El regulador italiano de comunicaciones, AGCOM, ha impuesto una de las sanciones más severas vistas en Europa contra la piratería online: 14.247.698 euros de multa a Cloudflare por negarse a bloquear dominios e IP piratas en su resolver DNS público 1.1.1.1. La cifra equivale aproximadamente al 1% de la facturación mundial de la compañía y podría escalar hasta el 2% en caso de reincidencia.
Multa de AGCOM a Cloudflare: contexto, normativa y alcance
La decisión se apoya en la resolución 49/25/CONS de AGCOM, publicada en febrero de 2025, que obliga a los proveedores de DNS a interrumpir la resolución de nombres de dominio y la ruta de tráfico hacia los recursos incluidos en la lista negra del sistema italiano Piracy Shield. Esto supone un cambio de paradigma: los DNS públicos dejan de considerarse infraestructura neutral y pasan a ser agentes activos de la política de bloqueo de contenidos.
Según los datos manejados por el propio regulador, alrededor del 70% de los servicios piratas identificados en Italia se apoyan en la infraestructura de Cloudflare, lo que convierte a la empresa en un eslabón crítico dentro de la estrategia nacional contra la piratería digital, especialmente en retransmisiones deportivas en directo.
Piracy Shield: bloqueo en 30 minutos y obligación para DNS y VPN
Un sistema rápido de bloqueo contra la piratería online
Piracy Shield, operativo desde 2024, es la plataforma centralizada que Italia utiliza para combatir la piratería online. Su objetivo principal son las emisiones ilegales de eventos deportivos. El sistema exige que los dominios y direcciones IP señalados como infractores se bloqueen en un plazo máximo de 30 minutos desde su identificación, no solo por los proveedores de acceso a Internet, sino también por servicios de DNS público y VPN.
Para el usuario medio, el DNS es el sistema que traduce nombres como ejemplo.com en direcciones IP numéricas. Controlar este punto permite, de forma relativamente sencilla, impedir el acceso a un sitio web a gran escala, lo que lo convierte en una herramienta eficaz tanto contra la piratería como contra ciertos tipos de ciberataques.
De infraestructura neutral a capa obligatoria de filtrado
La resolución 49/25/CONS establece que los operadores de DNS deben aplicar las órdenes de bloqueo de Piracy Shield, equiparándolos en la práctica a los proveedores de Internet nacionales. En la experiencia italiana, esto ya ha provocado episodios de bloqueo excesivo, donde servicios legítimos quedaron inaccesibles al compartir infraestructura o direcciones IP con recursos marcados como piratas, un riesgo bien conocido en la comunidad de ciberseguridad.
Postura de Cloudflare frente a AGCOM y el DNS 1.1.1.1
Argumentos técnicos y de proporcionalidad de Cloudflare
Cloudflare ha aceptado cooperar con algunas iniciativas de las autoridades, pero ha rechazado de forma tajante implementar filtrado en su DNS público 1.1.1.1. La compañía califica esta exigencia de “injustificada y desproporcionada” y advierte de importantes retos técnicos y de rendimiento.
La empresa sostiene que su resolver procesa miles de millones de consultas al día a escala global. Introducir sistemas complejos de bloqueo basados en listas nacionales podría incrementar la latencia, reducir la resiliencia y afectar a usuarios de todo el mundo que no están sujetos a la jurisdicción italiana. Además, alerta sobre el riesgo de errores y daños colaterales, especialmente cuando los procedimientos de inclusión de dominios en listas negras no son completamente transparentes.
Respuesta de AGCOM y calificación de la infracción
AGCOM ha rechazado estos argumentos. El regulador sostiene que Cloudflare dispone de las capacidades técnicas necesarias para aplicar bloqueos selectivos, recordando que la empresa ya gestiona políticas avanzadas de filtrado y enrutamiento, por ejemplo, para defensa frente a ataques DDoS y otras amenazas. En esta línea, considera que las objeciones técnicas están sobredimensionadas.
En su resolución final, AGCOM califica la negativa de Cloudflare como incumplimiento de la legislación antipiratería italiana y enfatiza que se trata del primer caso de esta envergadura dirigido contra un proveedor global de DNS. El documento destaca la “importancia crítica” de la cooperación de Cloudflare, al facilitar sus servicios que los sitios piratas eludan los bloqueos tradicionales a nivel de operador de red.
Impacto en la ciberseguridad y en otros DNS públicos y VPN
Un precedente para Google Public DNS, OpenDNS y otros actores
La decisión de AGCOM puede sentar un precedente significativo para otros servicios como Google Public DNS, OpenDNS u operadores de DNS integrados en navegadores y sistemas operativos. Si los tribunales italianos avalan la postura del regulador, los resolvers DNS podrían consolidarse como una nueva capa de filtrado de contenidos sometida a la legislación nacional, incrementando la presión regulatoria sobre servicios que se posicionan como alternativas más privadas y neutrales frente al DNS del proveedor de Internet.
Equilibrio entre eficacia de bloqueo y riesgo de censura
Desde la perspectiva de ciberseguridad, el uso del DNS como mecanismo de control presenta una doble cara. Por un lado, el bloqueo DNS es una herramienta eficaz contra la piratería masiva y contra parte de la infraestructura maliciosa (como servidores de mando y control de botnets o dominios de phishing), siendo una práctica recomendada en múltiples guías técnicas europeas.
Por otro, la centralización del control del DNS incrementa el riesgo de censura excesiva, bloqueos con motivación política o errores de configuración que afecten a servicios críticos, con impacto directo en la resiliencia de Internet. La experiencia italiana con bloqueos accidentales a sitios legítimos refuerza estas preocupaciones y subraya la necesidad de procesos transparentes, auditables y con mecanismos de recurso eficaces.
Reacción de Cloudflare y posibles efectos en la defensa digital de Italia
El cofundador y CEO de Cloudflare, Matthew Prince, ha anunciado que la empresa recurrirá la multa y cuestionará las conclusiones de AGCOM. Al mismo tiempo, ha dejado abierta la puerta a una reducción del despliegue de Cloudflare en Italia, incluyendo la posible retirada de servicios gratuitos de protección para los Juegos Olímpicos de Invierno de Milán–Cortina, la eliminación de planes gratuitos para usuarios italianos, el traslado de servidores fuera de centros de datos italianos y la cancelación de la apertura de una oficina local.
Si parte de estas medidas se materializa, el ecosistema digital italiano podría ver debilitada su capacidad de defensa frente a ataques DDoS y otras amenazas masivas, especialmente para organizaciones que dependen de servicios de protección en la nube de bajo coste o gratuitos.
Para empresas y administraciones, este caso subraya la importancia de diversificar la infraestructura crítica: utilizar múltiples resolvers DNS, desplegar sistemas propios de bloqueo de dominios maliciosos, probar planes de contingencia ante la pérdida de un proveedor clave y monitorizar de forma activa los cambios regulatorios en materia de piratería y ciberseguridad. Invertir tiempo en comprender el marco legal aplicable y su interacción con servicios globales como Cloudflare ya no es opcional: se ha convertido en una parte esencial de la gestión del riesgo digital y de cualquier estrategia sólida de ciberseguridad corporativa.
