Resumo

  • Dos 84.961.989 nomes gTLD criados em 2025, 8.496.811 haviam aparecido até 18 de maio de 2026 nas listas selecionadas pela Interisle. O relatório chama os 10% observados de piso e projeta até 16,8 milhões, ou 20%, ao somar listagens posteriores e expansão por domínios associados.
  • A ICANN distingue nomes denunciados ou listados daqueles amparados por evidência acionável. Para a organização, denúncias são no máximo um teto para casos confirmados, e suspensão normalmente exige investigação ou corroboração.
  • As afirmações estimam objetos diferentes. A observação pode ficar abaixo da população projetada de registros maliciosos ainda invisíveis e acima da população que satisfaz uma definição contratual e uma análise individual.
  • Um registro de estados deve separar observação, classificação, estimativa populacional, sinal de política, evidência de caso e ação autorizada. A ficha da medição agregada não pode substituir a ficha de uma medida contra um domínio.

O número que mudou de função

Uma contagem ganha autoridade quando cabe em uma manchete. Também perde contexto. No debate de 2026, 8,5 milhões deixou de ser apenas uma célula de uma metodologia e passou a representar, conforme o interlocutor, o mínimo de uma epidemia ou o máximo de casos que poderiam ser confirmados. Antes de decidir qual adjetivo vence, é preciso devolver o substantivo à cifra.

O universo da Interisle é composto por 84.961.989 nomes gTLD criados em 2025. A consultoria reuniu fontes profissionais de reputação voltadas a phishing, malware e outras atividades danosas, adicionou campanhas derivadas de material policial, judicial e de pesquisa de ameaças, atualizou a coleta várias vezes ao dia e removeu duplicações. Até 18 de maio de 2026, 8.496.811 nomes daquele universo haviam entrado no conjunto observado.

O relatório não encerra o trabalho na aparição em lista. Ele tenta distinguir nomes registrados com finalidade maliciosa de nomes legítimos comprometidos depois. Segundo seus critérios, cerca de 98% dos nomes listados entre as criações de 2025 pareciam pertencer à primeira classe. Um domínio que recebe mais de um tipo de abuso pode aparecer em várias colunas, mas conta uma vez no total único.

Em seguida vêm duas ampliações. A primeira supõe que nomes de 2025 continuarão aparecendo nas listas e projeta cerca de 12%, ou 10,1 milhões, até o fim de 2026. A segunda infere nomes relacionados a partir da conexão entre sementes conhecidas e outros registros de um mesmo lote. Juntas, as etapas levam a 16,8 milhões, 20% das criações. O próprio relatório descreve o resultado como projeção.

Há, portanto, três produtos: 8,5 milhões observados e classificados sob fontes e data determinadas; aproximadamente 10,1 milhões após uma hipótese de defasagem temporal; 16,8 milhões após uma hipótese adicional de associação. Misturá-los apaga onde termina a observação e começam as inferências.

O teto da ICANN fica em outra sala

A resposta da ICANN pergunta quantos nomes denunciados contêm evidência suficiente para uma determinação razoável de DNS Abuse sob as obrigações aplicáveis. Uma lista pode incluir sinal preditivo, classificação heurística, site legítimo comprometido, categoria fora do escopo contratual ou item que ainda pede confirmação. Nesse eixo, o conjunto denunciado é potencialmente maior que o conjunto confirmado.

Isso não equivale a rejeitar listas. A própria Domain Metrica usa feeds de reputação para mostrar a distribuição do abuso denunciado no mercado. Suas perguntas frequentes dizem que a visão é formada pela ótica das denúncias, que um nome listado não se torna necessariamente um incidente de abuso e que o sistema não produz as denúncias originais nem observa tudo.

As limitações apontam em duas direções. Um domínio ausente não recebe certificado de inocência, porque a cobertura é incompleta. Um domínio presente não recebe sentença, porque relato e confirmação são estados diferentes. O mesmo conjunto pode omitir abuso real e conter itens incapazes de sustentar uma consequência específica.

Assim, “domínios vistos nestes feeds”, “domínios classificados como maliciosamente registrados”, “todos os registros maliciosos ocorridos”, “DNS Abuse confirmado sob contrato” e “domínios cuja suspensão é proporcional” não são nomes alternativos para uma só variável. Um total pode ser piso em relação ao terceiro e teto em relação ao quarto. O conflito só se torna lógico quando as partes fingem medir a mesma coisa.

A fonte escolhida também entra no ranking

Uma análise da ICANN em julho de 2025 mostrou que a seleção de blocklists altera a aparência do mercado. Ao restringir a entrada a fontes abertas, comerciais ou ao conjunto combinado, alguns TLDs anonimizados conservaram posição, enquanto outros mudaram bastante. A concentração visível decorre em parte do comportamento observado e em parte dos sensores usados.

