Resumen

  • Interisle encontró que 8.496.811 de los 84.961.989 nombres gTLD creados en 2025 habían entrado en sus listas seleccionadas al 18 de mayo de 2026. Considera que el 10% observado es un mínimo y proyecta hasta 16,8 millones, o un 20%, al añadir detección posterior y dominios asociados.
  • ICANN distingue entre un nombre denunciado o listado y un caso respaldado por evidencia accionable. Para la organización, las estadísticas de denuncias son, en el mejor de los casos, un máximo de los abusos confirmados, y la suspensión suele requerir investigación o corroboración.
  • Las dos posiciones no estiman lo mismo. El conjunto observado puede quedar por debajo de una población hipotética de registros maliciosos aún invisibles y, a la vez, por encima de los casos que superan una definición contractual y una revisión individual.
  • La gobernanza necesita conservar seis estados: observación, clasificación, estimación poblacional, señal de política, evidencia de caso y acción autorizada. Una métrica agregada no debe convertirse por sí sola en sentencia sobre un dominio.

El porcentaje sin apellido

Los debates sobre abuso del DNS suelen empezar por una pregunta sencilla: ¿cuánto hay? Esa pregunta es engañosa porque “abuso” puede designar una observación técnica, una inferencia sobre intención, una categoría contractual o una decisión operativa. Si se comprimen esas capas, el mismo porcentaje parece responderlas todas.

El informe de Interisle toma como universo 84.961.989 nombres gTLD creados durante 2025. De ellos, 8.496.811 habían aparecido, al 18 de mayo de 2026, en el conjunto de listas y campañas que la consultora reunió. Después de aplicar su distinción entre registros hechos con fines maliciosos y sitios legítimos comprometidos, concluye que aproximadamente el 98% del conjunto listado pertenecía a la primera clase. Ese dato alimenta la frase de que cerca del 10% de las altas del año fueron maliciosas.

Interisle no detiene ahí el razonamiento. Espera que nombres todavía no listados aparezcan más tarde y eleva la proporción al 12% hacia finales de 2026. Luego incorpora una expansión por asociación: nombres adquiridos en lotes relacionados con semillas ya conocidas, aunque no hayan sido observados directamente en una lista. Con ambos pasos llega a 16,8 millones, el 20% de las altas. El propio informe presenta esa última cifra como una proyección.

El comentario de ICANN del 10 de agosto no necesita demostrar que cada entrada sea falsa para cuestionar el uso del porcentaje. Señala que una denuncia o una inclusión en una lista no equivale a una determinación razonable de abuso bajo los contratos aplicables. Puede tratarse de una señal heurística, de una categoría más amplia que el mandato contractual, de un sitio comprometido o de un elemento que exige contraste. Desde ese punto de vista, el volumen denunciado marca un máximo de lo que podría acabar confirmado.

No hay una habitación con un único suelo y un único techo. Hay dos ejes. En el primero, 8,5 millones es menor que la supuesta población de registros maliciosos que las fuentes aún no ven. En el segundo, el conjunto denunciado es mayor que el subconjunto confirmado mediante definición, investigación y responsabilidad institucional. Llamar al dato “mínimo” o “máximo” sin nombrar el eje transforma una diferencia metodológica en una disputa retórica.

Tres cifras con tres calidades

Conviene separar las tres magnitudes centrales. Los 8,5 millones son un recuento observado y clasificado bajo fuentes, reglas y una fecha de corte. Los 10,1 millones aproximados incorporan una hipótesis temporal sobre futuras apariciones. Los 16,8 millones añaden una inferencia de asociación. Todas pueden ser útiles; no tienen la misma relación con lo observado.

La selección de fuentes también es una decisión analítica. Interisle describe varias fuentes profesionales de phishing, malware y otras conductas dañinas, además de listas de campañas construidas con material policial, judicial y de investigación de amenazas. Recoge actualizaciones varias veces al día y elimina duplicados entre fuentes. Un nombre puede aparecer en columnas de tipos distintos, pero una sola vez en el total único.

Este diseño resuelve algunos problemas y abre otros. La ausencia de un nombre no demuestra que sea benigno: ninguna colección ve todo. La presencia tampoco demuestra por sí sola una infracción contractual. Cada fuente tiene objetivos, ventanas de observación, umbrales y prácticas de reevaluación distintos. Lo que funciona para bloquear tráfico en una red puede ser demasiado ruidoso para una decisión que afecte al registrante y a usuarios inocentes.

El análisis de ICANN de julio de 2025 mostró un efecto práctico de esa selección. La posición relativa de algunos TLD cambió al utilizar solo fuentes abiertas, solo fuentes comerciales o la combinación. Ciertos TLD anonimizados se mantuvieron cerca de la parte alta; otros se desplazaron de forma apreciable. Por tanto, un ranking no es solo una propiedad de los operadores observados. También refleja el sistema de sensores escogido.

OCTO-037 propone evaluar esas listas según su finalidad. El volumen es visible, pero la vigencia de las entradas, la pureza y la exactitud de los metadatos pueden exigir muestreo. La cobertura real, la frecuencia de nuevas comprobaciones y la fiabilidad operativa quizá no se desprendan del archivo descargado. Una fuente no se vuelve universal por ser grande.

El alcance contractual no es un mapa del daño social

El informe de Interisle incluye phishing, malware y botnets, pero también fraude, estafas y formas más amplias de spam. Es una elección legítima al estudiar la demanda delictiva de dominios. Una víctima no ordena su pérdida según la taxonomía de un contrato privado. Sin embargo, la importancia social de una categoría no incorpora automáticamente esa categoría al ámbito de cumplimiento de ICANN.

Las enmiendas globales de 2024 definieron, para los acuerdos correspondientes, malware, botnets, phishing, pharming y spam cuando este sirve para distribuir los otros daños enumerados. El aviso de cumplimiento explica las obligaciones de registradores y registros cuando reciben evidencia accionable dentro de sus funciones. No crea un interruptor universal ni convierte cualquier señal agregada en una orden de suspensión.

Esta separación protege dos bienes a la vez. Un caso de phishing bien corroborado no debe esperar a que termine un debate académico sobre la prevalencia mundial. Una concentración de señales en un segmento del mercado tampoco debe descartarse porque cada nombre aún no tenga un expediente resuelto. La medición agregada y la respuesta individual avanzan a ritmos distintos porque contestan preguntas distintas.

Citar un método no muestra sus cambios

Interisle relaciona su expansión de dominios asociados con un estudio de OCTO sobre lotes de registro y compara su clasificación de registros maliciosos con COMAR. ICANN replica que no están suficientemente expuestas las diferencias. La crítica importante no es de etiqueta bibliográfica. Es de reproducibilidad.

El estudio de lotes de ICANN agrupa altas cercanas en el tiempo mediante registrador, servidores autoritativos y momento de creación, y observa cómo se distribuyen semillas conocidas de listas de bloqueo. Excluye grupos menores de diez porque la coincidencia era menos fiable. También aparta grupos superiores a 1.000 del análisis detallado porque algunos eran heterogéneos o podían reflejar el procesamiento de revendedores. La validación con verdad de terreno dependió de un registrador colaborador; los datos generales sobre titulares siguen repartidos entre registros y registradores.

El estudio comunicó una expansión del 80% de los dominios recién registrados presentes en listas mediante la inferencia por lotes. A la vez, reconoció que la asociación no atribuye por sí sola una conducta, que los atacantes pueden evadir los supuestos y que el uso operativo necesita refinamiento y un umbral mínimo. Si un trabajo posterior modifica tamaños de grupo, ventanas, filtros o denominadores, el enlace a la fuente no permite saber qué produjo la diferencia.

COMAR documentó una exactitud del 97% y una tasa de falsos positivos del 2,5% en sus conjuntos etiquetados de phishing y malware, a partir de 38 rasgos de datos públicos. Son resultados de evaluación, no una garantía transferible a todo conjunto futuro. El artículo también explica fallos al recuperar contenido, etiquetado manual, evasión, captura de dominios caducados y páginas legítimas desfiguradas que confunden los indicadores.

Una referencia señala el punto de partida. Un “diff” metodológico explica la distancia recorrida: versiones, variables, umbrales, exclusiones, tratamiento de datos faltantes y sensibilidad del resultado. Sin él, nadie puede distinguir si dos equipos discrepan por los datos, por la definición, por la implementación o por la inferencia final.

Un libro mayor de seis estados

No hace falta imponer un detector único. Hace falta que cada afirmación declare en qué estado se encuentra.

Estado Lo que puede acreditar En lo que no debe convertirse en silencio
Observación Un nombre o URL apareció en una fuente identificada y en una fecha Prueba de intención maliciosa
Clasificación Una regla o modelo versionado asignó categoría, asociación o confianza Etiqueta infalible
Estimación poblacional Observaciones e inferencias produjeron numerador, denominador, intervalo o proyección Conteo de casos juzgados
Señal de política El agregado es relevante para una pregunta institucional concreta Poder para actuar contra un nombre
Evidencia de caso Un dominio fue investigado o corroborado bajo la definición aplicable Decisión de un actor no identificado
Acción autorizada Una parte responsable usó un instrumento válido y una respuesta proporcionada Borrado del historial de aviso, revisión o corrección

Las transiciones son posibles, pero deben dejar rastro. Una lista puede priorizar una investigación. Un agregado puede justificar que la GNSO examine un problema. Una parte contratada puede recibir evidencia adicional sobre un dominio. Nada exige fingir que la observación inicial ya contenía la decisión final.

Dos recibos y una frase de unión

El primer recibo pertenece a la cifra. Debe contener el objeto estimado y la unidad; ventana y fecha de corte; fuentes y límites de visibilidad; definición de abuso; reglas de inclusión, exclusión y deduplicación; clasificador y versión; método de asociación; numerador, denominador y separación entre observado, inferido y proyectado.

