A questão da recuperação de ativos à qual a AFRINIC não conseguiu responder claramente

Resumo

• Os próprios relatórios da AFRINIC distinguiam o desregistro, o cancelamento, a consolidação, a quarentena, o prosseguimento da due diligence e a custódia contestada, revelando assim que a 'recuperação' descrevia vários atos jurídica e operacionalmente diferentes, em vez de um único remédio autossuficiente.
• Uma entrada de registro atual não podia estabelecer um direito claro se a própria entrada pudesse ter sido manipulada; uma decisão defensável exigia evidências históricas de atribuição, registros de alterações autenticados, documentos de sucessão empresarial, contexto de pagamentos e contratos, histórico de roteamento e reivindicações verificadas de cada parte envolvida.
• A notificação precisava alcançar mais do que o nome visível no WHOIS. Intermediários de transferência, operadores atuais, clientes, administradores de roteamento e segurança, organizações de origem e sucessores legítimos podiam cada um deter evidências diferentes e enfrentar consequências diferentes.
• A boa-fé não podia converter um ato não autorizado em autoridade válida do registro por mera afirmação, mas devia influenciar o procedimento, a proteção da confiança, o tempo de transição e a alocação de perdas quando um titular havia pago um valor sem saber que a cadeia registrada era defeituosa.
• A continuidade exigia um status contestado reversível, preservação do suporte de roteamento atual onde seguro, proibição de qualquer disposição posterior, decisão independente e correção progressiva; uma remoção abrupta arriscava exportar a falha de controle da AFRINIC para redes não relacionadas.

'Recuperar' ocultava a questão que precisava ser decidida

As instituições recorrem à linguagem da recuperação porque sugere um retorno à ordem. Algo foi tomado; a instituição identifica; a instituição retoma. Essa sequência é emocionalmente clara e administrativamente atraente. Era uma descrição ruim do problema que a AFRINIC enfrentou depois que alterações suspeitas em seus registros de recursos numéricos foram reveladas em 2019.

Um bloco de endereços da Internet não é um objeto de depósito que se pode trazer de volta através de uma porta. O contrato de registro publicado pela AFRINIC especifica que os recursos numéricos não são propriedade, enquanto concede aos membros um direito de uso exclusivo sob condições contratuais e políticas. O registro mantém registros administrativos e serviços relacionados. Operadores em outros lugares decidem se roteiam ou não o tráfego. Os clientes podem depender de endereços atribuídos ou disponibilizados por um membro.

Sistemas de segurança, DNS reverso, listas de permissão, certificados e serviços hospedados podem todos ter sido construídos em torno do estado de recurso visível.

Modificar o registro do registro pode, portanto, corrigir uma camada enquanto desestabiliza outra. Se o detentor aparente nunca teve autoridade legítima, deixar o registro intacto perpetua a corrupção. Se a AFRINIC remover o registro imediatamente, as redes que dependiam dele podem perder o suporte administrativo ou enfrentar consequências de roteamento e segurança antes de poderem migrar. Se a organização original não existe mais, o 'retorno' não identifica um destinatário. Se dois sucessores reivindicam o mesmo detentor histórico, a antiga entrada não decide entre eles.

O relatório de precisão WHOIS da AFRINIC em 2021 refletia essa complexidade apesar de sua linguagem institucional confiante. Ele descrevia os recursos como recuperados, cancelados, consolidados, em quarentena, aguardando due diligence e em litígio até a determinação do guardião legítimo. Esses verbos não designavam etapas de uma ação automática. Eles representavam diferentes conclusões sobre a autoridade e diferentes níveis de confiança probatória.

A pergunta sem resposta não era simplesmente quantos endereços poderiam ser recuperados. Era: qual regra de decisão poderia estabelecer a posição administrativa legítima, proteger as partes que confiaram nos registros da AFRINIC sem conhecimento da corrupção e preservar o serviço durante a aplicação dessa regra? As declarações públicas deram fragmentos de resposta. Não forneceram uma constituição de recuperação completa e independentemente verificável.

O próprio registro da instituição não podia se autenticar

A primeira dificuldade probatória era circular. A AFRINIC investigava a manipulação de informações mantidas em seu registro. Uma entrada WHOIS atual mostrava o que o sistema dizia após as modificações suspeitas; não podia provar que as modificações eram autorizadas. Uma entrada antiga mostrava um estado anterior; não podia por si só estabelecer que nenhuma sucessão empresarial legítima ou atualização autorizada ocorreu posteriormente. O registro contestado era uma prova, mas não era um veredito.

O relatório de 2021 baseava-se, portanto, em um conjunto mais amplo de documentos: histórico interno do registro, dados de organização e contato, mantenedores, solicitações de membros e recursos, tickets, estatísticas delegadas, uso de serviços, dados de registros antecessores, dados de outros RIRs, informações empresariais e submissões das partes. Essa abordagem estava direcionalmente correta porque a autoridade precisava ser reconstruída a partir de múltiplos rastros independentes.

