Falsos positivos en la detección de VPN: a quién se marca por error y qué hacer

Durante una década, la regla antifraude fue sencilla: IP oculta, más riesgo. Marca las VPN, bloquea los proxies y sigue adelante. En 2026 esa regla hace perder ingresos en silencio, porque la población que se oculta tras IPs anonimizadas ha cambiado. Una parte cada vez mayor son tus mejores clientes: usuarios de iPhone con iCloud Private Relay activado, compradores preocupados por su privacidad que usan una VPN y compradores móviles que comparten una dirección de operador con miles de vecinos. El 47 % de los comercios afirma que los falsos rechazos les cuestan ventas, y Apple les dice lo mismo a los operadores de red desde el otro lado: "Traditional fraud detection that relies on IP addresses might need to be adjusted to ensure legitimate users aren't impacted" (la detección de fraude tradicional basada en direcciones IP podría necesitar ajustes para no afectar a usuarios legítimos) (Apple, Prepare your network for iCloud Private Relay).

Mientras tanto, el tráfico que de verdad necesitas detener ha ido en sentido contrario: los atacantes más peligrosos ya no vienen en absoluto de rangos de datacenter evidentes. Llegan a través de IPs residenciales que parecen exactamente un cliente real. Así que el instinto binario de "bloquear el tráfico anonimizado" ahora falla por partida doble: castiga a usuarios reales y deja pasar las amenazas reales. Así es como se distinguen, empezando por lo que la detección de VPN y proxy puede ver realmente.

Si has llegado aquí siendo la persona bloqueada y no el sitio que bloquea, lee qué puede hacer un visitante marcado por error.

De dónde vienen los falsos positivos en la detección de VPN

La mayoría de los falsos positivos en la detección de VPN proceden de personas legítimas cuya IP está oculta o compartida por motivos corrientes. Una gran parte del tráfico anonimizado son usuarios que pagan y no cometen fraude:

• Las VPN de consumo son algo habitual. En la encuesta de Security.org de agosto de 2026 a 1.008 adultos de EE. UU., el 42 % afirmó usar una VPN, y los motivos principales son la privacidad (56 %) y la seguridad (51 %) en general, sin un solo motivo relacionado con el fraude en la lista. Si bloqueas todo el tráfico de VPN, estás rechazando por diseño a clientes preocupados por su privacidad.
• VPN corporativas y viajeros. Los empleados enrutados a través de una VPN de empresa, o los clientes que se conectan desde el extranjero, aparecen legítimamente cada día con IPs "extranjeras" o cercanas a datacenters.
• Usuarios móviles detrás de CGNAT. Los operadores se quedaron sin IPv4 hace tiempo, así que las redes móviles colocan a enormes cantidades de abonados reales detrás de un puñado de direcciones compartidas mediante Carrier-Grade NAT. Una sola IP móvil puede representar a miles de clientes genuinos. Bloquéala por una mala sesión y bloquearás a toda una manzana de compradores reales. Ese mismo espacio de direcciones compartido es justo lo que hace que los proxies móviles sean tan difíciles de detectar.
• Cloudflare WARP. Un servicio de privacidad gratuito para consumidores, no un proxy de fraude; aquí tienes cómo reconocer el tráfico de WARP.

Y luego está el caso que rompe por completo la detección ingenua: Apple iCloud Private Relay.

iCloud Private Relay no es una VPN, así que no lo puntúes como tal

Private Relay es un relay de privacidad, no una VPN: según la descripción general de la propia Apple, divide cada conexión en dos saltos para que ninguna parte vea a la vez al usuario y el destino, y no permite que los usuarios aparenten conectarse desde otro país o región. Apple valida cada conexión a nivel de dispositivo y de cuenta y limita el servicio a dispositivos Apple con una suscripción de pago a iCloud+, así que marcar una IP de relay como proxy anónimo rechaza a clientes verificados que pagan. Nuestra guía para detectar iCloud Private Relay y WARP explica cómo reconocer ese tráfico y dejarlo pasar.

El lado malicioso: los proxies residenciales son la amenaza real

Entonces, ¿qué debería hacer saltar las alarmas? La categoría que se creó precisamente para burlar el instinto de "confiar en las IPs residenciales": las redes de proxies residenciales.

Un proxy residencial enruta el tráfico de un atacante a través de una IP propiedad de un ISP y asignada a un hogar o pequeño negocio real, normalmente obtenida mediante apps y SDKs troyanizados que inscriben en silencio dispositivos de consumidores como nodos de salida. Para tu servidor parece un cliente corriente en un ISP de consumo. Ese es precisamente el objetivo, y es la razón por la que el Threat Intelligence Group de Google los considera un serio desafío para los defensores: cuando GTIG desarticuló la red IPIDEA en enero de 2026, encontró más de 550 grupos de amenazas rastreados distintos (incluidos actores vinculados a estados de China, Corea del Norte, Irán y Rusia) usando nodos de salida de IPIDEA en una única ventana de siete días para intrusiones en SaaS, acceso a sistemas on-premise y ataques de password spraying.

Esta es la inversión que rompe las reglas heredadas: la VPN en un datacenter es, en su mayoría, tu cliente; la IP "residencial" puede ser el atacante. Y la presión del volumen es real: los bots automatizados ya superan al tráfico web humano, con más del 53 % de todas las peticiones en 2025, y los agentes de IA surgen como una nueva categoría que difumina todavía más la frontera entre la automatización legítima y el abuso. Nuestra guía para detectar tráfico de bots por IP clasifica esa automatización en tipos, desde rastreadores verificados hasta escáneres, y muestra cuáles puede identificar una consulta de IP.

Tráfico anonimizado, ordenado por riesgo real

No todos los anonimizadores conllevan el mismo riesgo, así que el tipo de anonimizador debería fijar la acción por defecto. Una primera clasificación útil:

La lección no es "confía en todo" ni "bloquea todo". Es que el tipo de anonimizador, junto con evidencias que lo corroboren, debería guiar la decisión.

Lo que te cuesta un falso rechazo

Un falso positivo en el checkout es un falso rechazo: un cliente real rechazado porque su IP parecía anonimizada. El 47 % de los comercios afirma que los falsos rechazos les cuestan ventas. Cada usuario de Private Relay, comprador móvil o comprador con VPN bloqueado por error es un ingreso perdido, un ticket de soporte y, a menudo, un cliente que no vuelve. El fraude se puede medir; la venta que nunca hiciste porque bloqueaste a una persona real es invisible, y por eso exactamente el bloqueo general parece seguro y en silencio no lo es.

El manual: puntúa según las evidencias, no según un único indicador

La salida es una detección que responda a "¿qué dicen las evidencias sobre esta IP y cuánta confianza tenemos?" en lugar de "¿hay algún indicador de anonimizador activado?". En la práctica:

• Identifica el tipo de anonimizador, no solo 'anónimo': Private Relay, VPN de consumo, VPN corporativa, proxy residencial u hosting. Conllevan riesgos muy distintos.
• Usa señales exculpatorias: un ISP residencial o un rastreador verificado reducen la puntuación en nuestro modelo, y un servicio de privacidad conocido como Private Relay tiene un tope para que nunca llegue a bloqueo. Ninguno de ellos debería aumentar el riesgo por sí solo.
• Pon un tope a la infraestructura compartida: no bloquees nunca de forma estricta un rango CGNAT o de operador móvil por una mala sesión, porque detrás hay miles de usuarios reales.
• Pondera la antigüedad de la detección: una IP vista en un pool de proxies hace una hora es muy distinta de una cuya única evidencia tiene seis meses.
• Responde de forma gradual: permite el riesgo bajo, añade verificación en la franja media y bloquea solo el fraude de alta confianza.

Así es exactamente como está construida la puntuación de fraude de 0 a 100 de GeoIPHub. Las señales exculpatorias son de primer nivel: un ISP residencial resta puntos, un rastreador verificado resta más y los rangos CGNAT tienen un tope, de modo que el tráfico de privacidad legítimo se mantiene bajo. Cada consulta devuelve el tipo de conexión, la atribución del proveedor, un indicador is_residential_proxy (una inferencia aproximada basada en el ASN, así que trátala como una pista y no como una prueba) y los detection_methods que se activaron, para que puedas actuar y explicar la decisión. Un checkout bloqueado nunca debería ser una caja negra.

Una respuesta graduada, no un muro

Aquí tienes tres consultas reales que hicimos el 12 de octubre de 2026, recortadas. Primero, 172.224.226.1, una dirección de salida de Apple iCloud Private Relay:

Segundo, 185.220.101.1, un nodo de salida de Tor:

Ambas direcciones están en redes de datacenter y ambas ocultan la IP doméstica del usuario. La dirección de Private Relay aparece identificada como relay, no marcada como anónima, y obtiene 24: allow. El nodo de salida de Tor está además en una lista negra de spam y obtiene 100: block. La misma consulta, resultados opuestos, porque las evidencias son distintas.

