ICANN testa acesso rápido da polícia aos dados ocultos dos donos de domínios

A ICANN, organização sem fins lucrativos sediada nos EUA que gere o sistema mundial de nomes de domínio, está a testar uma forma de a polícia entrar diretamente no seu serviço de pedidos e solicitar aos registradores os dados ocultos dos titulares de domínios. O ensaio decorre em conjunto com o FBI e a Interpol, anunciou a ICANN na sua reunião anual, a ICANN 87, em Bali, segundo noticiou o The Register a 20 de outubro. Abrange apenas casos urgentes: ameaça iminente à vida, de lesões corporais graves, a infraestruturas críticas ou de exploração de crianças.

O que está oculto e quem o pode pedir

Desde que o RGPD da UE entrou em vigor, em 2018, a maioria dos registradores deixou de mostrar nos registos WHOIS públicos o nome, a morada, o e-mail e o telefone do titular. O registrador continua a guardar esses dados, e qualquer pessoa com um motivo legítimo pode pedi-los. Para isso, a ICANN mantém desde novembro de 2023 o Registration Data Request Service (RDRS). O requerente preenche um formulário padrão e a ICANN encaminha o pedido para o registrador que vendeu o domínio. É o registrador quem decide se divulga ou não os dados.

O serviço não se destina apenas à polícia: está aberto também a advogados, titulares de marcas, investigadores de segurança e funcionários públicos. Nos primeiros dois anos, até 30 de novembro de 2025, tratou mais de 3.700 pedidos sobre 40.400 domínios. 26% foram aprovados, 55% recusados, e os restantes foram aprovados parcialmente ou diziam respeito a dados que já eram públicos. As autoridades policiais foram responsáveis por 16% dos pedidos. A adesão dos registradores é voluntária: no fim do projeto-piloto participavam 80 registradores, que cobriam 46% dos domínios. Terminado o piloto, o conselho de administração da ICANN prolongou o serviço por um período de até dois anos.

Como funcionaria o acesso da polícia

Atualmente, o RDRS exige apenas uma conta ICANN, e o comité da ICANN que avaliou o piloto apontou a verificação da identidade dos requerentes como uma das lições a retirar. Segundo as regras da ICANN, os registradores têm de tratar os pedidos urgentes no prazo de 24 horas, e a comunidade identificou a confirmação de quem está realmente a pedir como um dos principais obstáculos ao cumprimento desse prazo. O novo sistema transfere essa verificação para as próprias agências. A ICANN prefere o SAML, uma norma comum de autenticação única: o agente inicia sessão através do sistema da sua própria agência, e o RDRS recebe a confirmação de que o pedido vem de um polícia verdadeiro.

De acordo com o The Register, as agências indicariam os funcionários concretos autorizados a apresentar pedidos, e um token trocado no momento do início de sessão garantiria o cumprimento dessa regra. A ideia é também impedir que uma grande agência, como o FBI, inunde o serviço com pedidos de muitos agentes individuais. A ICANN diz estar aberta a outros métodos de autenticação para as agências que não usam SAML e pretende publicar uma especificação que qualquer força policial possa seguir.

O grupo de trabalho foi criado em junho. O seu calendário prevê o início dos testes em dezembro de 2026 e a publicação das conclusões em março de 2027.

O que continua em aberto

O grupo trata apenas da parte técnica. Não define políticas nem altera as regras atuais sobre os dados. O conteúdo do token, as regras de utilização aceitável e o destino dos pedidos que não atinjam o critério de urgência serão decididos por outros grupos da ICANN. Os registradores continuam a poder recusar um pedido que não considerem urgente e dispõem de até 72 horas nos casos complexos. Representantes da Namecheap e da Verisign manifestaram-se a favor do sistema. Uma questão por resolver é a proteção dos próprios agentes: os seus endereços de e-mail nos pedidos podem expô-los a assédio.

Porque é que isto importa

Para a polícia, trata-se de rapidez: os domínios usados para phishing, malware ou extorsão continuam muitas vezes ativos enquanto não é possível identificar o titular. Para os donos de sites, significa que um registo WHOIS oculto os protege do público, mas não das autoridades. O registrador conhece os dados fornecidos no registo e, em casos urgentes, a polícia poderá pedi-los através de um canal verificado. Ainda não se sabe com que rigor os registradores vão avaliar a urgência.