Неработающая система

Каждое отправленное нами сообщение о нарушении соответствует четкому протоколу: URL-адрес домена, категория (фишинг, крипто-драйнер, поддельное казино), количество обнаружений на VirusTotal, скриншоты в качестве доказательств и статус в черном списке. Это не расплывчатые жалобы — это полные пакеты доказательств. И тем не менее, один домен за другим продолжает оставаться в сети в течение недели и месяцы после первого отчета.

Не существует единого стандарта, определяющего, как регистраторы должны реагировать на сообщения о злоупотреблениях. Нет соглашения об уровне обслуживания (SLA). Нет обязательных сроков ответа. Нет показателей подотчетности. Каждый регистратор самостоятельно решает, как поступить с доменом, на который было подано сообщение о 16 антивирусных движков заслуживает внимания — либо шаблонного ответа и закрытия заявки.

Кто превосходит 16 антивирусных движков?

Это вопрос, на который ни один регистратор не хочет отвечать. Когда «Касперский», ESET, Fortinet, BitDefender, Sophos, G-Data и ещё десять поставщиков решений для обеспечения безопасности помечают домен как вредоносный на VirusTotal — и служба по борьбе со злоупотреблениями регистратора принимает решение «Действия не требуются» — а кто именно позвонил?

Подумайте, насколько это абсурдно: один-единственный аналитик по кибербезопасности в регистратуре отклоняет совокупные данные аналитики угроз, полученные от 16 независимых антивирусных движков, каждая из которых располагает миллиардами точек данных, специализированными исследовательскими лабораториями и многолетним опытом. На каком основании? Какой инфраструктурой сканирования располагает команда по борьбе со злоупотреблениями в IANA #3765 или GlobalDomainGroup, которая превосходит инфраструктуру «Лаборатории Касперского»?

Ответ прост: ни одного. Они не проверяют. Они не анализируют. Либо они вообще не смотрят на отчет, либо руководствуются финансовыми соображениями: действующий домен приносит доход, а приостановленный — нет.

Давайте разберемся, что это означает: кто-то из сотрудников регистратора ознакомился с данными, предоставленными 13 независимыми поставщиками решений по обеспечению безопасности, и 13 отдельными сообщениями о злоупотреблениях — и решил, что его собственное суждение имеет преимущественную силу. Это не ошибка. Это политика.

Нет власти, которую они уважали бы

Назовите хотя бы одного производителя антивирусных программ, к мнению которого регистраторы относятся как к авторитетному. Вы не сможете — потому что такого просто нет.

• «Касперский» — определяет домен? Игнорируется.
• ESET — система определяет это как фишинг? Игнорируется.
• Fortinet — блокирует его на сетевом уровне? Игнорируется.
• BitDefender — предупреждает миллионы пользователей? Никто не обращает внимания.
• Google Safe Browsing — крупнейшая в мире система обеспечения безопасности в Интернете? И на это по-прежнему не обращают внимания.

Существует отсутствие порога обнаружения в случае которых регистратор обязан принять меры. Не 5 антивирусных движков. Не 10. Не 16. Домен может быть отмечен всеми антивирусными компаниями на VirusTotal, попасть в несколько черных списков и стать предметом десятка жалоб о злоупотреблении — и при этом у регистратора нет юридически обязательного обязательства что-либо предпринимать.

Это не пробел в системе. Вот такая система. Отрасль регистрации доменов успешно избежала введения каких-либо обязательных стандартов, которые обязывали бы её учитывать выводы исследователей в области безопасности, производителей антивирусных программ или платформ анализа угроз. Когда 16 из 70 сканирующих модулей обнаруживают угрозу в домене — это не «возможно». Это консенсус. А команда регистратора по борьбе со злоупотреблениями, не имеющая никакой инфраструктуры для сканирования и преследующая финансовую заинтересованность в том, чтобы домен продолжал существовать, игнорирует этот консенсус.

Финансовое поощрение

Регистраторы доменов взимают ежегодную плату за каждый домен. Каждое приостановление действия домена — это упущенная выгода. Каждая ликвидация домена — это риск возмещения средств. Существует прямой и поддающийся количественной оценке финансовый стимул для поддержания доменов в активном состоянии — при этом за игнорирование сообщений о злоупотреблениях не предусмотрено никаких финансовых санкций.

Это касается не всех поставщиков инфраструктуры. IANA #1910, например, оперативно рассматривает жалобы о злоупотреблениях и не получает дохода от регистрации доменов таким же образом. Это различие имеет значение: когда компания, рассматривающая вашу жалобу, извлекает выгоду из того, что домен остается в сети, возникает структурный конфликт интересов.