Tercero, 45.83.220.7, un servidor de Mullvad VPN en Malmö, que es el caso en el que se equivocan la mayoría de las reglas de VPN:

La VPN se identifica por su nombre con una confianza alta, pero la puntuación se queda en 46 y la acción es review, no block, porque nada más en el registro apunta a abuso. Una regla binaria de "is_vpn significa bloquear" habría rechazado a este usuario. Una política graduada lo deja pasar en las acciones de bajo riesgo y solo pide una verificación adicional donde lo que está en juego lo justifica. Un indicador de proxy residencial merece la misma cautela: como GeoIPHub solo infiere el estado de proxy residencial de forma aproximada a partir de los datos de ASN, solo debería justificar un desafío o un bloqueo cuando otras evidencias recientes lo respalden.

Puedes ver cómo puntúa cualquier dirección, incluidos los endpoints de Private Relay y de VPN, con la prueba de detección de VPN y proxy gratuita y el comprobador de puntuación de fraude de IP, o leer exactamente cómo se construye la puntuación en la metodología de detección y la referencia completa de la API.

Detecta el proxy residencial y deja que el cliente de iPhone complete su compra

El internet anonimizado ya no es una señal de fraude por sí solo. Apple Private Relay, WARP, las VPN corporativas y el CGNAT móvil colocan a clientes reales detrás de IPs "ocultas", mientras que los atacantes de verdad se esconden dentro de rangos residenciales diseñados para parecer legítimos. La detección que sigue funcionando en 2026 no pregunta si una IP está anonimizada. Pregunta de qué tipo, con qué antigüedad y con qué corroboración, y luego responde en proporción. Detecta el fraude con proxies residenciales. Deja que el cliente de iPhone complete su compra.

Preguntas frecuentes

¿Qué causa los falsos positivos en la detección de VPN?

Una regla que trata cualquier IP oculta o compartida como fraude. Marca a compradores preocupados por su privacidad que usan VPN de consumo, a empleados en VPN corporativas, a viajeros, a usuarios móviles que comparten una IP de operador mediante CGNAT y a usuarios de Apple iCloud Private Relay. La mayoría son clientes legítimos, así que un bloqueo basado solo en la IP los rechaza.

¿Bloquear iCloud Private Relay provoca falsos positivos?

Sí. Private Relay no es una VPN: Apple enruta cada conexión a través de dos saltos, limita el servicio a dispositivos Apple con una suscripción de pago a iCloud+ y no permite que los usuarios aparenten conectarse desde otro país. La guía de Apple para operadores de red advierte que la detección de fraude tradicional basada en direcciones IP podría necesitar ajustes para no afectar a usuarios legítimos. Trata una IP de relay como de bajo riesgo y aplica las reglas de fraude con señales de cuenta y de sesión.

¿Qué tráfico anonimizado es realmente peligroso?

Las redes de proxies residenciales son la categoría de riesgo realmente alto. Enrutan el tráfico del atacante a través de IPs domésticas reales propiedad de ISPs, obtenidas mediante apps troyanizadas, de modo que se camufla entre los usuarios legítimos. La desarticulación de la red IPIDEA por parte de Google en enero de 2026 detectó más de 550 grupos de amenazas rastreados usando sus nodos de salida en una sola semana. Las VPN comerciales y Private Relay son mayoritariamente legítimas; los proxies residenciales rara vez lo son.

¿Por qué es mala idea bloquear todo el tráfico de VPN y proxy?

Porque una gran parte son clientes reales. Aproximadamente un tercio de los adultos de EE. UU. usa una VPN, de forma abrumadora por privacidad y seguridad y no para cometer fraude, y los usuarios móviles comparten habitualmente una IP de operador mediante CGNAT. Bloquear esas IPs de forma estricta produce falsos rechazos, y el 47 % de los comercios afirma que los falsos rechazos les cuestan ventas. El objetivo es una puntuación de riesgo graduada, no un bloqueo general.

¿Cómo evita GeoIPHub los falsos positivos?

Puntuando según las evidencias, no por la mera presencia de un indicador. La puntuación de fraude de 0 a 100 incluye señales exculpatorias (un ISP residencial resta puntos, un rastreador verificado resta más y los rangos CGNAT tienen un tope), y cada consulta devuelve el tipo de conexión, la atribución del proveedor, la antigüedad de la detección (last_seen) y los detection_methods que se activaron, para que puedas desafiar lo realmente arriesgado y dejar pasar a los clientes reales.