O relatório de ameaças do Quad9 para o primeiro semestre de 2026 dimensiona uma parte pouco visível da internet doméstica: somente os 50 domínios mais bloqueados pelo serviço receberam mais de 14 bilhões de consultas DNS entre janeiro e junho.
O volume inclui botnets em aparelhos Android TV, páginas falsas, golpes por notificação, malvertising e mineração de criptomoedas. Também mostra por que velocidade não pode ser o único critério para escolher um resolvedor. Um DNS protetivo pode encerrar uma conexão maliciosa antes que o navegador ou o aplicativo chegue ao servidor do invasor.
Há uma ressalva essencial: 14 bilhões de consultas não significam 14 bilhões de vítimas ou ataques bem-sucedidos. Consultas automatizadas se repetem, um único equipamento infectado pode produzir milhões delas e o comportamento de cache varia. O próprio Quad9 alerta que sua telemetria mede consultas bloqueadas, não dispositivos comprometidos.
Quais ameaças mais geraram consultas?
Entre os principais grupos descritos pelo Quad9 estão:
- imitações da CrowdStrike: 13 domínios ligados a campanhas oportunistas somaram mais de 4,6 bilhões de consultas, quase dois anos depois da interrupção do Falcon em 2024;
- botnets em Android TV: seis domínios com padrão de geração automática produziram perto de 2,2 bilhões de consultas, enquanto a infraestrutura de comando e controle foi sendo substituída;
- golpes de notificação e malvertising: o ecossistema analisado respondeu por aproximadamente 1,8 bilhão de consultas;
- cryptojacking: quatro endereços de pools de mineração Monero receberam, juntos, 688 milhões de consultas;
- falso suporte da Meta: um domínio usado em phishing e spam continuou ativo, com mais de 146 milhões de consultas; Brasil e Turquia apareceram entre as maiores origens.
Os números mostram dois comportamentos distintos. Algumas campanhas usam poucos domínios por muito tempo. Outras criam e descartam nomes em alta velocidade por meio de algoritmos de geração de domínio, ou DGA, tentando superar listas de bloqueio.
Como o bloqueio no DNS protege um dispositivo
Antes de acessar uma página, baixar um script ou contatar o servidor de comando de uma botnet, o dispositivo normalmente precisa converter um nome em endereço IP. Um resolvedor protetivo compara essa consulta com sinais de ameaça atualizados.
Quando encontra um domínio classificado como malicioso, ele não entrega o endereço normal. Dependendo do serviço e da configuração, a resposta pode ser NXDOMAIN, REFUSED, 0.0.0.0 ou outro resultado sintético. Sem o IP, a conexão é interrompida antes de alcançar a infraestrutura conhecida.
Isso é especialmente útil para televisores, câmeras, roteadores e outros equipamentos que nem sempre aceitam um antivírus. Também cobre toda a rede quando o DNS protetivo é configurado no roteador.
Mas o controle tem limites. Ele não bloqueia uma conexão direta por IP, pode não reconhecer uma ameaça nova e não substitui atualizações, antivírus, autenticação forte ou isolamento de dispositivos. Se um aplicativo ignora o DNS da rede e usa seu próprio resolvedor criptografado, a política local também pode não ser aplicada.
Por que um benchmark pode interpretar o bloqueio errado
Um teste ingênuo pode contar qualquer resposta diferente de um endereço IP como erro. Em um DNS com filtragem, isso penaliza justamente a função de segurança que está operando corretamente.
Para medir desempenho sem distorção:
- Use domínios neutros e controlados. Não misture listas de malware ao conjunto usado para calcular disponibilidade.
- Separe timeout de resposta de política. Um
NXDOMAINrecebido rapidamente é diferente de uma consulta sem resposta. - Compare variantes equivalentes. O Quad9 oferece endpoints com políticas diferentes; confirme o endereço testado antes de atribuir o resultado ao serviço inteiro.
- Registre média, P95 e jitter. A menor média pode esconder picos que atrasam a navegação.
- Teste na rede real. Rota e proximidade do ponto de presença mudam entre operadoras, Wi-Fi e rede móvel.
O relatório não prova que o Quad9 é mais rápido que Cloudflare, Google ou o DNS da operadora. Ele prova que existe uma camada de segurança ativa. O desempenho ainda precisa ser medido localmente. Veja também como o DNS sobre QUIC e HTTP/3 mudou o Quad9.
O que fazer se houver muitos bloqueios na sua rede
Um bloqueio isolado pode vir de um link de phishing fechado sem consequências. Um padrão constante, especialmente a cada poucos segundos, merece investigação.
Comece identificando o dispositivo de origem nos registros do roteador, firewall ou resolvedor corporativo. Atualize o sistema e os aplicativos, remova extensões desconhecidas e verifique equipamentos baratos de IoT ou TV box. Trocar apenas o DNS pode ocultar o sintoma sem remover a infecção que continua tentando se comunicar.
Em empresas, preserve horário, nome consultado, dispositivo e resposta recebida. Esses dados permitem relacionar a atividade a outros alertas. Evite abrir manualmente um domínio suspeito para “ver o que acontece”; use as ferramentas de segurança e os processos de resposta da organização.
Segurança e velocidade devem ser medidas separadamente
O DNS mais rápido nem sempre é a melhor escolha, e o mais protetivo não é automaticamente lento. São eixos diferentes:
| Critério | O que observar |
|---|---|
| Desempenho | média, P95, jitter e estabilidade ao longo do dia |
| Disponibilidade | timeouts e falhas reais em domínios neutros |
| Segurança | qualidade das fontes, velocidade de atualização e política de bloqueio |
| Privacidade | retenção de dados, finalidade da telemetria e criptografia disponível |
| Compatibilidade | nomes internos, controles parentais e protocolos aceitos pelos dispositivos |
O dado mais importante do relatório não é apenas o total de 14 bilhões. É a persistência: aparelhos comprometidos continuam consultando infraestrutura maliciosa automaticamente, mesmo quando ninguém está navegando. Um resolvedor protetivo reduz essa exposição; um benchmark bem projetado confirma se ele entrega a proteção com desempenho consistente na sua conexão.