OCTO-037 organiza esse problema pela adequação ao uso. Volume pode ser contado diretamente. Atualidade, pureza e precisão de metadados podem depender de amostragem. Alcance, frequência de reteste e confiabilidade operacional talvez não estejam disponíveis nos próprios registros. Uma lista excelente para bloquear tráfego em uma rede pode ser inadequada quando cada falso positivo aciona uma investigação cara ou uma interrupção difícil de reverter.

Também há diferença entre dano social e escopo institucional. A Interisle examina phishing, malware e botnets, mas também fraude, golpes e spam mais amplo. É uma amplitude legítima para estudar a demanda criminosa por domínios. A vítima não organiza o prejuízo segundo o vocabulário de um contrato privado.

As Emendas Globais de 2024, porém, definem DNS Abuse nos acordos pertinentes como malware, botnets, phishing, pharming e spam quando usado para entregar os demais danos listados. O aviso de conformidade distribui obrigações entre registradores e registros diante de evidência acionável em seus papéis. A relevância pública de outras práticas não amplia automaticamente esse instrumento.

A divisão permite agir melhor. Um caso de phishing claramente corroborado não deve aguardar a conclusão de uma disputa sobre prevalência. Um padrão agregado também não deve ser ignorado porque milhões de casos ainda não foram julgados. A política pergunta sobre escala e concentração; o processo individual pergunta o que ocorreu com aquele nome, quem decide e qual resposta é válida.

A diferença entre uma citação e um método reproduzível

A Interisle relaciona sua expansão por associação ao estudo da OCTO sobre lotes e aproxima sua classificação do COMAR. A ICANN argumenta que as diferenças não aparecem em detalhe suficiente. Citar a origem não mostra a transformação.

O trabalho sobre lotes agrupa registros próximos no tempo por registrador, servidor autoritativo e horário de criação, depois mede a presença de sementes conhecidas de RBL. Exclui grupos menores que dez, nos quais a coocorrência era menos confiável, e grupos maiores que mil da análise detalhada, pois alguns eram heterogêneos ou refletiam processamento de revendedores. A validação de verdade de terreno veio de um registrador colaborador; informações mais amplas sobre titulares permanecem distribuídas.

O estudo obteve uma expansão de 80% dos domínios recém-registrados em RBL por inferência de lote. Também afirmou que associação não oferece nova atribuição por si só, que atacantes podem contornar as premissas e que o emprego operacional precisa de refinamento e de um patamar mínimo de evidência. Um estudo posterior pode adaptar tudo isso, mas deve declarar limites de grupo, janelas, filtros, denominadores e tratamento das exclusões.

O COMAR relatou 97% de acurácia e 2,5% de falsos positivos em conjuntos rotulados de phishing e malware, usando 38 atributos de dados públicos para distinguir registro malicioso de comprometimento. É um resultado robusto para os testes documentados, não uma licença vitalícia. O artigo registra rotulação manual, falha na coleta de conteúdo, evasão, reaproveitamento de domínios expirados e páginas legítimas desfiguradas que podem enganar os atributos.

O nome do método informa a linhagem. Um diff versionado informa o que foi mantido, removido, ajustado ou reinterpretado. Sem essa comparação, o leitor não sabe se a divergência nasceu nos dados, na definição, na implementação ou na inferência.

Seis estados para uma afirmação

O componente comum não precisa ser um detector universal. Pode ser uma gramática mínima para o estado da afirmação.

Estado O que o registro pode estabelecer No que não pode se transformar sem aviso
Observação Um nome ou URL apareceu em fonte identificada, em horário indicado Prova de intenção maliciosa
Classificação Regra ou modelo versionado atribuiu categoria, associação ou confiança Rótulo infalível
Estimativa populacional Observações e inferências produziram numerador, denominador, faixa ou projeção Contagem de casos julgados
Sinal de política O agregado é pertinente a uma pergunta institucional definida Poder de agir contra um domínio
Evidência de caso Um nome foi investigado ou corroborado pela definição aplicável Decisão sem autor identificado
Ação autorizada Parte responsável aplicou instrumento válido e resposta proporcional Apagamento do histórico de aviso, revisão ou correção

As transições são legítimas quando registradas. Um feed pode priorizar investigação; um agregado pode abrir uma discussão na GNSO; uma parte contratada pode receber evidência adicional. Cada passagem deve informar o material novo, o responsável pelo juízo e a base da autoridade. A observação inicial não contém magicamente a decisão final.

A ficha da medição

Cada número importante deve carregar objeto estimado, unidade, janela e corte, conjunto de fontes e limites de visibilidade, definição de abuso, regras de inclusão, exclusão e deduplicação, classificador e versão, método de associação, numerador e denominador. Observado, inferido e projetado ficam em campos separados.