Cada rastro respondia a uma pergunta limitada. Um documento de atribuição original podia mostrar a organização primeira reconhecida. Um registro empresarial podia mostrar uma mudança de nome, fusão, dissolução ou diretoria, mas não necessariamente uma transferência válida do uso dos recursos numéricos. Um ticket da AFRINIC podia mostrar que alguém solicitou uma alteração, mas a autenticação e a autoridade ainda precisavam ser testadas. O pagamento podia mostrar uma transação comercial, não que o vendedor possuía autoridade transferível. O histórico de roteamento podia mostrar uso operacional, não guarda legítima.

O controle de um domínio ou endereço de e-mail podia mostrar acesso atual, mas dizia pouco sobre como o acesso foi obtido.

A cadeia probatória exigia, portanto, vínculos positivos. Quem foi registrado primeiro, sob qual regime e a partir de qual registro antecessor? O que aconteceu com essa organização? Quem solicitou cada modificação substancial? Como o solicitante foi autenticado? Quais documentos foram fornecidos? Qual agente da AFRINIC aprovou a ação, sob qual regra e com qual verificação de conflitos? A modificação do sistema correspondia à solicitação aprovada? O destinatário presumido depois vendeu, alugou, delegou ou cedeu o uso? Qual parte a jusante pagou um valor e quais representações recebeu?

Uma ruptura na cadeia não devia ser preenchida pela confiança. Devia produzir um status contestado e um ônus da prova adicional definido. A dificuldade da AFRINIC era institucional: era ao mesmo tempo o guardião dos registros incompletos, a vítima alegando alteração não autorizada, o investigador reconstituindo o histórico e o administrador capaz de modificar o resultado visível. Essa concentração tornava a revisão independente essencial, mesmo quando a suspeita subjacente era forte.

O espaço do pool e o espaço legado apresentavam problemas de recuperação diferentes

Os relatórios da AFRINIC dividiam a população afetada em espaço tirado de seu pool disponível e espaço já dotado de status legado. A distinção é fundamental.

O espaço do pool fazia parte do inventário que a AFRINIC administrava para atribuição conforme a política regional. Se os registros fossem modificados para fazer parecer que espaço de pool não atribuído estava legitimamente delegado, a questão central era se uma atribuição autorizada havia ocorrido. A ausência completa de solicitação, avaliação de necessidades e aprovação seria uma evidência poderosa de que o detentor aparente nunca adquiriu um direito válido junto à AFRINIC. O desregistro e a quarentena podiam então restaurar o pool, sujeito a notificação, preservação de evidências e continuidade a jusante.

O espaço legado vinha de uma época anterior. O relatório da AFRINIC explicava que esses registros haviam migrado de arranjos antecessores e que os detentores exclusivamente legados geralmente não tinham contrato com a AFRINIC. A organização ainda mantinha os dados e serviços de registro pertinentes, mas a base jurídica e histórica diferia de uma atribuição emitida pela AFRINIC. Algumas organizações originais haviam mudado de nome, se fundido, encerrado atividades ou desaparecido. Os contatos podiam estar obsoletos. As evidências documentais podiam ser anteriores aos registros empresariais atuais ou à conservação digital.

Para o espaço legado, uma atualização inexplicada não significava necessariamente que o bloco de endereços pertencia ao pool disponível da AFRINIC. A primeira tarefa era identificar o detentor histórico legítimo ou o sucessor. Inverter uma alteração suspeita de contato ou organização podia restaurar o último estado confiável, mas esse estado ainda podia estar comercial ou corporativamente obsoleto. A recuperação para uma nova atribuição exigiria autoridade distinta, não simplesmente a prova de que uma alteração recente não era respaldada.

As categorias do relatório de 2021 mostram o problema. Alguns endereços legados foram consolidados a pedido de uma holding, algumas alterações foram canceladas, e uma população substancial permaneceu contestada ou aguardando determinação de guarda. Uma narrativa única de 'endereços roubados' não podia explicar por que esses resultados diferiam. A governança exigia uma decisão fundamentada para cada cadeia.

A notificação de janeiro de 2020 da AFRINIC era um início útil, não um procedimento completo

Em janeiro de 2020, a AFRINIC informou sua comunidade que estava examinando os recursos, confirmando as informações antigas e dando ao detentor ou contato atual a oportunidade de provar sua reivindicação. Listou as ações possíveis: desregistro, modificação dos registros de organização e recursos, movimento para um detentor de origem, bloqueio de recursos aguardando verificação e doze meses de quarentena. Também relatou que quinze prefixos totalizando um milhão de endereços IPv4 haviam sido desregistrados até 30 de janeiro.

