¿Por qué Se Está Utilizando .US para Estafar a Tantos de Nosotros?

Nombres de dominio terminados en ".NOSOTROS"- el dominio de nivel superior para los Estados Unidos — se encuentran entre los más frecuentes en las estafas de phishing, según muestra una nueva investigación. Esto es digno de mención porque .US es supervisado por el gobierno de los Estados Unidos, que con frecuencia es el objetivo de los dominios de phishing que terminan en. US. Además, se supone que los dominios. US solo están disponibles para los ciudadanos estadounidenses y para aquellos que pueden demostrar que tienen una presencia física en los Estados Unidos.

. US es el" dominio de nivel superior de código de país " o ccTLD de los Estados Unidos. Decenas de países tienen sus propios ccTLD:. MX para México, por ejemplo, o. CA para Canadá. Pero pocos otros países importantes del mundo tienen tantos dominios de phishing cada año como .US.

Eso es de acuerdo a El Grupo Interisle Consulting, que recopila datos de phishing de múltiples fuentes de la industria y publica un informe anual sobre las últimas tendencias. El estudio más reciente de Interisle examinó seis millones de informes de phishing entre el 1 de mayo de 2022 y el 30 de abril de 2023, y se encontraron 30,000 dominios de phishing .US.

. US es supervisado por el Administración Nacional de Telecomunicaciones e Información (NTIA), una agencia del poder ejecutivo de la Departamento de Comercio de los Estados Unidos. Sin embargo, la NTIA actualmente contratos fuera la gestión del dominio. US para GoDaddy, con mucho, el registrador de dominios más grande del mundo.

Según las regulaciones de la NTIA, el administrador del registro. US debe toma ciertos pasos UU., pero Interisle descubrió que lo que sea que GoDaddy estaba haciendo para administrar ese proceso de investigación de antecedentes no estaba funcionando.

"El requisito de 'nexo' de .US limita teóricamente los registros a partes con una conexión nacional, pero .US tenía un número muy alto de dominios de phishing", escribió Interisle. "Esto indica un posible problema con la administración o aplicación de los requisitos de nexus.”

Dean Marks es director ejecutivo y asesor legal de un grupo llamado The Coalición para la Rendición de Cuentas en Línea Marks dice que prácticamente todos los CCTLD de los Estados miembros de la Unión Europea que imponen restricciones nexus también tienen niveles de abuso masivamente más bajos debido a sus políticas y supervisión.

"Incluso los CCTLD muy grandes, como .de para Alemania, que tiene una cuota de mercado mucho mayor de registros de nombres de dominio que .US, tienen niveles muy bajos de abuso, incluido el phishing y el malware", dijo Marks a KrebsOnSecurity. "En mi opinión, esta situación con .US no debería ser aceptable para el gobierno de los Estados Unidos en general, ni para el público de los Estados Unidos.”

Marks dijo que hay muy pocos dominios de phishing registrados en otros ccTLD que también restringen los registros a sus ciudadanos, como .HU (Hungría),. NZ (Nueva Zelanda) y .FI (Finlandia), donde se requiere una conexión con el país, una prueba de identidad o evidencia de incorporación.

"O .LK (Sri Lanka), donde la política de uso aceptable incluye un 'bloqueo y suspensión' si se informa de dominios por actividad sospechosa", dijo Marks. "Estos ccTLD son un argumento sólido para validar a los registratarios de dominios en interés de la seguridad pública .”

Lamentablemente,. US ha sido un pozo negro de actividad de phishing durante muchos años. Ya en 2018, Interisle descubrió que los dominios. US eran los peores del mundo para spam, botnet (infraestructura de ataque para DDOS, etc.) y contenidos ilícitos o nocivos. En aquel entonces, .US estaba siendo operado por un contratista diferente.

En respuesta a las preguntas de KrebsOnSecurity, GoDaddy dijo que todos los registrantes de .US deben certificar que cumplen con los requisitos nexus de la NTIA. Pero esto parece ser poco más que una respuesta afirmativa que ya está preseleccionada para todos los nuevos solicitantes de registro.

Intentar registrar un dominio. US a través de GoDaddy, por ejemplo, lleva a una página de Información de registro de EE. UU. que rellena automáticamente el campo de certificación de nexus con la respuesta: "Soy ciudadano de los Estados Unidos."Otras opciones incluyen:" Soy residente permanente de los Estados Unidos "y" Mi domicilio principal está en los Estados Unidos."Actualmente cuesta solo 4 4.99 obtener un dominio. US a través de GoDaddy .

GoDaddy dijo que también realiza un escaneo de la información seleccionada de la solicitud de registro y realiza "verificaciones puntuales" de la información del registrante.

"Llevamos a cabo revisiones periódicas, por política, de los datos de registro dentro de la base de datos del Registro para determinar el cumplimiento de Nexus con las comunicaciones en curso a los registradores y registratarios", dijo la compañía en una declaración escrita.

GoDaddy dice que "está comprometido a respaldar un entorno en línea más seguro y abordar de manera proactiva este problema al evaluarlo con nuestro propio sistema de mitigación contra el abuso.”

"Nos oponemos al abuso de DNS en cualquier forma y mantenemos múltiples sistemas y protocolos para proteger todos los TLD que operamos", continuó la declaración. "Continuaremos trabajando con registradores, firmas de ciberseguridad y otras partes interesadas para avanzar en este complejo desafío.”

Interisle descubrió que se registró un número significativo de dominios .US para atacar a algunas de las compañías más prominentes de los Estados Unidos, que incluyen Banco de América, Amazonas, Manzana, Servicios DE AT & T, Citi, Comcast, Microsoft, Meta, y Objetivo.

"Irónicamente, al menos 109 de los dominios .US en nuestros datos se utilizaron para atacar al gobierno de los Estados Unidos, específicamente al Servicio Postal de los Estados Unidos y sus clientes", escribió Interisle. "Los dominios.US también se usaron para atacar operaciones de gobiernos extranjeros: seis dominios. US se usaron para atacar servicios del gobierno australiano, seis atacaron el Royal Mail de Gran Bretaña, uno atacó el Correo de Canadá y uno atacó a la Autoridad Fiscal de Dinamarca.”

La NTIA recientemente publicó una propuesta eso permitiría a GoDaddy redactar los datos del registrante de los registros de registro de WHOIS. El estatuto actual de .US especifica que todos los registros de registro de .US sean públicos.

Interisle argumenta que sin esfuerzos más estrictos para verificar un nexo en los Estados Unidos para los nuevos registratarios de dominios .US, la propuesta de la NTIA dificultará aún más la identificación de los phishers y la verificación de las identidades de los registratarios y las calificaciones del nexo.

La NTIA aún no ha respondido a las solicitudes de comentarios.

Interisle obtiene sus datos de phishing de varios lugares, incluido el Grupo de Trabajo Antiphishing (APWG), OpenPhish, Tanque de pesca, y Casa de Spam. Para obtener más información sobre el phishing, consulte Interisle Informe de panorama de phishing de 2023 (PDF).