A direção da incerteza importa. Falta de cobertura pode baixar a contagem em relação a uma população subjacente. Sinais não confirmados ou fora de escopo podem elevá-la em relação a uma população contratual confirmada. Essas advertências convivem; não se anulam.

A ficha também registra usos pretendidos e proibidos. “Adequado para tendência agregada”, “adequado para abrir revisão” e “suficiente para suspensão” são permissões diferentes. Uma identidade de correção e um histórico de mudanças precisam alcançar painéis, rankings e documentos derivados.

Não é obrigatório publicar feeds licenciados, dados pessoais ou limiares que ajudem adversários. Classes de fontes, lógica de seleção, hashes, auditoria sob custódia e análises de sensibilidade podem oferecer verificabilidade sem revelar segredos operacionais.

A ficha da ação

O registro individual começa onde termina a medição. Ele identifica caso, categoria contratual, parte responsável, evidência específica, corroboração e condição do nome — registrado maliciosamente, comprometido ou não resolvido. Registra investigador, decisor, escopo, proporcionalidade, notificação, escalonamento, revisão, correção e restabelecimento.

Na junção, uma frase deve sobreviver: listagem agregada, associação ou estimativa populacional não se torna evidência acionável para um domínio apenas porque informou a política. Se o mesmo relatório contiver prova individual, essa prova entra no caso em sua própria qualidade.

Essa fronteira protege cautela e velocidade. Phishing bem comprovado não precisa esperar o debate sobre porcentagens. Concentração de mercado não precisa ser descartada porque cada entrada ainda não chegou a veredito. Os dois fluxos respondem a perguntas diferentes.

Evidência não se nomeia autoridade

A crítica de Heng Lu ao mandato multissetorial oferece a regra de fundo. Participação fornece conhecimento, alerta e disciplina, mas não transforma automaticamente o participante no principal autorizado a obrigar todos os afetados. A medição sofre tentação semelhante: um grande conjunto de dados parece eleitorado; um modelo parece decisor; um painel parece ordem.

A Interisle responde por seu método e suas alegações. A OCTO responde por seus sistemas de medição. A GNSO desenvolve política por processo próprio. A Conformidade Contratual avalia os instrumentos adotados. Registros e registradores detêm dados e deveres distintos. Tribunais e autoridades públicas operam sob outra lei. Evidência pode circular entre eles; autoridade não se funde porque todos citaram o mesmo domínio.

O padrão comum deve ser estreito: estado, procedência, diff, correção e regra de passagem. Isso preserva métodos concorrentes sem abandonar a auditabilidade. Um modelo central concentraria erro e segredo; vocabulários totalmente privados impediriam comparação.

Um desacordo que ainda pode ser produtivo

A próxima publicação útil abriria a cadeia de medição dos 8,5 milhões: contribuição e sobreposição dos feeds, campanhas incorporadas, exclusões, classificação entre malicioso e comprometido, denominador e cortes. A projeção de 20% mostraria separadamente o acréscimo de listagem tardia e a expansão associativa, com cenários de sensibilidade.

A ICANN deveria declarar quais comparações poderiam alterar sua visão de escala e quais objeções tratam de competência, não de prevalência. Assim, limite de mandato não seria confundido com ausência de dano, e alta prevalência não seria confundida com prova de falha contratual individual.

Talvez o desacordo permaneça. Prestação de contas não exige que todos produzam a mesma porcentagem. Exige que cada número diga o que prova, o que não prova, quem pode usá-lo e qual registro falta antes de impor prejuízo.

O piso e o teto podem continuar. O elemento que a governança deve construir é a escada verificável entre os dois.

Fontes

  1. ICANN, “Looking Beyond the Numbers: Understanding Malicious Domain Registration Data”
  2. Interisle Consulting Group, “Malicious Registrations in the Domain Market”
  3. ICANN, perguntas frequentes da Domain Metrica
  4. ICANN, “How Choice of Reputation Blocklists Affects DNS Abuse Metrics”
  5. ICANN OCTO-037v2, “RBL Evaluation Methodology”
  6. ICANN OCTO SSR, “Detecting Malicious Domain Registration Batches: Patterns, Prevalence, and Security Implications”
  7. Maroofi et al., “COMAR: Classification of Compromised versus Maliciously Registered Domains”
  8. Orientação da ICANN sobre conformidade com obrigações de DNS Abuse
  9. ICANN, Emendas Globais de 2024
  10. ICANN, Programa de Mitigação de DNS Abuse
  11. Lu Heng, “The Multi-Stakeholder Mirage—How the Multi-Stakeholder Model Turned Attendance Into Mandate”