Resumen

  • La responsabilidad del AS209874 es legible y vinculada a objetos: el rol NA8939-RIPE (novacloud-hosting) como admin-c/tech-c, el rol NA8940-RIPE (novacloud-abuse) con su buzón de abuso registrado, y la organización ORG-MWUL2-RIPE (Tech Tide Portugal Unipessoal LDA, registro 517354420).
  • El identificador de nivel de directorio «novacloud-admin» no corresponde a ningún objeto RIPE de rol, persona o buzón; el objeto más cercano es el mantenedor novacloud-mnt, que no es un contacto administrativo.
  • El propio operador publica rutas de contacto que no coinciden: un Centro de Operaciones de Red en el dominio propio del micrositio de ASN, abuso dirigido a la dirección registrada en su aviso legal, y un contacto legal del artículo 11 del DSA en el dominio comercial que declara explícitamente que no procesará informes de abuso.
  • La higiene RPKI está presente: los espejos rpki-client muestran ROA publicados para numerosos prefijos /24 y bloques IPv6, incluido un /40 con maxlen 128; pero al menos un prefijo con papeleo completo en RIPE, 5.83.150.0/24, no aparece en la tabla de enrutado global según bgp.tools.
  • El incidente de FFM2 de julio de 2026 (20 de julio al 8 de agosto, 19 días) dejó tras de sí cuatro listados mutuamente incompatibles de proveedores de tránsito y una historia de estado duplicada en dos subdominios Instatus.

El tema de este informe no es el tamaño de un pequeño operador de alojamiento, sino la geometría de su responsabilidad. Cuando un cliente contrata IP tránsito con la marca NovaCloud-Hosting, o cuando una red vecina necesita informar de un problema de enrutado originado en el sistema autónomo AS209874, la pregunta operativa es siempre la misma: ¿a quién se puede llegar, a través de qué objeto verificable, y qué capa de la identidad del operador es la que realmente responde?

La respuesta que emerge de los registros públicos es doble y, en apariencia, contradictoria. Por un lado, la responsabilidad es sorprendentemente legible en la capa del registro. El aut-num AS209874 —creado el 24 de abril de 2025 con el nombre TECHTIDE, última modificación el 26 de febrero de 2026— apunta a la organización ORG-MWUL2-RIPE, Tech Tide Portugal Unipessoal LDA, con número de registro 517354420, y a objetos de rol con nombre: NA8939-RIPE, «novacloud-hosting», para las funciones administrativa y técnica, y NA8940-RIPE, «novacloud-abuse», cuyo buzón de abuso registrado está documentado en el registro.

Por otro lado, el nombre por el que se conoce públicamente a este operador en el directorio que motiva esta investigación, «novacloud-admin», no existe en ningún objeto del registro: no hay rol, persona ni buzón que lo lleve. El objeto más cercano es el mantenedor novacloud-mnt, y un mantenedor no es un contacto: es un mecanismo de autorización de cambios, no un interlocutor al que escribir.

Esa divergencia entre el nombre visible y los objetos que responden es el hallazgo central. La accountability en el sistema de números de internet no es de marca, sino de objeto: funciona porque cada punto de contacto está anclado en un documento de registro específico con un mantenedor responsable. Un identificador de visualización que no aparece en ningún objeto no es simplemente anónimo; está fuera del perímetro de lo que el registro puede hacer exigible.

Tres buzones, tres funciones, dos dominios

La segunda capa del hallazgo es la que construyó el propio operador. Su micrositio técnico para el ASN, as209874.net, presenta el sistema como una red de tránsito IP y conectividad dual-stack por Europa, con tres puntos de presencia en Alemania y los Países Bajos, y publica un buzón del Centro de Operaciones de Red en su propio dominio. Su aviso legal, en novacloud-hosting.com, dirige los informes de abuso y las quejas de derechos de autor a la dirección de abuso designada.

Y ese mismo aviso legal designa, conforme al artículo 11 del Reglamento (UE) 2022/2065, un punto de contacto legal dedicado, con la advertencia expresa de que los mensajes no relacionados con el artículo 11 del DSA —incluidos los informes de abuso— no serán procesados por esa dirección.

Leídos juntos, los tres buzones forman una arquitectura razonable en su diseño: separación entre operación de red, abuso y canal legal. Pero funcionan sobre dos dominios distintos para un mismo número de sistema autónomo, y la distinción entre ellos es del tipo que un remitente apresurado cruza a diario: un ingeniero de una red de tránsito vecina que escriba al buzón del NOC sobre un problema de rutas puede estar escribiendo al canal equivocado; un proveedor de contenido que escriba al contacto legal sobre una botnet alojada en un prefijo del operador recibirá, si lee la letra pequeña, la indicación de reenviar su mensaje a otro buzón.

El registro RIPE nombra exactamente uno de estos buzones —el de abuso— como contacto oficial; los otros dos existen solo en las páginas del operador.

Higiene técnica contra cierre de enrutado

El contraste más revelador del expediente está entre lo que el operador puede hacer solo y lo que depende de terceros. En el primer grupo, la higiene RPKI está claramente presente: los espejos de consola de rpki-client en Ámsterdam y Fráncfort muestran ROA publicados por AS209874 para una lista extensa de prefijos /24 —entre ellos 5.83.142.0/24, 5.83.150.0/24, 5.175.174.0/24, 5.175.217.0/24, 5.231.25.0/24, 5.231.82.0/24, 5.231.96.0/24, 77.90.39.0/24, 87.239.129.0/24, 94.103.167.0/24, 94.249.150.0/24, 94.249.153.0/24, 94.249.197.0/24 y 194.62.122.0/24— y para bloques IPv6 que incluyen un /40, 2a09:54c3:a000::/40, con maxlen 128.

En el segundo grupo, el papeleo no siempre se convierte en anuncio. Según bgp.tools, el prefijo 5.83.150.0/24 —registrado en el operador el 3 de febrero de 2026 bajo ORG-TTPU1-RIPE, con objeto inetnum, geofeed y objeto route en RIPE— no era visible en la tabla de enrutado global (DFZ). Un ROA autoriza un anuncio; no lo produce. La diferencia entre la capa de autorización y la capa de propagación es exactamente el tipo de hueco que solo la observación externa revela, y que ningún buzón del operador puede cerrar por sí mismo.

Las cuatro listas de operadores de tránsito

El incidente de FFM2 de julio de 2026 dejó otra asimetría. La propia página de estado del operador etiqueta el episodio como una interrupción mayor que va del 20 de julio al 8 de agosto de 2026 —19 días—, marcada como resuelta el 8 de agosto, y atribuye los fallos de túnel y TCP a un «falso filtrado de PletX, que descartaba conexiones TCP». Los elementos afectados incluían el hipervisor de VPS FFM2, el centro de datos NBG y los equipos RYZEN-01/04-VHOST-DE Gen-3.

Pero las narrativas sobre qué operadores de tránsito cargaban el tráfico no convergen: el micrositio del ASN lista PletX (AS62403), Tube-Hosting (AS49581) e IP-Projects (AS48314); bgp.tools observa SMARTNET (AS203446), Tube-Hosting (AS49581) y TELE90 (AS215787); un agregador repite el trío del operador; y el relato del propio incidente nombra AS203446, AS215787 y PletX. Cuatro listados, tres clases de fuente, ningún punto de reconciliación publicado por el operador.

El registro de estado añade su propia fragmentación: el mismo incidente aparece duplicado en dos subdominios Instatus —novacloud.instatus.com y novacloud-hosting.instatus.com—, y en capturas posteriores la página principal sigue mostrando un banner de «posible disrupción que afecta a FFM2» junto al incidente de julio ya marcado como resuelto.

La capa comercial que enmarca todo

El contexto comercial completa el cuadro. El aviso legal lista a Tech Tide Portugal Unipessoal LDA, Quarteira, Portugal, registro mercantil de Faro 517354420, IVA PT517354420, y delimita su alcance a un conjunto de dominios que incluye novacloud-hosting.com/.de/.eu/.net, nc-h.cloud, nc-h.com, novanetwork.net, as209874.net, freeminehost.com y glowberry.gg.

Una cobertura anterior de este directorio documentó que el registro portugués clasifica la compañía bajo un código de actividad de consultoría empresarial y que su identificador LEI se emitió por primera vez solo en mayo de 2026, pese a que la propia página «Sobre nosotros» declara una fundación en 2023 y describe centros de datos en Fráncfort, Núremberg y Eygelshoven.

Ninguna de estas piezas, por separado, es una acusación. Juntas describen un operador cuya capa de identidad verificable es notablemente delgada para una empresa que vende tránsito IP: la responsabilidad existe, es legible y está vinculada a objetos, pero atraviesa roles genéricos de grupo («novacloud-hosting», «novacloud-abuse») y buzones de dominios distintos, y no llega a ninguna persona natural nombrada. Un cliente del AS209874, en efecto, contrata con un conjunto de objetos de registro.

Fuentes