Um domínio abandonado por uma empresa pode continuar tendo valor muito depois de sair do ar — e grupos criminosos estão dispostos a investir milhões de dólares para explorar essa confiança acumulada.
Uma investigação da Infoblox Threat Intelligence revelou uma operação que gastou quase US$ 7 milhões na aquisição de domínios expirados, aproveitando endereços anteriormente legítimos para direcionar usuários a sites de apostas, transmissões ilegais e infraestrutura usada por malware.
A prática é conhecida como dropcatching: quando um domínio expira, passa pelo período previsto para recuperação pelo antigo proprietário e, posteriormente, volta a ficar disponível para registro. Serviços especializados monitoram esse momento e tentam registrar automaticamente os endereços assim que eles são liberados.
O problema é que um domínio antigo não volta necessariamente à internet como uma página em branco. Ele pode conservar backlinks, aparecer em resultados de busca, receber visitantes recorrentes e até carregar uma reputação positiva em ferramentas automatizadas de segurança.
É justamente essa herança digital que está sendo transformada em negócio pelo cibercrime.
Cerca de 65 mil domínios expirados são registrados por dia
Durante o primeiro semestre de 2026, aproximadamente 50,4 mil domínios expirados foram registrados novamente por dia apenas entre domínios genéricos, como .com.
Quando extensões de países também entram no levantamento, o número sobe para aproximadamente 65 mil registros diários.
De acordo com os dados apresentados pela Infoblox, os dropcatch domains representam perto de 20% dos novos registros diários considerados na análise.
Isso significa que aproximadamente um em cada cinco domínios registrados nesse universo é, na realidade, um endereço que já teve uma vida anterior.
A maior parte dessas aquisições é perfeitamente legítima. Investidores, empresas e profissionais compram domínios expirados por diferentes razões.
O risco aparece quando criminosos percebem que um endereço antigo pode carregar algo que um domínio recém-criado não possui: confiança.
Por que um domínio antigo vale mais para criminosos?
Imagine uma empresa que manteve um site durante dez anos.
Ao longo desse período, outras páginas criaram links para aquele endereço. Buscadores indexaram seu conteúdo. Usuários salvaram páginas nos favoritos. Serviços de segurança passaram a reconhecer aquele domínio como legítimo.
Então a empresa encerra suas atividades e deixa de renovar o endereço.
Quando outra pessoa registra esse mesmo domínio, parte dessa história digital pode continuar existindo.
Links antigos ainda podem receber cliques.
Documentos podem continuar mencionando o endereço.
Sites de terceiros podem continuar apontando para ele.
Usuários podem digitá-lo diretamente.
E sistemas automatizados podem considerar seu histórico menos suspeito do que o de um domínio registrado algumas horas atrás.
Para um criminoso, isso representa uma vantagem significativa.
Grupo acumulou mais de 10 mil domínios
Entre os grupos investigados pela Infoblox está uma operação batizada pelos pesquisadores de Sable Squirrel.
Segundo a empresa, o grupo controla mais de 10 mil domínios e teria gasto quase US$ 7 milhões na compra de endereços expirados.
A infraestrutura é utilizada principalmente em um ecossistema envolvendo transmissões esportivas ilegais e promoção de plataformas de apostas voltadas ao mercado asiático.
A Infoblox identificou fortes relações da operação com o ecossistema do Xoi Lac TV, uma rede de streaming ilegal desmantelada por autoridades vietnamitas em março de 2026.
Os pesquisadores acreditam que o grupo começou a adquirir domínios expirados pelo menos em junho de 2023.
Domínios de empresas conhecidas foram parar na operação
Alguns exemplos mostram o tamanho do problema.
Entre os endereços adquiridos pelo grupo estão domínios que anteriormente estiveram associados a organizações e projetos conhecidos.
Um deles pertenceu a uma iniciativa de saúde lançada pela General Electric em 2009. Outro estava relacionado à marca de cosméticos Max Factor.
Também aparecem endereços anteriormente associados à proposta de fusão entre Kroger e Albertsons, a uma antiga empresa de ferramentas para desenvolvedores PlayStation e à empresa de cibersegurança Rezilion, cujos principais ativos foram adquiridos pelo GitLab em 2024.
Isso ajuda a explicar o valor desses endereços.
Um usuário que encontra um domínio com anos de histórico pode não perceber que seu proprietário mudou completamente.
Alguns domínios também serviam como infraestrutura de malware
A investigação não encontrou apenas streaming ilegal e publicidade de apostas.
A Infoblox identificou mais de 31 mil amostras de malware que se comunicaram com a infraestrutura atribuída ao Sable Squirrel.
Entre as famílias observadas aparecem ferramentas conhecidas como:
- Quasar RAT;
- AsyncRAT;
- DCRat;
- NanoCore;
- Remcos RAT;
- njRAT;
- artefatos associados ao ransomware HiddenTear.
Alguns dos próprios domínios utilizados para transmitir conteúdo esportivo também funcionavam como servidores de comando e controle (C2) de malware.
Esse tipo de servidor permite que sistemas infectados recebam comandos ou transmitam informações para os operadores da campanha.
Um mesmo domínio pode servir ao streaming e ao malware
Um dos exemplos citados pela investigação é especialmente representativo.
Um domínio anteriormente pertencente a uma empresa de impressoras 3D acabou sendo adquirido pela operação.
Depois da mudança de controle, o endereço foi utilizado tanto como site de streaming ilegal quanto como infraestrutura C2 associada ao Quasar RAT.
Isso mostra como um endereço aparentemente comum pode cumprir diferentes funções simultaneamente dentro de uma operação criminosa.
Para sistemas de segurança que confiam excessivamente no histórico do domínio, a mudança de comportamento pode ser difícil de identificar rapidamente.
Criminosos querem aproveitar o domínio imediatamente
Outro dado da pesquisa ajuda a entender a velocidade da operação.
Depois de serem registrados novamente, 24% dos domínios analisados entravam em atividade no mesmo dia.
Após sete dias, a proporção chegava a 76%.
Em duas semanas, 94% já estavam ativos.
Isso sugere que os operadores não estão simplesmente acumulando endereços para revendê-los posteriormente.
Existe interesse em aproveitar rapidamente o tráfego, backlinks e reputação herdados.
Quanto mais tempo passa, maior a possibilidade de buscadores, ferramentas de reputação e administradores perceberem que o domínio mudou de finalidade.
Golpe aproveita tráfego que já existia
Existe ainda outra categoria identificada pelos pesquisadores.
Em alguns casos, os criminosos nem sequer precisam criar uma nova forma de atrair vítimas.
Eles compram um domínio que anteriormente já havia sido comprometido.
Imagine um site legítimo invadido meses antes.
Criminosos implantam código malicioso em páginas externas apontando para aquele domínio.
Depois, o proprietário legítimo abandona o endereço.
Quando outro grupo criminoso registra o domínio expirado, pode começar a receber tráfego proveniente das cadeias de infecção deixadas pelos atacantes anteriores.
A Infoblox descreve esses operadores como scavengers, ou “catadores”, porque aproveitam a infraestrutura e o tráfego residual deixados para trás.
Três operações foram identificadas
Além do Sable Squirrel, a investigação acompanha três grupos desse tipo.
O Stuffy Squirrel, ativo pelo menos desde 2020, controla mais de 500 domínios e utiliza sistemas de distribuição de tráfego.
O Shady Squirrel, observado desde julho de 2023, controla mais de 700 endereços e foi relacionado a tráfego direcionado para campanhas como SocGholish, golpes de suporte técnico e redes de marketing de afiliados.
Já o Swiping Squirrel, ativo desde pelo menos 2022, controla mais de 3 mil domínios e direciona tráfego para plataformas de publicidade do tipo zero-click, que podem posteriormente revendê-lo para campanhas fraudulentas ou distribuição de malware.
O problema vai além dos domínios expirados
A investigação reforça uma questão mais ampla: idade não é sinônimo de segurança na internet.
Muitas ferramentas de proteção utilizam características históricas para avaliar um endereço.
Um domínio registrado ontem e nunca visto antes pode receber uma avaliação de risco maior.
Um domínio com dez anos de existência, centenas de backlinks e histórico legítimo pode parecer menos perigoso.
Mas essa lógica deixa de funcionar quando o proprietário muda.
O criminoso não está comprando apenas uma sequência de caracteres terminada em .com.
Ele está adquirindo uma identidade digital usada anteriormente por outra organização.
Backlinks também possuem valor
Os links externos são outra peça importante dessa estratégia.
Um domínio antigo pode ter centenas ou milhares de páginas apontando para ele.
Algumas podem pertencer a universidades, empresas, veículos de imprensa, fóruns ou sites institucionais.
Esses links foram criados quando o endereço ainda era legítimo.
Depois que o domínio muda de proprietário, muitos permanecem online.
Isso gera tráfego residual e pode contribuir para a percepção de legitimidade do endereço.
Criminosos podem aproveitar essa estrutura para levar vítimas a golpes sem depender exclusivamente de spam, phishing ou publicidade paga.
IA pode criar um problema adicional
Existe ainda uma nova variável nesse cenário: ferramentas de inteligência artificial.
Em pesquisa anterior, a própria Infoblox alertou que sistemas de IA podem reproduzir URLs antigas presentes em seu conhecimento ou recuperadas de conteúdos históricos.
Se o domínio mencionado deixou de pertencer à organização original e foi registrado por um criminoso, um endereço aparentemente confiável pode conduzir o usuário a conteúdo malicioso. A empresa também constatou, em pesquisa sobre domínios estacionados, que redirecionamentos maliciosos, golpes e malware se tornaram comuns nesse ecossistema.
Isso reforça uma recomendação simples: links fornecidos por sistemas de IA também precisam ser tratados como conteúdo externo a ser verificado.
Empresas precisam cuidar do fim da vida de seus domínios
A pesquisa traz uma lição importante para empresas brasileiras.
Gerenciar um domínio não deveria terminar quando um site é desativado.
Antes de abandonar um endereço, organizações precisam entender quais sistemas ainda dependem dele.
Isso inclui e-mails, registros DNS, redirecionamentos, APIs, documentação, aplicativos, integrações, repositórios de código e links presentes em sites de parceiros.
Um domínio aparentemente sem utilidade pode continuar recebendo tráfego durante anos.
E, se for adquirido por outra pessoa, a empresa perde completamente o controle sobre o que será apresentado aos visitantes.
Domínios antigos não devem ser automaticamente confiáveis
Para equipes de segurança, o episódio também mostra a necessidade de rever modelos baseados excessivamente na reputação histórica.
A idade de um domínio continua sendo um sinal útil, mas não pode funcionar isoladamente.
Mudanças recentes de proprietário, alterações abruptas de DNS, novos servidores, mudanças de certificados, padrões de redirecionamento e comportamento do conteúdo podem oferecer sinais mais atuais sobre o risco.
A própria Infoblox já havia mostrado a dimensão do problema envolvendo DNS: em seu relatório de ameaças de 2025, a empresa identificou 100,8 milhões de domínios recém-observados, dos quais 25,1% foram classificados como maliciosos ou suspeitos.
Confiança digital também pode ser comprada
O caso do Sable Squirrel mostra uma transformação interessante na economia do cibercrime.
Em vez de construir toda a infraestrutura do zero, criminosos estão dispostos a pagar milhões para comprar algo que levou anos para ser construído: reputação.
Um domínio antigo pode trazer consigo tráfego, links, referências, resultados de busca e confiança acumulada.
Quando seu controle muda silenciosamente, toda essa herança pode ser convertida em ferramenta para fraude, pirataria, apostas ou distribuição de malware.
Para empresas, a conclusão é importante: um domínio corporativo não deixa necessariamente de representar a marca no momento em que a organização decide abandoná-lo.
Enquanto usuários, links e sistemas continuarem confiando naquele endereço, ele continuará tendo valor.
E o cibercrime já percebeu isso.