Debe registrar también la dirección de la incertidumbre. Una colección incompleta empuja el conteo hacia abajo frente a una población subyacente. La inclusión de señales no confirmadas o fuera de mandato puede empujarlo hacia arriba frente al universo contractual confirmado. Las dos advertencias no se cancelan: delimitan comparaciones distintas.

El recibo debe declarar usos permitidos y prohibidos. “Apto para analizar tendencias agregadas”, “apto para abrir revisión” y “suficiente para suspender” son autorizaciones diferentes. Una identidad estable para correcciones debe permitir que la versión nueva sustituya a la antigua en paneles y documentos derivados.

No es imprescindible revelar fuentes licenciadas, datos personales o umbrales que ayuden a evadir la detección. Pueden publicarse clases de fuente, lógica de selección, hashes, rutas de auditoría bajo custodia y pruebas de sensibilidad. La transparencia útil no equivale a entregar el sistema al adversario.

El segundo recibo pertenece a la acción. Identifica el caso, la categoría contractual, la parte responsable, las pruebas específicas, el estado de corroboración y la distinción entre registro malicioso, compromiso y situación no resuelta. Nombra a quien investiga y decide, y preserva alcance, proporcionalidad, notificación, recurso, corrección y restitución.

Entre ambos debe aparecer una frase inequívoca: una inclusión agregada, una asociación o una estimación poblacional no se convierte en evidencia accionable sobre ese dominio solo por haber informado una política. Si el mismo informe aporta evidencia individual, esta entra en el expediente como evidencia individual, no como un fragmento privilegiado del porcentaje.

La evidencia no se da mandato a sí misma

La crítica de Heng Lu al mandato multistakeholder ofrece una regla general: participar puede aportar experiencia, advertencia y disciplina técnica, pero no convierte al participante en el principal autorizado para obligar a todos los afectados. Los datos sufren la misma tentación. Un conjunto masivo parece una circunscripción; un modelo parece un decisor; un panel parece una orden.

Interisle gobierna su investigación. OCTO gobierna sus herramientas y publicaciones técnicas. La comunidad de la GNSO desarrolla políticas mediante su proceso. Cumplimiento Contractual evalúa instrumentos adoptados. Registros y registradores conservan información operativa y obligaciones específicas. Tribunales y autoridades públicas actúan bajo otras leyes. La evidencia puede viajar entre ellos; la autoridad no se fusiona por compartir un nombre de dominio.

El estándar común debe ser delgado: estado de la afirmación, procedencia, cambio metodológico y reglas de entrega. Eso permite competir a los métodos y atribuir cada consecuencia. Centralizar toda detección crearía una monocultura; dejar que cada actor use vocabulario incompatible haría imposibles la comparación y la corrección.

Una controversia que puede producir infraestructura

La próxima contribución útil no sería otro adjetivo junto al 10% o al 20%. Sería una canalización reproducible del conjunto de 8,5 millones: aportación y solapamiento de fuentes, campañas añadidas, exclusiones, clasificación entre malicioso y comprometido, denominador y cortes. La proyección del 20% debería separar el incremento temporal de la expansión asociativa y publicar sensibilidades.

ICANN, por su parte, debería indicar qué comparación modificaría su estimación de escala y qué objeciones pertenecen al mandato, no a la prevalencia empírica. Así, una diferencia sobre jurisdicción no aparecería como refutación de un fenómeno, y una diferencia sobre cobertura no se usaría como prueba automática de incumplimiento.

El desacuerdo puede sobrevivir. La rendición de cuentas no consiste en forzar un número común, sino en conservar qué demuestra cada cifra, quién puede emplearla y qué registro adicional hace falta antes de imponer un daño. El mínimo y el máximo no son el fallo. El fallo sería borrar el espacio probatorio que los separa.

Fuentes

  1. ICANN, «Looking Beyond the Numbers: Understanding Malicious Domain Registration Data»
  2. Interisle Consulting Group, «Malicious Registrations in the Domain Market»
  3. ICANN, preguntas frecuentes de Domain Metrica
  4. ICANN, «How Choice of Reputation Blocklists Affects DNS Abuse Metrics»
  5. ICANN OCTO-037v2, «RBL Evaluation Methodology»
  6. ICANN OCTO SSR, «Detecting Malicious Domain Registration Batches: Patterns, Prevalence, and Security Implications»
  7. Maroofi et al., «COMAR: Classification of Compromised versus Maliciously Registered Domains»
  8. Aviso de ICANN sobre el cumplimiento de las obligaciones relativas al abuso del DNS
  9. ICANN, Enmiendas Globales de 2024
  10. ICANN, Programa de mitigación del abuso del DNS
  11. Lu Heng, «The Multi-Stakeholder Mirage—How the Multi-Stakeholder Model Turned Attendance Into Mandate»