Тёмная сторона DNS: почему каждый пятый новый домен может быть опасен

Каждую секунду где-то в мире регистрируются десятки доменов. Кто-то запускает стартап. Разработчик создаёт портфолио. Мошенник настраивает очередную фишинговую страницу, предназначенную для кражи учётных данных. Процесс для всех них одинаков: несколько кликов, оплата — и вот в интернете появляется новый адрес.

Скорость и доступность регистрации доменов действительно впечатляют. Это одна из тех особенностей, которые делают современный веб таким динамичным. Но у той же доступности есть теневая сторона, с которой индустрия никак не может справиться.

Цифры ошеломляют

Недавний анализ, проведённый консалтинговой группой Interisle, был посвящён общим доменам верхнего уровня (gTLD) — таким как .com, .website и .fun, — и выявил тревожную тенденцию. Из 85 миллионов новых регистраций доменов в 2025 году примерно 8,5 миллионов к маю попали в списки блокировки по соображениям безопасности. Это 10% доменов, помеченных как вредоносные. Однако исследователи полагают, что реальная цифра ближе к 20%, если учитывать домены, которые ещё не были обнаружены или связаны с уже помеченными сайтами.

Осознайте это: каждый пятый недавно зарегистрированный домен в зоне gTLD, вероятно, участвует в мошенничестве, распространении вредоносного ПО или другой преступной деятельности.

Некоторые домены верхнего уровня хуже других. В тринадцати доменах верхнего уровня более половины регистраций попали в списки блокировки. Ожидаемо, что домены вроде .bid и .loan, часто используемые для фальшивых банковских и платёжных мошеннических схем, демонстрируют крайне высокий уровень злоупотреблений. Но наличие в этом списке таких доменов, как .mobi, свидетельствует о том, что проблема не ограничивается явно подозрительными расширениями.

Почему регистраторам трудно успевать за злоумышленниками

В NameOcean мы серьёзно относимся к безопасности доменов. Мы внедряем защитные меры, отслеживаем паттерны злоупотреблений и стремимся обеспечить, чтобы наша платформа не использовалась во вредоносных целях. Но вот неприятная правда: ни один регистратор не может перехватить всё, а экономические условия складываются в пользу злоумышленников.

Когда злоумышленник регистрирует домен для фишинговой кампании, он часто использует его всего 24–48 часов. Он рассылает миллионы спам-писем, собирает учётные данные ничего не подозревающих жертв и бросает домен до того, как большинство списков блокировки успеет отреагировать. К тому моменту, когда наша команда по борьбе со злоупотреблениями или внешние службы безопасности помечают домен, ущерб уже нанесён.

Именно так выглядит злоупотребление DNS на практике:

• Фишинговые домены, имитирующие банки, государственные сервисы или популярные бренды
• Сайты распространения вредоносного ПО, замаскированные под загрузки программного обеспечения или обновления
• Домены управления и контроля (C&C), используемые ботнетами
• Домены-тайпосквоттеры, эксплуатирующие распространённые опечатки (например, «g00gle.com» или «paypa1.com»)

Интернет движется со скоростью света. Злоупотребления движутся ещё быстрее.

Что действительно работает?

Исследование показывает, что уровень приостановки работы доменов, попавших в списки блокировки, составляет всего от 7,4% до 16,3%, что означает, что большинство вредоносных доменов остаются активными даже после того, как были помечены. Это свидетельствует о том, что текущий реактивный подход не работает.

Что же может изменить ситуацию?

Более строгие политики регистраторов станут первым шагом. Несколько крупных регистраторов подвергались критике за слабую обработку жалоб на злоупотребления или даже за сознательное размещение мошеннических доменов. Регистраторы, инвестирующие в проактивный мониторинг, более быстрое реагирование и более жёсткие условия обслуживания, могут существенно снизить уровень злоупотреблений на своих платформах.

Системы репутации доменов, аналогичные оценкам отправителей электронной почты, могли