A declaração reconhecia um devido processo em linhas gerais. Admitia que as informações antigas precisavam de confirmação, que a parte registrada atual devia ser ouvida e que as respostas podiam diferir. O bloqueio e a quarentena eram particularmente importantes porque criavam uma pausa entre a suspeita e a reutilização irreversível.

Mas 'oportunidade de provar' deixa questões cruciais em aberto. Qual endereço de notificação foi usado quando o próprio campo de contato podia estar comprometido? Quanto tempo a parte tinha? Quais documentos contavam? Um operador afetado podia inspecionar as evidências contra sua cadeia? Quem decidia a autenticidade contestada? Havia recurso antes da remoção ou apenas depois? A decisão distinguia a pessoa por trás de uma modificação não autorizada de uma empresa posterior que pagou um valor? Qual avaliação de continuidade precedeu o desregistro?

A declaração pública também usava a linguagem da propriedade enquanto os documentos contratuais do registro negam que os recursos numéricos sejam propriedade. Essa ambiguidade verbal importa. Um solicitante pode possuir um direito contratual de uso, uma guarda histórica, uma sucessão empresarial, um controle operacional, uma delegação de cliente ou simplesmente uma entrada de registro. Chamar cada posição de propriedade obscurece a base jurídica que a AFRINIC realmente reconhece.

Um código de recuperação deveria definir o interesse decidido. Deveria dizer se a instituição corrige seu próprio registro de atribuição, reconhece um sucessor, encerra o direito contratual de um membro, anula uma atualização não autorizada ou retorna um inventário não atribuído à quarentena. A precisão impede que um administrador técnico pareça decidir sobre direitos de propriedade que os instrumentos de governança não criam.

A notificação precisava seguir a cadeia de dependência, não apenas o WHOIS

O nome em um registro de registro é um destinatário óbvio de notificação, mas não é necessariamente a única parte afetada nem mesmo a pessoa mais bem colocada para explicar a cadeia. Um bloco contestado pode envolver um detentor de origem, um sucessor empresarial, um intermediário, um membro que organizou o uso do cliente, a rede que anuncia a rota, provedores de hospedagem, contatos de segurança, clientes e serviços públicos endereçados a partir do espaço.

Esses atores não detêm direitos idênticos. Um cliente geralmente não pode provar a atribuição original simplesmente mostrando que recebe um serviço. Um operador anunciando uma rota pode fazê-lo para um cliente. O contrato de compra de um intermediário pode revelar declarações, mas não validar a autoridade do vendedor. No entanto, cada um pode deter evidências relevantes, e cada um pode precisar de tempo para reduzir danos se a base administrativa falhar.

A notificação deveria, portanto, ser em camadas. O registro deveria contatar todos os contatos históricos e atuais autenticados, endereços empresariais e solicitantes conhecidos. Deveria notificar a conta de membro conectada ao bloco, os administradores de roteamento-segurança pertinentes e qualquer parte já identificada em tickets ou submissões legais. Quando as identidades diretas dos clientes não são conhecidas, o operador registrado deveria ser obrigado a retransmitir um aviso de continuidade padrão sem divulgar publicamente dados sensíveis dos clientes.

O aviso deveria identificar o bloco, a natureza do vínculo questionado, as restrições provisórias, as evidências procuradas, o prazo de resposta, o decisor e a via de recurso. Deveria evitar enunciar uma fraude contestada como fato consumado. Pode-se dizer a uma parte que uma aprovação de atribuição falta ou que um comprovante de modificação parece não autorizado sem qualificá-la publicamente de desonesta antes que as evidências sejam testadas.

A entrega requer prova. Um e-mail para um endereço comprometido ou morto não é uma notificação significativa. Canais múltiplos, um serviço empresarial, notificação por portal e um aviso de recebimento documentado são apropriados para casos de alto impacto. Se uma parte é incontactável, o registro deveria registrar as tentativas e aplicar um status provisório longo o suficiente para permitir um aviso operacional público antes de qualquer reutilização.

A boa-fé afeta o remédio mesmo quando não cura a autoridade

O caso mais difícil é o adquirente a jusante que pagou um valor, recebeu registros aparentemente plausíveis e ignorava que um vínculo anterior era não autorizado. Tratar essa parte exatamente como o autor da manipulação é moralmente satisfatório apenas se ignorarmos o papel da instituição na manutenção do registro no qual a transação se baseava.

A boa-fé não pode ser uma política de transferência mágica. Se o contrato e a política vigentes não permitiam que o vendedor transferisse o direito, a crença honesta de um comprador pode não criar a autoridade que faltava ao vendedor. Reconhecer qualquer reivindicação a jusante registrada recompensaria quem agiu mais rapidamente após a corrupção e tornaria a integridade do registro refém de vendas privadas.

Mas a regra inversa também é defeituosa. Uma remoção imediata sem audiência, transição nem diferenciação coloca a totalidade do custo da falha de controle da AFRINIC sobre uma parte que pode ter sido enganada. Pode prejudicar os clientes dessa parte, que podem estar ainda mais distantes. Reduz também os incentivos para divulgar documentos: um detentor esperando perda automática pode contestar ou ocultar em vez de cooperar.

A proteção da boa-fé deveria, portanto, operar pelo procedimento e pelo remédio. A parte a jusante recebe um aviso, acesso ao fundamento da contestação, uma chance de submeter evidências de transação e diligência, e uma decisão independente. Se a cadeia é defeituosa, a parte pode beneficiar de um período de transição limitado, suporte contínuo somente leitura ou de segurança, e coordenação para a renumeração. Suas evidências podem respaldar reclamações contra o vendedor ou outro ator responsável. A ocultação deliberada, registros falsificados ou disposição continuada após aviso devem suprimir essas proteções.

O nível de diligência deve ser realista para a data da transação. O adquirente verificou a identidade e a autoridade do vendedor? Obteve confirmação da AFRINIC onde estava disponível? O preço ou a estrutura sinalizava risco anormal? Inspecionou o contrato e a política então vigentes? Entendeu que os recursos numéricos não eram propriedade livremente transferível? Um corretor sofisticado e um cliente final não devem ser julgados segundo expectativas idênticas.

A instituição precisava de uma classificação de detentores, não de um binário moral

As decisões de recuperação tornam-se mais claras quando as partes afetadas são classificadas por evidência e conduta, em vez de divididas entre ladrão e vítima. Pelo menos seis posições podem existir.

A primeira é o detentor legítimo original cujo registro foi modificado sem autoridade. Sua reivindicação é a restauração ou reconhecimento de um sucessor legítimo, sujeito às evidências atuais. A segunda é um sucessor legítimo após fusão, aquisição ou reorganização cuja documentação nunca foi corretamente refletida. Seu problema é a correção de registro, não a recuperação de um ato ilícito.

A terceira é uma entidade direta a uma alteração ou disposição não autorizada. Recebe aviso prévio adequado, mas nenhuma proteção da confiança por conduta que sabia ser defeituosa. A quarta é um adquirente a jusante que sabia, ou ignorou evidências óbvias, que o vendedor carecia de autoridade. Pode não merecer transição além do necessário para proteger usuários não relacionados.

A quinta é um operador a jusante de boa-fé que pagou um valor e confiou em registros aparentemente oficiais. Sua cadeia pode ainda falhar, mas a instituição deve mitigar danos colaterais evitáveis e preservar evidências para recurso. A sexta é um usuário final ou cliente sem papel na aquisição do bloco. Seus interesses são a continuidade, o aviso e o tempo para migrar, não o reconhecimento como detentor de recurso.

Pode também haver dependências de serviço público. Um bloco pode sustentar serviços de saúde, governamentais, de comunicação ou outros cujos usuários não podem ser alcançados individualmente. Isso não valida a cadeia do detentor. Isso modifica o plano de transição. A decisão de recuperação deve separar o direito do cronograma e do método pelos quais o estado operacional é corrigido.

A classificação protege a equidade nos dois sentidos. Impede que um ator culpado se esconda entre os clientes e impede que clientes sejam tratados como culpados porque roteiam através do espaço contestado. Dá também à AFRINIC um vocabulário consistente para relatórios públicos sem publicar alegações que não foram julgadas.

A quarentena deve proteger as evidências e a escassez, não simplesmente esperar um cronograma

A AFRINIC declarou que os recursos de pool desregistrados seriam colocados em quarentena por doze meses antes de um eventual retorno ao pool disponível. Um período de resfriamento é prudente. Reduz o risco de que um bloco seja reatribuído enquanto reivindicações ou roteamento obsoleto persistem. Dá também aos operadores tempo para remover dependências e aos sistemas de reputação tempo para se ajustar.

Doze meses, no entanto, é uma duração em vez de um teste de liberação. Um recurso só deve sair da quarentena quando a decisão probatória for definitiva na estrutura de revisão da instituição, as restrições judiciais aplicáveis forem verificadas, as dependências de roteamento e segurança forem medidas, os registros obsoletos forem tratados, os riscos de abuso e reputação forem avaliados, e os sistemas técnicos puderem emitir uma cadeia limpa para um novo destinatário.

O estado de quarentena deve preservar o histórico. A remoção de uma entrada WHOIS não deve apagar a prova de quem a modificou, quais contatos foram notificados, quais rotas existiam ou quais reivindicações foram feitas. A apresentação pública pode indicar que o recurso está em espera administrativa sem nomear malfeitores não comprovados. Os registros internos e selados devem reter a cadeia completa.

A quarentena também precisa de uma regra de parada. A AFRINIC não deve reatribuir um bloco simplesmente porque a data prevista chegou enquanto um litígio, uma reivindicação de sucessor crível ou uma decisão faltante permanece não resolvida. Inversamente, uma quarentena indefinida não deve se tornar um substituto para a decisão. Cada prorrogação deve indicar a questão não resolvida, o decisor responsável e a próxima data de revisão.

A escassez cria pressão para liberar rapidamente os endereços. É precisamente por isso que a autoridade de liberação deve ser independente dos objetivos de atribuição. Um registro que se beneficia institucionalmente do retorno de espaço ao seu pool não deve deixar a mesma equipe operacional determinar a guarda contestada e aprovar a reutilização sem revisão.

A correção do registro e a continuidade do roteamento são alavancas separadas

O RFC 7020 descreve o sistema de registros de números da Internet como uma hierarquia que registra as atribuições e designações, reconhecendo que os operadores de rede tomam decisões de roteamento. Essa separação é útil durante a recuperação. A AFRINIC pode modificar o registro e os serviços relacionados, mas não comanda diretamente cada roteador. Inversamente, deixar uma rota visível não estabelece um registro legítimo.

O plano de recuperação deve mapear as alavancas individualmente: registro WHOIS ou RDAP, acesso ao portal de membro, DNS reverso, objetos do Registro de Roteamento da Internet, certificação de recursos, estatísticas delegadas, gestão de transferências e status público. Alguns podem ser congelados contra qualquer alteração posterior enquanto o serviço existente continua. Outros podem exigir correção imediata porque amplificam um controle não autorizado.

Um estado contestado reversível é frequentemente preferível a uma remoção binária durante o período de audiência. O registro pode impedir modificações, transferências e novas autorizações de segurança, preservando informações existentes suficientes para que os operadores entendam o status. As partes afetadas podem ser obrigadas a manter os contatos e cooperar com a transição. A resposta de emergência a abusos pode continuar sob supervisão registrada.

A certificação de recursos merece atenção especial. Revogar ou modificar os certificados e autorizações de origem de rota pode afetar a validação da segurança do roteamento. A ação correta depende do estado atual da certificação e do uso operacional. A instituição não deve prometer que cada correção de registro desconectará automaticamente uma rede, nem pretender que os serviços técnicos de segurança são sem importância. Deve publicar uma avaliação de impacto na continuidade para cada remédio de alto risco.

A correção final pode então ser progressiva: impedir qualquer disposição posterior, resolver a reivindicação administrativa, notificar os operadores, migrar serviços dependentes, revogar ou substituir identificadores, atualizar os registros e monitorar anúncios residuais. A progressividade não é indulgência. É como o registro evita transformar sua própria fraqueza histórica em uma falha súbita para partes que não podem remediar o defeito original.

O litígio era a prova de que o procedimento carecia de legitimidade aceita

O relatório anual 2021 da AFRINIC indicava que os casos movidos por Afri Holdings e LogicWeb resultavam da recuperação após a investigação do desvio. Sua lista pública de casos registra as solicitações e os resultados processuais posteriores. A existência de litígio não prova que a conclusão da AFRINIC estava errada; uma decisão sólida pode ser contestada. Tampouco a retirada ou rejeição de uma solicitação provisória decide necessariamente a cadeia subjacente no mérito.

Os casos mostram, no entanto, que a recuperação havia ultrapassado uma simples correção interna. As partes reivindicaram interesses suficientemente importantes para solicitar medida judicial, e o estado operacional não podia mais ser considerado incontestado. Uma vez que isso aconteceu, a qualidade do aviso, da preservação de evidências, dos fundamentos e das garantias provisórias torna-se central. Um tribunal pode avaliar uma decisão muito mais eficazmente quando a instituição criou um registro completo, em vez de uma narrativa retrospectiva.

A legitimidade não se obtém evitando processos. Obtém-se quando os mesmos fatos, categorias e regras de decisão seriam usados independentemente da influência, nacionalidade ou reputação pública do solicitante. Um procedimento publicado limita o litígio. As partes podem contestar a autenticidade, a sucessão, a boa-fé ou o remédio sem ter que adivinhar qual norma não enunciada a AFRINIC aplicou.

Uma revisão independente pode também resolver muitos casos antes do tribunal. Um painel dotado de competências jurídicas, de registro e operacionais pode inspecionar as evidências protegidas, ouvir os solicitantes e emitir conclusões fundamentadas. Seus membros não devem ter nenhum papel na atribuição inicial, na alteração contestada ou na reutilização planejada. A revisão deve suspender qualquer ação irreversível quando a reivindicação é crível, mantendo garantias contra qualquer disposição posterior.

O acesso ao tribunal permanece essencial. O registro deve identificar as decisões que são administrativas, qual recurso contratual existe e quando um recurso judicial pode ser solicitado. Não deve descrever uma vitória processual provisória como validação definitiva de cada alegação factual. A precisão sobre o que uma decisão decidiu faz parte da integridade da recuperação.

