Resumen

  • En una muestra gTLD de siete días de 2025, los métodos combinados de OCTO-044 vincularon el 56,4 % de las semillas incluidas en listas de reputación con al menos otro dominio. Es cobertura dentro de esa muestra, no una proporción de todos los dominios ni prueba de un titular común.
  • El estudio usa datos técnicos públicos de registro y DNS. ICANN afirma que no pudo validar los grupos contra datos reales de titulares de cuentas y que una evaluación que proteja la privacidad requiere colaboración continuada con registradores.

El 6 de octubre, ICANN anunció la publicación de Associated Domain Analysis Using Public Data (OCTO-044), un informe de su Oficina del Director de Tecnología. Su cifra más llamativa es el 56,4 %: durante la semana examinada, los métodos combinados señalaron que esas semillas de listas de bloqueo por reputación estaban asociadas con al menos un dominio vecino.

El porcentaje responde a una pregunta acotada. Las semillas eran nombres gTLD relacionados con phishing, malware o infraestructura de mando y control de botnets que aparecieron por primera vez en varias listas entre el 24 y el 30 de septiembre de 2025. Tenían seis meses o menos cuando fueron señalados; unos 4.000 nombres gTLD recién registrados entraban cada día en la muestra. El resultado no mide qué parte de todos los dominios nuevos es abusiva ni describe el estado actual de todo el mercado.

OCTO-044 utiliza rasgos técnicos observables: identidad del registrador, servidores de nombres autoritativos, hora de creación y, en uno de los métodos, datos compartidos de resolución IPv4. Agrupa nombres registrados en cuestión de segundos o dentro de unas horas, o dominios que comparten infraestructura, y luego filtra los grupos candidatos por similitud léxica. Los métodos se solapan, de modo que sus coberturas individuales —aproximadamente 16 % para registros por lotes, 33 % para registros masivos y 18 % para resolución masiva— no se pueden sumar.

La limitación central está en el significado de «asociado». El término describe una relación inferida a partir de rasgos técnicos; no identifica a quien posee un nombre, lo opera ni la razón de su registro. ICANN señala que los registros masivos también pueden ser legítimos, por ejemplo, para proteger marcas, redes publicitarias o distribuir tráfico. La infraestructura compartida puede generar falsos positivos; un umbral léxico estricto también puede pasar por alto asociaciones reales.

El estudio no comparó sus grupos con un conjunto de referencia que identificase a los titulares de las cuentas. El informe dice que ICANN no tiene acceso a esos datos personales, que suelen estar en manos de registradores y algunos registros, y que una evaluación completa que preserve la privacidad exige colaboración continuada con la comunidad de registradores. Es una validación pendiente, no una prueba de que el método sea erróneo. Pero sí impide convertir una pista de investigación en una atribución.

Los datos de rapidez requieren el mismo cuidado. Con los retrasos de recopilación y el procesamiento diario que refleja el estudio, el análisis detectó antes de la inclusión en una lista al 4,6 % de la muestra. Si se supone que los datos pueden procesarse en 30 minutos, el modelo eleva el porcentaje al 10 %. Ese segundo resultado es hipotético, no una observación operativa: OCTO-044 indica que los datos de registro pueden tardar días en llegar y que algunos se actualizan semanalmente.

ICANN afirma que continuará validando los resultados, reducirá los retrasos de procesamiento y distribuirá los resultados a las partes interesadas pertinentes. Esos pasos determinarán si el método sirve más allá de la línea de base retrospectiva. Por ahora, el informe respalda una conclusión medida: los datos públicos pueden descubrir grupos que merece la pena examinar a escala, pero no demuestra que todos compartan titular, propósito abusivo o motivo para suspenderlos.

Fuentes: