ICANN prueba un acceso rápido de la policía a los datos ocultos de titulares de dominios

ICANN, la organización estadounidense sin ánimo de lucro que gestiona el sistema mundial de nombres de dominio, está probando un mecanismo para que la policía acceda directamente a su servicio de solicitudes y pida a los registradores los datos ocultos de los titulares de dominios. La prueba se realiza con el FBI e Interpol, según explicó ICANN en su reunión anual, ICANN 87, celebrada en Bali, informó The Register el 20 de octubre. Solo abarca casos urgentes: una amenaza inminente para la vida, de lesiones corporales graves, para infraestructuras críticas o de explotación infantil.

Qué datos están ocultos y quién puede pedirlos

Desde que el RGPD de la UE entró en vigor en 2018, la mayoría de los registradores ya no muestran el nombre, la dirección, el correo electrónico ni el teléfono del titular en los registros públicos de WHOIS. El registrador sigue conservando esos datos, y cualquiera con un motivo legítimo puede solicitarlos. Para ello, ICANN gestiona desde noviembre de 2023 el Registration Data Request Service (RDRS). El solicitante rellena un formulario estándar e ICANN traslada la petición al registrador que vendió el dominio. Es el registrador quien decide si revela los datos o no.

El servicio no está pensado solo para la policía: también pueden usarlo abogados, titulares de marcas, investigadores de seguridad y funcionarios. En sus dos primeros años, hasta el 30 de noviembre de 2025, tramitó más de 3.700 solicitudes sobre 40.400 dominios. El 26% fueron aprobadas, el 55% rechazadas y el resto se aprobaron en parte o se referían a datos que ya eran públicos. Las fuerzas del orden presentaron el 16% de las solicitudes. Los registradores participan de forma voluntaria: al final del piloto había 80 registradores adheridos, que cubrían el 46% de los dominios. Tras el fin del piloto, la junta directiva de ICANN prorrogó el servicio por un máximo de dos años.

Cómo funcionaría el acceso policial

Hoy RDRS solo exige una cuenta de ICANN, y el comité de ICANN que evaluó el piloto señaló la verificación de la identidad de los solicitantes como una de sus lecciones. Según las normas de ICANN, los registradores deben atender las solicitudes urgentes en un plazo de 24 horas, y la comunidad ha señalado que comprobar quién pregunta realmente es uno de los principales obstáculos para cumplir ese plazo. El nuevo sistema traslada esa comprobación a los propios organismos. ICANN prefiere SAML, un estándar habitual de inicio de sesión único: el agente entra a través del sistema de su propio organismo y RDRS recibe la confirmación de que la solicitud procede de un policía real.

Según The Register, los organismos indicarían qué miembros de su personal están autorizados a presentar solicitudes, y un token intercambiado al iniciar sesión garantizaría que se cumpla. Con esto también se quiere evitar que un organismo grande como el FBI sature el servicio con solicitudes de muchos agentes por separado. ICANN afirma estar abierta a otros métodos de acceso para los organismos que no usen SAML y quiere publicar una especificación que cualquier cuerpo policial pueda seguir.

El grupo de trabajo se creó en junio. Su calendario sitúa el inicio de las pruebas en diciembre de 2026 y la publicación de las conclusiones en marzo de 2027.

Lo que sigue sin resolver

El grupo solo se ocupa de la parte técnica. No redacta políticas ni modifica las normas vigentes sobre los datos. Qué contendrá el token, las normas de uso aceptable y qué pasará con las solicitudes que no alcancen el umbral de urgencia lo decidirán otros grupos de ICANN. Los registradores podrán seguir rechazando las solicitudes que no consideren urgentes y disponen de hasta 72 horas para los casos complejos. Representantes de Namecheap y Verisign se mostraron a favor del sistema. Una cuestión pendiente es la protección de los propios agentes: sus direcciones de correo en las solicitudes podrían exponerlos a acoso.

Por qué importa

Para la policía, se trata de rapidez: los dominios usados para phishing, malware o extorsión suelen seguir activos mientras no se logra identificar al titular. Para los propietarios de sitios web, significa que un registro WHOIS oculto los protege del público, pero no de las autoridades. El registrador conoce los datos facilitados al registrar el dominio, y en casos urgentes la policía podrá solicitarlos a través de un canal verificado. Todavía no se sabe con qué rigor valorarán los registradores la urgencia.