O ônus da prova deve se deslocar com os fatos demonstrados

Um procedimento justo não coloca a totalidade do ônus sobre um único lado do início ao fim. A AFRINIC deve primeiro identificar um defeito específico: ausência de aprovação de atribuição, uso não autorizado de um comprovante, evidência de conflito, inconsistência com os registros antecessores ou mudança de detentor não respaldada. Uma declaração geral de que um endereço parece suspeito é insuficiente para uma medida severa.

Uma vez que a AFRINIC estabelece uma ruptura documentada, o solicitante atual deve explicar o vínculo no qual se baseia. Pode fornecer sucessão empresarial, acordos assinados, faturas, correspondência, confirmações de registro, documentos de identidade e histórico técnico. A instituição deve testar a autenticidade e divulgar contradições materiais. Quando duas partes apresentam reivindicações plausíveis, nenhuma deve controlar as modificações posteriores até uma determinação independente.

O nível de prova deve refletir a consequência. Um bloqueio temporário destinado a preservar evidências pode exigir um risco crível, desde que as operações existentes permaneçam protegidas. O desregistro, a perda de serviços ou a reutilização por um novo membro exigem prova mais sólida e revisão concluída. A acusação pública de fraude requer ainda mais cuidado e pode depender de uma constatação jurídica apropriada.

As evidências negativas devem ser tratadas honestamente. Um ticket faltante é importante quando o processo exigia um e a conservação era confiável. É menos decisivo quando os registros do período são conhecidos por serem incompletos. O silêncio de uma sociedade extinta não é consentimento. Uma rota observada durante anos é evidência de uso, não necessariamente de autoridade. A decisão escrita deve explicar como cada ausência foi ponderada.

Essa estrutura de ônus protege o registro de uma prova impossível, impedindo-o de confiar na corrupção de seus próprios registros como razão para exigir do detentor atual que prove tudo do zero. A AFRINIC criou e manteve o sistema. Quando sua falha de controle destruiu evidências, a incerteza resultante deve influenciar o remédio e a proteção da confiança.

A recuperação exigia uma conta das perdas, não apenas uma contagem de endereços

Os relatórios públicos se concentraram naturalmente no número de endereços IPv4 recuperados, cancelados ou contestados. As contagens comunicam a magnitude, especialmente em um mercado escasso. Não mostram quem sofreu a perda.

Uma conta de recuperação completa distinguiria os endereços devolvidos à quarentena, os registros restaurados aos detentores originais, as reivindicações de sucessores reconhecidas, as empresas a jusante que tiveram que se renumerar, os clientes que migraram, as rotas ainda observadas, os litígios não resolvidos e os pedidos de indenização pendentes. Relataria o sucesso das notificações, o tempo médio de decisão, os resultados dos recursos e se um bloco foi reemitido.

A incidência financeira também importa. Se um operador de boa-fé pagou a um intermediário, a recuperação pode deixá-lo com um crédito difícil de executar. Se a falha de controle da AFRINIC tornou a transação aparentemente legítima, os membros podem se perguntar se um seguro, acordo ou outro recurso é apropriado. O registro não deve decidir danos privados através de registros técnicos, mas deve preservar evidências e identificar vias responsáveis.

A conta deve também mostrar os incidentes de continuidade. Uma correção interrompeu o DNS reverso, a segurança do roteamento, o acesso do cliente ou a resposta a abusos? Os planos de transição foram concluídos? Quantas exceções urgentes foram concedidas e por quê? Relatar esses resultados melhora a próxima decisão e desestimula tanto alegações exageradas de catástrofe quanto afirmações complacentes de que uma modificação do registro não tem efeito externo.

A aprendizagem institucional depende da ligação da causa ao custo. Se uma autenticação fraca permitiu uma modificação, a correção deve mostrar o controle e seu teste. Se contatos legados obsoletos prolongaram o litígio, o registro deve relatar o progresso na manutenção de contatos verificados. A recuperação só está completa quando a mesma ruptura probatória é menos provável de se repetir.

A restauração não deve criar um enriquecimento não examinado

A palavra 'original' carrega uma força moral, mas não é sempre o fim da investigação. Uma organização histórica pode ter encerrado atividades, transferido legalmente seu negócio, fundido com outra entidade ou abandonado o uso prático muito antes de uma alteração suspeita de registro. Seu nome em um instantâneo antigo do registro é uma evidência sólida do estado de partida, não uma prova automática de que a mesma pessoa jurídica deve receber todos os serviços atuais sem exame adicional.

A restauração deve, portanto, testar a continuidade de ambos os lados da alteração contestada. A AFRINIC deve verificar a atribuição original e depois verificar a sucessão do solicitante a partir do detentor original. Um nome empresarial familiar pode sobreviver enquanto a entidade jurídica muda. Uma holding pode controlar um antigo detentor sem deter todos os direitos que a subsidiária possuía. Um liquidante, comprador de ativos comerciais ou sucessor criado por lei podem cada um ter autoridade diferente. O pessoal do registro não deve inferir sucessão a partir da marca ou sobreposição de gestão.

