuentes privadas de información sobre amenazas y suspenden de forma proactiva los dominios maliciosos antes incluso de que nadie los denuncie. Existen. Demuestran que es posible.

La cuestión no es si es posible dar una respuesta rápida ante los abusos. Así es. La pregunta es por qué algunos registradores deciden no hacerlo. Y la respuesta, una y otra vez, nos lleva al mismo incentivo estructural: Los dominios activos generan ingresos. Los dominios suspendidos, no.

Normas vinculantes que deberían aplicarse

El marco para exigir responsabilidades a los registradores ya existe, pero no se aplica:

50 000 dominios y sumando

Los ejemplos anteriores son un muestra de una sola semana. La magnitud real es abrumadora.

Nuestra fuente de información sobre amenazas, que se actualiza constantemente, en content_active.txt contiene más de 50 000 dominios que han sido denunciados como maliciosos. Cada uno de ellos recibió al menos una denuncia por abuso. Muchos recibieron varias. Los registradores recibieron las pruebas —los análisis de VirusTotal, las capturas de pantalla, las confirmaciones de inclusión en listas negras— y antepusieron los intereses de sus clientes a la seguridad del público.

Porque eso es precisamente lo que es esto: una opción. El cliente del registrador es la persona que registró el dominio: el estafador. El cliente del registrador no es la abuela que perdió sus ahorros en una página bancaria falsa, ni el usuario de criptomonedas al que le vaciaron el monedero, ni el jugador al que le robaron la cuenta de [REDACTED]. El registrador eligió al estafador. Siempre.

Desde la denuncia hasta la asistencia a las víctimas: cada hora cuenta

En el momento en que enviamos una denuncia por abuso, se pone en marcha un plazo. A partir de ese momento, el registrador debe tener conocimiento oficial que un dominio bajo su gestión se está utilizando para cometer fraude. Cada hora de inacción tras esa notificación es una hora de complicidad consciente.

Muchos dominios de nuestro conjunto de datos no solo sobreviven a unas pocas denuncias, sino que perduran hasta que su finaliza el plazo de inscripción. Siguen todo el ciclo: se registran, cometen una estafa, son denunciados, vuelven a ser denunciados, el caso se remite a la ICANN, siguen estafando y, finalmente, el dominio caduca de forma natural. El registrador cobró la cuota de registro. El estafador se embolsó los fondos robados. Las víctimas no obtuvieron nada.

La suspensión oportuna de un dominio no es solo una medida administrativa. No es solo «un inconveniente para el titular del dominio». Es una operación de rescate. Cada dominio bloqueado a tiempo supone un monedero que no se vacía, una credencial que no se roba y una cuenta de ahorros que no se agota. Los registradores que califican las retiradas de «censura» o «obstáculo para el negocio» están dejando claro a quiénes sirven exactamente.

¿Deberían los registradores indemnizar a las víctimas?

Esta es la pregunta que todo el sector del registro de dominios se niega a abordar:

Piénsalo. Una vez que el registrador recibe el informe, se encuentra ya no es ignorante. Se les ha informado, con pruebas, de que un dominio bajo su control se está utilizando para robar dinero, credenciales e identidades. A partir de ese momento, la inacción continuada no es negligencia, sino un decisión consciente para permitir que se cause daño.

• ¿Está dispuesto el registrador a asumir la responsabilidad? ¿por cada dólar robado a través de un dominio sobre el que se les había advertido?
• ¿Está dispuesto el registrador a indemnizar a las víctimas? ¿Quiénes perdieron dinero después de que se presentara la denuncia por abuso y esta fuera ignorada?
• ¿El equipo jurídico del registrador ¿Entiendes que decir «lo hemos revisado y no hemos encontrado ningún problema» —cuando 16 motores antivirus no están de acuerdo— no es una postura defendible?

Si la respuesta a las tres preguntas es «no», entonces no hay ninguna razón válida para mantener activo el dominio. Primero suspender, luego investigar. Así es como actúan los proveedores de infraestructura responsables. Así es como actúa IANA #1910. Así es como actúan cada vez más los proveedores de alojamiento web como Hetzner y IANA #433. Solo los registradores de dominios se aferran a un modelo en el que la comodidad del estafador prima sobre la seguridad de la víctima.

¿Quién paga el precio?

Cada hora que un dominio de possibly phishing permanece en línea se traduce directamente en víctimas:

• Dominios que roban criptomonedas (farewex, perowex, xerowex, naebex) — carteras vaciadas en cuestión de segundos. Las 4.658 horas combinadas de los dominios de [REDACTED] representan miles de posibles vaciamientos de carteras.
• Casinos falsos / Estafas relacionadas con CS:GO (variantes de casebattle, csgomy, ggddrop, tastdrop) — fraude con tarjetas de crédito, robo de identidad y resultados amañados dirigidos a los jugadores.
• Suplantación de identidad de un servicio falso (dexscreener[.]at, [REDACTED][.]receipts[.]sh, amlbot[.]im, [REDACTED]) — suplantación de identidad de marcas que da lugar al robo de credenciales y a pérdidas económicas.
• Infraestructura de cardado (patricksstash, stashhpatrick) — venta de datos de pago robados a otros delincuentes.

Lo que debe cambiar

El modelo actual está fallando por su propio diseño. Los registradores se benefician de que los dominios permanezcan activos. ICANN carece de capacidad para hacer cumplir la normativa. Las víctimas no tienen ningún recurso. Esto es lo que solucionaría el problema:

1. Acuerdo de nivel de servicio (SLA) obligatorio para la gestión de casos de abuso: Confirmación en 24 horas, acción inicial en 72 horas, proceso de escalado en 7 días. Cuantificable. Auditable.
2. Umbral de suspensión automática: Cualquier dominio con ≥10 detecciones en VirusTotal y al menos 2 informes independientes debe suspenderse a la espera de una revisión, y no al revés.
3. Informes públicos sobre transparencia en materia de abusos: Todos los registradores acreditados por la ICANN deben publicar trimestralmente: los informes recibidos, el tiempo medio de respuesta, las medidas adoptadas y los dominios suspendidos.
4. Sanciones económicas por incumplimiento: Multas progresivas para los registradores que incumplan sistemáticamente sus obligaciones. Pérdida de la acreditación para los reincidentes.
5. Defensor del pueblo independiente contra los abusos: Un organismo independiente que pueda revisar las decisiones de los registradores, poner fin a la inacción y acelerar los procedimientos de suspensión en caso de amenazas graves.
6. Lista de prohibiciones entre registradores: Cuando se confirme que un solicitante de registro es un infractor reincidente, se deberá notificar a todos los registradores acreditados. Se acabó la «caza de dominios».

Qué ha hecho THE ENABLERS REGISTRY al respecto

No nos limitamos a redactar informes y esperar a que el sector se corrija por sí solo. Creamos sistemas que imponen la transparencia y establecen consecuencias por la inacción.

THE ENABLERS REGISTRY: no protegemos a las marcas. No defendemos a las víctimas. Acabamos con las infraestructuras de possibly phishing y estafas.

Conclusión

Cuando 16 motores antivirus señalan que un dominio es malicioso y un registrador responde «sin acción», el registrador no está ejerciendo su criterio, sino que está protegiendo sus ingresos. Cuando 13 denuncias de abuso distintas quedan sin respuesta y un dominio permanece activo durante 1.352 horas, el registrador no está tramitando un atraso, sino que está facilitando la comisión de delitos.

Los datos que aparecen en este artículo no son teóricos. Se trata de nuestro registro en tiempo real de la escalada de casos de abuso correspondiente a una sola semana de marzo de 2026, y detrás de él se encuentran Más de 50 000 dominios registrados en nuestra base de datos de amenazas, que se actualiza constantemente. No se trata de un problema aislado de un único registrador. Se trata de un fracaso generalizado del sector que el ecosistema del registro de dominios no tiene ningún interés en solucionar, ya que el modelo actual es rentable.

No existe ningún proveedor de antivirus cuyos hallazgos estén obligados a respetar los registradores. No hay ningún umbral de detección que dé lugar a una acción obligatoria. No hay ningún acuerdo de nivel de servicio (SLA), ni responsabilidad, ni consecuencias. El registrador cobra la cuota, hace caso omiso de los informes y son las víctimas las que pagan las consecuencias.

Los registradores no son proveedores de infraestructura neutrales. Son los guardianes que deciden —cada día, con cada denuncia ignorada— mantener en funcionamiento la infraestructura delictiva. Están al corriente del daño que se causa. Tienen el poder de detenerlo. Pero deciden no hacerlo. Y hasta que alguien les plantee la única pregunta que importa: «¿Estás dispuesto a indemnizar a las víctimas de los dominios que te negaste a suspender?» — No va a cambiar nada.

El silencio del sector ante esta cuestión es la respuesta más elocuente de todas.