Доказательства: оперативные данные из наших отчетов

Ниже приведён фрагмент из нашего журнала эскалации случаев злоупотреблений за март 2026 года. Каждая запись представляет собой реальный фишинговый домен, который был по-прежнему действует на момент подготовки отчета, несмотря на ранее поступившие сообщения и подтвержденные случаи обнаружения.

VT = количество обнаружений VirusTotal из ~70 сканирующих модулей. «Активный» = количество часов, прошедших с момента первого обнаружения на момент эскалации. Данные: журнал эскалации злоупотреблений THE ENABLERS REGISTRY, 19–21 марта 2026 года.

Цифры не лгут

Рецидивисты: разбивка по регистраторам

Не все регистраторы одинаковы. Наши данные показывают четкие закономерности — некоторые регистраторы неоднократно фигурируют в списках с наихудшими показателями.

Общее количество часов бездействия со стороны регистратора

Общее количество часов активности всех доменных имен, о которых поступили сообщения, в разбивке по регистраторам в нашем наборе данных за март 2026 года. Это не отражает общего масштаба злоупотреблений со стороны регистраторов — а лишь то, что мы зафиксировали в одной выборке.

Что мы отправляем и что они делают

Каждое сообщение о нарушении правил на сайте THE ENABLERS REGISTRY содержит:

В связи с бездействием регистратора мы обращаемся на более высокий уровень Соблюдение требований ICANN (compliance@icann.org). Во всех приведенных выше случаях ICANN была указана в копии второго или последующих отчетов. Результаты? Их также не было.

Стандарт ICANN, которого не существует

ICANN Соглашение об аккредитации регистраторов (RAA), раздел 3.18 обязывает регистраторов иметь контактное лицо, ответственное за вопросы злоупотреблений, и «принимать разумные и оперативные меры для расследования и надлежащего реагирования» на сообщения о злоупотреблениях.

На практике термин «разумный и оперативный» означает то, что решит регистратор. Существуют:

• Максимальное время отклика не установлено — регистратор может ждать неделями и утверждать, что это было «обоснованно»
• Отсутствие обязательного порога для приостановки — 16 случаев обнаружения VT не приводят к автоматическому запуску каких-либо действий
• Отсутствие требования о публичной отчетности — регистраторам не обязательно публиковать информацию о том, сколько сообщений они получают и по каким из них принимают меры
• Никаких существенных санкций — ICANN редко лишала аккредитации за бездействие в случаях злоупотреблений

Результат: регистраторы рассматривают работу по борьбе со злоупотреблениями как статью расходов, которую нужно сократить, а не как обязательство по обеспечению безопасности, которое необходимо выполнять.

Они принимают меры против типосквоттинга — но не против фишинга

А вот что делает эту ситуацию ещё более абсурдной. Некоторые из тех же регистраторов, которые месяцами игнорируют сообщения о фишинге, чрезвычайно оперативно реагируют на один конкретный вид злоупотреблений: типосквоттинг — домены, которые до степени смешения похожи на устоявшиеся торговые марки.

Почему? Потому что типосквоттинг нацелен на корпорации, имеющие утвержденные бюджеты. Когда Google, Apple или Microsoft подают жалобу в рамках процедуры UDRP в связи с доменом, похожим на их торговую марку, регистраторы принимают меры в течение нескольких дней. Угроза судебного разбирательства и санкций со стороны ICANN за злоупотребление товарными знаками является реальной и непосредственной.

Но что, если фишинговый домен обманывает отдельных жертв и похищает их деньги? Если криптовалютный дрейнер обчищает чьи-то сбережения всей жизни? Если поддельное казино похищает данные кредитных карт у игроков? Нет корпоративной юридической службы. Нет подачи заявления по процедуре UDRP. Нет срочности. Отдел по борьбе со злоупотреблениями регистратора руководствуется иными критериями — при этом финансовые убытки потерпевшего не вызывают такой же реакции, как проблемы, связанные с товарными знаками бренда.

Послание ясно: Регистраторы защищают бренды, а не людей. Они реагируют на юридические полномочия, а не на доказательства нанесения ущерба. Наши отчеты содержат больше объективных доказательств, чем любое заявление в рамках процедуры UDRP — результаты сканирования VirusTotal, обнаружения антивирусными программами, подтверждения включения в черные списки, скриншоты — и тем не менее на них так и не поступает ответа.

Мы делаем их работу — бесплатно

THE ENABLERS REGISTRY — это независимый некоммерческий проект. Мы сканируем домены. Мы классифицируем угрозы. Мы формируем отчеты VirusTotal. Мы делаем скриншоты. Мы составляем подробные отчеты о злоупотреблениях и отправляем их регистраторам, реестрам и ICANN. Мы выполняем работу по обеспечению безопасности, которую должны были бы выполнять сами регистраторы.

А вот и неприятная правда: Некоторые регистраторы действительно занимаются этой работой. Некоторые регистраторы используют собственную инфраструктуру для сканирования доменов, подключаются к частным каналам информации об угрозах и упреждающе блокируют вредоносные домены ещё до того, как о них кто-либо сообщит. Такие регистраторы существуют. Они доказывают, что это возможно.

Вопрос не в том, возможно ли оперативное реагирование на случаи злоупотребления. Да, так и есть. Вопрос в том, почему некоторые регистраторы предпочитают этого не делать. И ответ каждый раз сводится к одному и тому же структурному стимулу: Активные домены приносят доход. Приостановленные домены — нет.

Обязательные к применению стандарты

Механизм обеспечения ответственности регистраторов уже существует — просто он не применяется:

50 000 доменов, и их число продолжает расти

Приведенные выше примеры представляют собой выборка за одну неделю. Реальные масштабы просто ошеломляют.

Наш постоянно обновляемый канал информации об угрозах по адресу content_active.txt содержит более 50 000 доменов, которые были заявлены как вредоносные. На каждый из них поступило как минимум одно сообщение о злоупотреблении. На многие — несколько. Регистраторы получили доказательства — результаты сканирования VirusTotal, скриншоты, подтверждения включения в чёрный список — и предпочли интересы своих клиентов безопасности общественности.

Потому что именно это и есть: выбор. Клиент регистратора — это тот, кто зарегистрировал домен, то есть мошенник. Клиентом регистратора не является ни бабушка, лишившаяся сбережений из-за поддельной банковской страницы, ни пользователь криптовалюты, у которого опустошили кошелек, ни геймер, у которого украли аккаунт в [REDACTED]. Регистратор выбрал мошенника. Каждый раз.

Из отчета для пострадавших: каждый час на счету

Как только мы отправляем сообщение о нарушении, начинается отсчет времени. С этого момента регистратор официально осведомлен о том, что домен, находящийся под их управлением, используется для совершения мошенничества. Каждый час бездействия после получения такого уведомления — это час осознанное соучастие.

Многие домены в нашем наборе данных не просто выдерживают несколько жалоб — они сохраняются до тех пор, пока их заканчивается срок регистрации. Они проходят полный цикл: регистрируются, совершают мошенничество, попадают в отчет, снова попадают в отчет, дело передается в ICANN, продолжают мошенничество, срок регистрации истекает естественным образом. Регистратор получил регистрационный сбор. Мошенник получил похищенные средства. Потерпевшие ничего не получили.

Своевременная приостановка действия домена — это не просто административная мера. Это не просто «неудобство для владельца домена». Это спасательная операция. Каждый домен, ликвидированный вовремя, — это кошелек, который не опустошили, учетные данные, которые не украли, и сберегательный счет, который не опустошили. Регистраторы, которые представляют такие меры как «цензуру» или «препятствие ведению бизнеса», тем самым показывают, чьим интересам они на самом деле служат.

Должны ли регистраторы выплачивать компенсацию пострадавшим?

Вот вопрос, на который вся отрасль регистрации доменов отказывается отвечать:

Подумайте об этом. Как только регистратор получит отчет, он больше не невежественный. Им было сообщено, с приведением доказательств, что домен, находящийся под их контролем, используется для кражи денег, учетных данных и личных данных. С этого момента дальнейшее бездействие уже не является халатностью — это осознанное решение чтобы допустить причинение вреда.

• Готов ли регистратор взять на себя ответственность за каждый доллар, похищенный через домен, о котором их предупреждали?
• Готов ли регистратор выплатить компенсацию пострадавшим? кто понес убытки после того, как заявление о злоупотреблении было подано, но осталось без внимания?
• Имеет ли юридический отдел регистратора Понимаете ли вы, что утверждение «мы провели проверку и не обнаружили никаких проблем» — при том, что 16 антивирусных движков показывают иное — не является обоснованной позицией?

Если ответ на все три вопроса — «нет», то нет веских причин оставлять домен активным. Сначала отстранить, потом проводить расследование. Именно так работают ответственные поставщики инфраструктуры. Именно так работает IANA #1910. Именно так всё чаще работают хостинг-провайдеры, такие как Hetzner и IANA #433. Только регистраторы доменов по-прежнему придерживаются модели, при которой удобство мошенника превалирует над безопасностью жертвы.

Кто за это расплачивается

Каждый час, в течение которого фишинговый домен остается в сети, напрямую приводит к появлению новых жертв:

• Домены, используемые для кражи криптовалюты (farewex, perowex, xerowex, naebex) — кошельки опустошаются за считанные секунды. 4 658 часов, накопленных доменами [REDACTED], означают тысячи потенциальных случаев опустошения кошельков.
• Поддельные казино / Мошенничество в CS:GO (casebattle variants, csgomy, ggddrop, tastdrop) — мошенничество с кредитными картами, кража личных данных и фальсификация результатов игр, направленные против геймеров.
• Подделка идентификационных данных службы (dexscreener[.]at, [REDACTED][.]receipts[.]sh, amlbot[.]im, [REDACTED]) — подделка брендов, приводящая к краже учетных данных и финансовым потерям.
• Инфраструктура кардирования (patricksstash, stashhpatrick) — сбыт похищенных платежных данных другим преступникам.

Что должно измениться

Существующая модель изначально несовершенна. Регистраторы получают прибыль от того, что домены остаются активными. У ICANN нет реальных полномочий по обеспечению соблюдения правил. У пострадавших нет возможности защитить свои права. Вот что помогло бы исправить ситуацию:

1. Обязательное соглашение об уровне обслуживания (SLA) для реагирования на случаи злоупотребления: Подтверждение в течение 24 часов, первоначальные действия в течение 72 часов, порядок эскалации в течение 7 дней. Поддается измерению. Поддается аудиту.
2. Порог автоматической приостановки: Любой домен, по которому в VirusTotal зарегистрировано ≥10 обнаружений и имеется 2 и более независимых отчета, должен быть заблокирован до завершения проверки — а не наоборот.
3. Отчеты о прозрачности в отношении публичных случаев злоупотреблений: Каждый регистратор, аккредитованный ICANN, обязан ежеквартально публиковать следующие данные: количество полученных отчетов, среднее время ответа, принятые меры, количество приостановленных доменов.
4. Финансовые санкции за несоблюдение требований: Дифференцированные штрафы для регистраторов, систематически не выполняющих свои обязанности. Лишение аккредитации для рецидивистов.
5. Независимый омбудсмен по вопросам насилия: Независимый орган, который может пересматривать решения регистраторов, устранять случаи бездействия и в ускоренном порядке принимать решения о приостановке действия учетных записей в случае серьезных угроз.
6. Список запрещенных доменов, зарегистрированных у разных регистраторов: В случае подтверждения того, что регистрант является злоумышленником, систематически совершающим нарушения, об этом следует уведомить всех аккредитованных регистраторов. Больше никаких «доменных покупок».

Что предприняла компания THE ENABLERS REGISTRY в связи с этим

Мы не ограничиваемся составлением отчетов и ожиданием, пока отрасль сама наладит ситуацию. Мы создаем системы, которые обеспечивают прозрачность и предусматривают меры в случае бездействия.

THE ENABLERS REGISTRY — мы не защищаем бренды. Мы не защищаем жертв. Мы ликвидируем инфраструктуру фишинга и мошенничества.

Заключение

Когда 16 антивирусных движков определяют домен как вредоносный, а регистратор отвечает «без действий», он не проявляет здравый смысл — он защищает свои доходы. Когда 13 отдельных сообщений о злоупотреблениях остаются без ответа, а домен продолжает работать в течение 1 352 часов, регистратор не просто обрабатывает накопившиеся заявки — он способствует совершению преступлений.

Данные, приведенные в этой статье, не являются теоретическими. Это наш реальный журнал эскалации случаев злоупотреблений за одну неделю марта 2026 года — и за ним стоят Более 50 000 зарегистрированных доменов в нашем постоянно обновляемом канале информации об угрозах. Это не единичная проблема, связанная с одним регистратором. Это отраслевой провал что экосистема регистрации доменов не заинтересована в устранении этой проблемы, поскольку существующая модель приносит прибыль.

Не существует ни одного поставщика антивирусных решений, выводами которого регистраторы были бы обязаны руководствоваться. Не существует порога обнаружения, при достижении которого предписывается принимать обязательные меры. Нет ни соглашения об уровне обслуживания (SLA), ни ответственности, ни последствий. Регистратор взимает плату, игнорирует отчеты, а расплачиваются за это пострадавшие.

Регистраторы не являются нейтральными поставщиками инфраструктуры. Они — «стражи», которые каждый день, игнорируя каждое сообщение, принимают решение о том, чтобы преступная инфраструктура продолжала функционировать в сети. Им известно о наносимом вреде. У них есть возможность это остановить. Но они предпочитают этого не делать. И пока кто-нибудь не задаст им единственный вопрос, который имеет значение — «Готовы ли вы выплатить компенсацию пострадавшим от доменов, которые вы отказались заблокировать?» — ничего не изменится.

Молчание представителей отрасли по этому вопросу — самый красноречивый ответ из всех возможных.