A mesma cautela se aplica à inatividade. Um bloco que parecia não usado ou tinha contatos obsoletos era vulnerável a abusos, mas a inatividade não autorizava por si só a apropriação. Tampouco a descoberta posterior de que o detentor original não tinha um plano operacional imediato dá necessariamente à AFRINIC o direito de tornar o bloco disponível. A instituição precisa de uma base de recuperação ou rescisão válida sob o regime que rege esse recurso, especialmente para espaço legado sem contrato de registro ordinário.

Quando a restauração é justificada, o beneficiário deve ainda realizar verificações de identidade e segurança atuais antes de receber a autoridade de modificação. Restabelecer um endereço de e-mail obsoleto ou um mantenedor comprometido reproduziria a vulnerabilidade original. O reconhecimento histórico e a autenticação atual são etapas separadas. O registro pode reconhecer a continuidade enquanto exige contatos modernos, aprovação multipessoal e uma via documentada de resposta a incidentes.

Nenhuma parte deve receber mais da correção do que as evidências sustentam. Um detentor restaurado ganha a posição administrativa que pode provar, não uma declaração judicial de propriedade de um técnico de registro. Um operador a jusante de boa-fé ganha proteção de transição, não um direito permanente criado pela simpatia. A AFRINIC recupera espaço de pool não atribuído quando a cadeia prova que nunca foi validamente emitido, não cada bloco legado contestado que carece de solicitante ativo. Esses limites tornam a recuperação crível porque recusam enriquecimentos a todos os lados.

Uma matriz de decisão poderia separar a prova da urgência operacional

O painel de recuperação deve decidir independentemente dois eixos. O primeiro é a confiança probatória: cadeia válida confirmada, ruptura confirmada, reivindicações concorrentes críveis ou evidências insuficientes. O segundo é a consequência de continuidade: baixa, gerenciável com notificação, grave mas redutível, ou risco imediato para a segurança e proteção. Sua combinação produz uma ação provisória mais disciplinada.

Uma ruptura confirmada com baixa consequência de continuidade pode evoluir relativamente rapidamente para correção após revisão. Uma ruptura confirmada sustentando muitos clientes ativos ainda requer correção, mas a implementação deve incluir um período de migração limitado e serviço supervisionado. Reivindicações concorrentes críveis justificam bloqueio, preservação de evidências e manutenção neutra; não justificam a atribuição do bloco à parte com a campanha pública mais forte.

Evidências insuficientes sem uso ativo podem sustentar a quarentena, enquanto evidências insuficientes com uso substancial requerem determinação protegida mais longa.

A atividade nociva urgente é uma consideração distinta. Abusos associados a endereços podem exigir resposta imediata da rede, forças policiais ou provedor, mas não provam por si só qual solicitante histórico possui a cadeia administrativa. O painel deve isolar a medida urgente da decisão de guarda. Caso contrário, alegações sobre o conteúdo ou clientes podem se tornar um atalho contornando a prova do direito.

Cada célula da matriz deve especificar as ações autorizadas. Um bloqueio pode proibir mudanças de detentor, transferências, novos objetos de autorização de rota ou remoção, enquanto permite o contato com pessoal de segurança. Um status de migração pode preservar o DNS reverso existente por um período fixo, mas proibir expansão. Uma quarentena pode suspender a reatribuição e publicar um status neutro. O design remove a improvisação sem impedir o julgamento específico do caso.

A matriz também melhora a igualdade. Partes com evidências e dependências similares recebem tratamento provisório similar. Desvios devem ser fundamentados e registrados. Os membros podem auditar o uso agregado de cada categoria sem ver documentos confidenciais. Os tribunais podem identificar se a AFRINIC seguiu sua própria norma e se a medida escolhida era proporcionada tanto à prova quanto ao risco.

Mais importante, a matriz impede que a urgência operacional decida silenciosamente a legitimidade. Uma rede pode ser grande, comercialmente importante ou politicamente conectada; esses fatos afetam a transição, mas não a validade de uma cadeia não autorizada. Um detentor original pode parecer simpático; isso não afeta nem a sucessão empresarial nem o registro histórico. Separar os eixos é a disciplina institucional que a linguagem simples da recuperação de endereços nunca pôde fornecer.

Um código de recuperação próprio teria fortalecido a AFRINIC

O código deveria começar pela classificação. É um desvio suspeito de pool, uma guarda legada contestada, uma alteração não autorizada de registro, uma violação contratual, uma sucessão empresarial ou uma transferência autorizada? Cada categoria tem uma base jurídica, um conjunto de provas e um remédio diferentes. Combiná-las sob 'recuperação' convida ao tratamento arbitrário.

