El mayor facilitador de abusos en Internet no es el malware. Es el registro anónimo de dominios.

Los registradores de dominios no crean la ciberdelincuencia, pero el sector, sin quererlo, facilita una parte sustancial de ella.

Esta es la incómoda realidad:

La economía mundial de la ciberdelincuencia se basa en registros de dominios baratos, rápidos y desechables.

Si los atacantes pueden registrar dominios a gran escala con mínima fricción de identidad, el suministro de sitios de phishing, tiendas fraudulentas, páginas de destino de malware y dominios de suplantación de identidad se repondrá siempre más rápido de lo que los defensores pueden bloquearlos.

No se trata de un problema de herramientas. Es un problema de aprovisionamiento.

La mayoría de las «verificaciones» actuales no son verificaciones de identidad

En gran parte del ecosistema de dominios, la verificación suele significar:

  • Hacer clic en un enlace de confirmación en un correo electrónico
  • Recibir un código único por SMS
  • Superar comprobaciones básicas de formato en los datos de contacto

Esto verifica la accesibilidad, no la identidad.

En la práctica, un agente malicioso puede registrar dominios con nombres falsos o inventados, validar una bandeja de entrada que controla y estar operativo en cuestión de minutos. Cuando un dominio se quema, el proceso se repite. Así es como las operaciones de phishing, fraude y malware se extienden a nivel mundial.

Por qué los dominios son tan atractivos para los ciberdelincuentes

Para los atacantes, los dominios no son activos. Son consumibles.

Los dominios se utilizan para:

  • Alojar kits de phishing y recolectores de credenciales
  • Crear portales de inicio de sesión falsos para servicios en la nube
  • Dirigir tiendas fraudulentas y planes de «inversión»
  • Apoyar la distribución de malware y las cadenas de redireccionamiento
  • Suplantar la identidad de marcas, socios y ejecutivos

El dominio es la vía de acceso. Si esa vía de acceso es anónima y automatizada, el abuso se convierte en industrial por defecto.

¿Qué cambiaría si todos los registradores verificaran a los solicitantes de registro?

Ahora consideremos una base de referencia diferente:

Cada registro de dominio requiere una verificación de identidad real, ya sea individual o corporativa, vinculada de forma fiable a una entidad verificada. No expuesta públicamente. No buscable por defecto. Simplemente verificada en el origen, con divulgación legal cuando sea necesario.

¿Qué ocurre a continuación?

1) El coste del abuso aumenta inmediatamente

La ciberdelincuencia es una economía. Cuando se aumenta el coste de los insumos, se remodela el mercado.

La verificación obligatoria introduce fricciones:

  • El registro ya no es instantáneo y totalmente automatizado
  • Las identidades falsas o robadas se vuelven necesarias
  • El abuso se vuelve rastreable a través de los registros
  • Los infractores reincidentes son más fáciles de detectar y bloquear

Los atacantes poco sofisticados y de gran volumen son los primeros en recibir el golpe, y el más duro.


2) El phishing desechable a gran escala se vuelve más difícil

El ciclo actual (registrarse → lanzar → ser bloqueado → volver a registrarse) solo funciona porque el registro es barato y anónimo. Con la verificación de identidad, cada nuevo dominio aumenta el riesgo de los atacantes. Las campañas se pueden vincular. Los patrones se detectan antes. La escala se vuelve peligrosa en lugar de segura.


3) Los atacantes se adaptan, pero a un coste mayor

La ciberdelincuencia no desaparecerá. Nunca lo hace.

En cambio, los atacantes se ven empujados hacia opciones que son:

  • Más complejas (comprometer sitios legítimos en lugar de registrar otros nuevos)
  • Más detectables (abuso de plataformas de confianza y cadenas de redireccionamiento)
  • Menos escalables (mayor esfuerzo por campaña)
  • Más atribuibles (los muleros y los intermediarios dejan rastros)

Esto no detiene el delito, pero reduce su eficacia.

La verificación no significa exposición pública

Uno de los conceptos erróneos más persistentes en este debate es que la verificación de la identidad equivale a la divulgación pública. No tiene por qué ser así.

Un modelo viable es sencillo:

  • Verificar la identidad en el momento del registro
  • Almacenar solo lo necesario
  • Proteger los datos adecuadamente (cifrado, controles de acceso, registros de auditoría)
  • Divulgar solo bajo el debido proceso y marcos de autoridad definidos

Esto preserva la privacidad de los registrantes legítimos y elimina el anonimato como herramienta de escalado para el abuso.

El mayor riesgo: si los registradores no toman la iniciativa, lo hará la regulación

Los gobiernos consideran cada vez más el registro anónimo de dominios como un fraude y un problema de seguridad pública. Cuando el abuso sistémico persiste, la regulación rara vez llega de forma suave.

Eso deja a la industria con dos (2) caminos:

Camino 1: Normas lideradas por la industria

Niveles de garantía claros, verificación segura de la privacidad, aplicación coherente y procesos de divulgación viables.

Camino 2: Normas impuestas externamente

Requisitos fragmentados, aplicación desigual, mayor carga de cumplimiento y menor flexibilidad operativa. Si usted es un registrador, la elección es importante. Ayudar a dar forma a la solución ahora es mucho mejor que reaccionar más tarde.

Lo que deben hacer los registradores: ahora

Esta es la llamada de atención:

El ecosistema de dominios se está utilizando como una cadena de suministro delictiva. Tratar la identidad como algo opcional supone, en la práctica, subvencionar el fraude a escala mundial.

Medidas prácticas que los registradores pueden tomar hoy mismo:

  • Introducir niveles de garantía para los solicitantes de registro
  • Incorporar la prevención del abuso en el proceso de incorporación
  • Detectar tempranamente el comportamiento de los muleros y los patrones de abuso masivo
  • Minimizar y proteger los datos de verificación
  • Colaborar en materia de inteligencia, denuncia y eliminación

La verificación debe considerarse como una medida de seguridad preventiva, no como una fricción administrativa.

Qué deben esperar los equipos de seguridad

A medida que el registro se vuelva más difícil, los atacantes cambiarán de estrategia, pero no dejarán de actuar.

Hay que esperar más:

  • Sitios web legítimos comprometidos
  • Abuso de plataformas de confianza y contenido alojado
  • Infraestructura de redireccionamiento y capas de ofuscación
  • Apropiación de cuentas en lugar de dominios nuevos

Este cambio sigue beneficiando a los defensores. Aumenta el coste para los atacantes, reduce la escala y genera señales más fuertes para la detección y la respuesta.

Conclusión: la fricción de identidad es el control que falta

La ciberdelincuencia prospera cuando:

  • La configuración es fácil
  • La responsabilidad es baja
  • La sustitución es barata

El registro de dominios anónimos cumple los tres (3) requisitos.

La verificación global de los registrantes no eliminaría la ciberdelincuencia, pero rompería uno de sus mecanismos de escalado más rentables.

Y para los registradores, ese es el verdadero punto:

No solo vendes dominios. ¡Tú das forma a la capa de confianza de Internet!