01 · 新 gTLD 滥用态势
Freenom（.tk/.ml/.ga/.cf/.gq等免费域）退出注册商业务后，攻击者转向低价新gTLD与免费子域。Interisle《Phishing Landscape 2024》显示，被举报用于钓鱼的域名中，新gTLD占比从上一年的25%跃升至42%，成为钓鱼域名增长最快的承载类别。
1.1 高滥用率 TLD 排名
按"钓鱼域名占该TLD注册总量之比"排序，Interisle给出的滥用率最高的TLD前五位为 .lol、.bond、.support、.top、.sbs；其中.top在注册基数不足300万的情况下，被举报钓鱼域名超过10万个。这些TLD的共同特征是低价（多数低于5美元，部分低于1美元）且验证宽松。从绝对量看，.com仍最多，其次为.top、.xyz、.shop、.cc，但评估风险须以"占比"而非"绝对量"为准（详见第2页度量原则）。
| 维度 | 代表 TLD / 现象 | 说明 |
|---|---|---|
| 高滥用率（占比） | .lol / .bond / .support / .top / .sbs | Interisle 2024 滥用率前五；低价弱验证 |
| 高绝对量 | .com / .top / .xyz / .shop / .cc | 绝对数高，但.com占比极低 |
| 极端个案 | .top | 基数<300万，被举报钓鱼域名>10万 |
1.2 高争议后缀：.zip 与 .mov 的"语义混淆"
2023 年 5 月，Google Registry 将 .zip 与 .mov 两个新 gTLD 开放公众注册。由于 .zip 与 .mov 同时是 Windows 与互联网场景中最常见的文件扩展名（压缩包、视频文件），安全社区与多家安全厂商随即警告：攻击者可构造"看似文件、实为网址"的钓鱼链接（如伪装成下载地址的 invoice.zip 域名），部分即时通讯与社交平台还会将含此类字符串的文本自动转为可点击链接，进一步放大混淆；此后亦观察到利用 .zip 域名投递恶意载荷的实际案例。
该案例说明：新 gTLD 的安全影响不仅取决于注册政策与价格，还取决于后缀语义与用户既有认知的冲突——这是 TLD 风险评估中应纳入的"语义混淆"维度，也是注册局在申请与运营新后缀时应开展安全评估的理由。
来源：Google Registry 于 2023 年 5 月开放 .zip/.mov 注册；Unit 42（Palo Alto Networks）、Verizon 等机构均有公开分析与风险提示（2023-05 起）。
02 · 注册商集中度与滥用率
域名滥用在注册商层面同样高度集中。Interisle在"按滥用率（被举报钓鱼域名÷该注册商管理域名总量）"排序时，指出滥用率最高的注册商前五为 NiceNIC、URL Solutions、Aceville、WebNic、OwnRegistrar；其中NiceNIC被举报用于钓鱼的gTLD域名占其管理总量的约45%，属极端个案。按"管理域名绝对量"排序，最常被用于钓鱼内容的gTLD注册商前五则为 NameSilo、GoDaddy、GMO（Onamae）、PublicDomainRegistry、NameCheap。
两个视角切莫混淆："被滥用域名最多的注册商"（按绝对量，多为大型零售注册商）与"滥用率最高的注册商"（按占比，多为弱验证的小注册商）是不同的治理对象。前者适合推动"Trusted Reporter/快速下架"流程，后者适合推动强化KYC与批量注册限制。第7页将据此讨论分级处置策略。
03 · 中文域名与 IDN 同形字
国际化域名（IDN）允许域名包含非ASCII字符，为中文域名（.中国、.公司、.网络等）提供了原生中文标识的可能；但同一机制也被用于同形字攻击（IDN Homograph）：攻击者用西里尔、希腊等Unicode字符在外形上冒充拉丁字母（如用西里尔а冒充拉丁a），注册在地址栏中"看起来就是"目标品牌的域名。
3.1 技术机制与防御
- Punycode 编码：IDN在DNS中以
xn--前缀的Punycode形式存储；解码后异义字符即暴露，是检测同形字的第一道关口。 - Unicode UTS #39：《Unicode Security Mechanisms》定义了混淆字符（confusable）检测与标识符正则化方法，是识别同形字的国际标准依据。
- RFC 5890–5894（IDNA2008）：规定了国际化域名的协议层处理；与UTS #39共同构成IDN安全的技术规范底座。
- 浏览器地址栏：主流浏览器已对含混合脚本或高风险Unicode字符的域名作Punycode回退显示或警示，降低终端误认概率。
中文语境的特殊性：中文域名本身合法且有重要价值（提升中文用户可及性），风险在于"异源脚本混入"——例如中文域名中夹入外观相近的西里尔/全角字符。监测系统在解码后须对CJK与Latin/Cyrillic做混淆字符比对，而非仅做ASCII层编辑距离。
说明：本专题首页"规范体系"章节已引用RFC 5890–5894与Unicode UTS #39；本页聚焦其在态势中的滥用表现，机制性细节由子课题01（视觉检测）承接。
04 · 低价域名的系统性风险
Interisle对35个高钓鱼率gTLD的统计分析显示：除3个外，其余均在5美元以下注册，10个低于1美元、27个低于2美元。低价与弱验证共同降低了攻击者的"试错成本"，使批量注册（一次注册数千甚至上万个变体）在经济上可行——Interisle观测到至少27%的钓鱼域名属批量注册，曾有单注册商在8小时内注册超过1.7万个恶意域名。
- 政策杠杆：欧洲与亚太部分ccTLD因实施更强的客户验证要求，其钓鱼活动水平显著更低——证明"注册政策"是降低TLD滥用率的有效杠杆。
- 治理抓手：对批量注册实施数字身份核验与账户/子域数量上限、部署自动化可疑注册筛查，是Interisle与APWG共同推荐的方向（第7、8页展开）。
避免标签化："新gTLD=危险"是误解。多数新gTLD运营规范、滥用率正常；风险集中在"低价+弱验证+批量注册便利"的特定后缀与注册商。态势研判须指向具体政策特征，而非泛化到整个类别。
本节参考来源（第5页）
以下均为真实可查的权威来源；具体数值以原始出处最新版本为准。
Interisle Phishing Landscape 2024（新gTLD占42%、高滥用率TLD、注册商滥用率、批量注册）：interisle.net
Domain Name Wire 对 Interisle 2024 的解读（.top >10万、NiceNIC 45%）：domainnamewire.com
Unicode Technical Standard #39（Unicode Security Mechanisms）：unicode.org/reports/tr39
IETF RFC 5890–5894（Internationalized Domain Names in Applications, IDNA2008）：rfc-editor.org
CNNIC 第55次报告（.CN/中文域名规模，.CN连续十年全球第一）：cnnic.net.cn