Segundo, a preservação e o controle provisório. Capturar os históricos invioláveis, congelar modificações não essenciais, impedir transferência ou reutilização, manter as operações necessárias e identificar cada solicitante e dependência conhecidos. O status provisório deve ser reversível e sujeito a reexame rápido.

Terceiro, a notificação e a troca de provas. A AFRINIC enuncia o defeito preciso e as evidências; os solicitantes respondem; informações protegidas são tratadas confidencialmente; e os operadores afetados submetem suas necessidades de continuidade sem obter o poder de decidir o direito. Um calendário publicado impede a deriva.

Quarto, a determinação independente. Os fundamentos devem identificar o contrato regente ou a base histórica, os fatos constatados, os julgamentos de credibilidade, a classificação de boa-fé, a avaliação de continuidade e o remédio escolhido. Um órgão de recurso deve poder inspecionar o registro completo. A ação irreversível aguarda revisão a menos que dano imediato torne o atraso impossível.

Quinto, a implementação progressiva e a responsabilidade pública. O registro coordena a renumeração ou a transição de serviço, corrige cada camada administrativa, monitora os efeitos no roteamento e segurança, retém o espaço de pool recuperado até que os testes de liberação sejam aprovados e relata os resultados agregados aos membros.

Tal código não garantiria o acordo. Tornaria o desacordo legível. A AFRINIC poderia defender uma correção mostrando uma regra estável, em vez de pedir à comunidade que confiasse em seu status institucional. Os solicitantes poderiam ser ouvidos sem converter uma confiança temporária em autoridade permanente. Os operadores poderiam proteger os usuários sem decidir direitos contestados através de anúncios de rota.

A verdade mais dura é que integridade e confiança podem entrar em conflito

A integridade do registro exige que uma cadeia não autorizada não permaneça com autoridade simplesmente porque o tempo passou. A confiança exige que as instituições levem em conta as pessoas que organizaram atividade legítima em torno dos registros visíveis da instituição. Ambos os princípios são válidos, e nenhum pode apagar o outro.

A AFRINIC não podia resolver o conflito propriamente porque a falha de controle original permitiu que a aparência administrativa, o tratamento comercial e o uso operacional se separassem da autoridade provada. Em 2019, a correção não era a restauração de um ontem incontestado. Era uma escolha entre histórias incompletas e dependências presentes.

A resposta correta não era a paralisia. Era um sequenciamento disciplinado: provar a ruptura, preservar o estado, ouvir a cadeia, classificar a boa-fé, decidir independentemente, proteger os usuários não relacionados e só então implementar a correção eficaz menos perturbadora. Quando a prova permanecesse verdadeiramente equilibrada, o registro deveria dizê-lo e um tribunal ou árbitro acordado deveria determinar o direito contestado.

Essa abordagem não recompensa a corrupção. Torna a corrupção mais difícil de explorar porque qualquer disposição posterior para imediatamente e os infratores conhecidos não recebem proteção da confiança. Também impede o registro de externalizar todas as consequências de sua própria falha sobre os operadores e clientes mais distantes.

A medida da recuperação não é, portanto, o maior número devolvido a um pool. É se o estado resultante do registro é melhor provado, mais legítimo e operacionalmente mais seguro do que o estado que substituiu. As categorias publicadas pela AFRINIC mostraram que ela entendia partes desse problema. A ausência de um código de decisão público completo deixou a questão central exposta: quem deve suportar o risco quando o guardião do registro não pode mais confiar no registro que mantinha?

Fontes e limites probatórios

ORelatório de Precisão da Base de Dados WHOISda AFRINIC é a fonte principal das categorias e quantidades relatadas pela instituição, de sua distinção entre espaço de pool e espaço legado, das evidências que consultou e dos casos que deixou pendentes. As etiquetas do relatório são tratadas como constatações institucionais, não julgamentos definitivos contra cada detentor atual.

Aatualização de recursos de janeiro de 2020registra a promessa da AFRINIC de ouvir os detentores atuais, as ações corretivas consideradas, a quarentena de doze meses e o primeiro milhão de endereços que declarou ter desregistrado. Adeclaração do CEO de agosto de 2020fornece um relato posterior da investigação, do contato com os detentores, do cancelamento e da due diligence.

ORelatório Anual 2021da AFRINIC estabelece que os litígios envolvendo Afri Holdings e LogicWeb surgiram de decisões de recuperação, enquanto alista pública de casos judiciaisé usada apenas para a existência e o status processual dos casos listados. Nenhuma fonte é tratada como provando o mérito da guarda contestada.

ORFC 7020fornece a distinção arquitetural neutra entre o registro de números e as operações de roteamento. Apoia a análise de continuidade, mas não determina a autoridade legal da AFRINIC, os direitos contratuais privados nem o resultado de um processo mauriciano.