Cómo detectar proxies móviles: por qué las IP 4G/5G superan las comprobaciones de IP básicas

Los proxies de centro de datos fueron la primera oleada, y son los más fáciles de detectar: los ASN de la nube simplemente no son desde donde navegan los consumidores, como explicamos en qué es una dirección IP de centro de datos. Los proxies residenciales fueron la segunda oleada, y ahora inundan el tráfico real precisamente porque toman prestada la confianza de las direcciones de los ISP domésticos.

Los proxies móviles son la tercera oleada, y vuelven a elevar la dificultad para cada capa de la detección de VPN y proxies. Una IP residencial al menos identifica una línea doméstica. Una IP móvil, gracias al NAT de nivel de operador, identifica a una multitud, y la solicitud fraudulenta escondida en esa multitud parece exactamente igual que todas las demás.

¿Qué es un proxy móvil?

Un proxy móvil es un relay que está en una red celular, y el más caro de los cuatro tipos principales de proxies. El operador del proxy controla un dispositivo con una tarjeta SIM (un teléfono, un módem USB o un rack de cientos de módems) y vende el derecho a enrutar tráfico a través de él. Las solicitudes del cliente salen a internet desde el espacio de IP del operador de telefonía, etiquetadas con el ASN del operador y un tipo de conexión mobile.

El producto que se vende no es ancho de banda. Es la herencia de confianza: la reputación estadística del espacio de direcciones de un gran operador móvil, donde los equipos de fraude no se atreven a repartir vetos porque cada IP la comparten clientes legítimos.

De dónde salen las IP

Las redes de proxies móviles consiguen suministro de tres maneras, de menos a más turbia:

• Granjas de SIM. Racks de módems 4G/5G con tarjetas SIM rotativas, gestionados deliberadamente como infraestructura de proxies. El operador fuerza la rotación de IP activando y desactivando el modo avión o volviendo a conectarse a la red.
• SDK de proxy en aplicaciones. Las aplicaciones gratuitas se monetizan integrando un SDK que revende en silencio el ancho de banda móvil del usuario. Investigadores de seguridad han documentado estos SDK dentro de aplicaciones de consumo e incluso en software de smart TV, lo que convierte dispositivos normales en nodos de salida.
• Inscripción mediante malware. Los teléfonos infectados se reclutan en pools de proxies sin que el propietario llegue a saberlo, el mismo patrón que abastece buena parte del mercado de proxies residenciales.

Los canales segundo y tercero significan que una "IP de proxy móvil" es muy a menudo el teléfono de una persona real, y precisamente por eso la IP en sí nunca puede ser el veredicto.

Proxies móviles vs residenciales vs de centro de datos

El coste sigue a la confianza: los atacantes pagan el sobreprecio de los móviles solo en los objetivos donde las salidas residenciales y de centro de datos ya se detectan: registros de alto valor, lanzamientos limitados, flujos bancarios, verificación de anuncios. Si ves tráfico de proxies móviles, algo de tu sitio vale ese sobreprecio.

Por qué es tan difícil bloquear los proxies móviles

Cuatro propiedades se suman para crear el problema de detección.

El CGNAT convierte la IP en una multitud, no en un usuario. Los operadores colocan a cientos o miles de suscriptores detrás de cada dirección IPv4 pública. Cualquier reputación que asocies a esa IP describe a la multitud, y cualquier bloqueo que apliques afecta a la multitud. Es la misma trampa de falsos positivos que diseccionamos en detectar tráfico anonimizado sin bloquear a clientes reales. En las redes de los operadores, sin embargo, es la condición por defecto, no el caso límite.

La rotación va más rápido que la reputación. Un teléfono que activa y desactiva el modo avión obtiene una nueva IP del operador en segundos. Para cuando una IP llega a una lista de bloqueo, el proxy ya se ha movido y el listado describe ahora al suscriptor inocente que heredó la dirección. Las pruebas desactualizadas son peores que no tener pruebas.

La confianza es real, y ese es el problema. El ASN pertenece de verdad a un gran operador. El tipo de conexión es de verdad mobile. No hay ninguna cabecera falsificada que detectar; todos los atributos a nivel de red son auténticos. Lo único falso es quién conduce la sesión.

La geolocalización se difumina. El tráfico móvil suele salir por pasarelas del operador alejadas del terminal, así que la ubicación a nivel de ciudad es más débil justo donde la querrías para corroborar, una limitación que cuantificamos en qué precisión tiene realmente la geolocalización IP.

Las señales que realmente detectan el tráfico de proxies móviles

Ningún proveedor honesto te dará un mágico is_mobile_proxy: true en una sola consulta. La capa de red por sí sola no puede demostrar que una sesión concreta pasa por un proxy cuando la IP es espacio auténtico de un operador. Lo que la capa de red sí puede hacer es establecer el contexto con precisión, para que las demás señales soporten el peso. Es el mismo enfoque por capas que se usa contra las VPN y los proxies de centro de datos, ajustado al espacio de los operadores:

• Clasifica primero la red. El ASN y el tipo de conexión te dicen que se trata del espacio móvil del operador X, no de un ISP doméstico ni de un centro de datos. Esa única clasificación decide qué reglamento se aplica a todo lo demás.
• Respeta el CGNAT de forma explícita. Un indicador de CGNAT convierte "esta IP hizo algo malo" en "alguien detrás de esta pasarela hizo algo malo", una afirmación mucho más débil que debería limitar la puntuación, no dispararla.
• Pondera las pruebas de abuso por su antigüedad. En IP de operadores que rotan, una coincidencia en una lista de bloqueo del mes pasado es ruido; la actividad en un honeypot de la última hora es señal. Las marcas de tiempo importan más que los listados.
• Cuenta sesiones, no IP. Los proxies móviles burlan las reglas de velocidad basadas en la IP, así que traslada los contadores a lo que sobrevive a la rotación: cuentas, dispositivos, medios de pago y cadencia de comportamiento por sesión.
• Corrobora lo que se afirma. Zona horaria e idioma de la sesión frente a la geolocalización IP, viajes imposibles entre inicios de sesión consecutivos, una IP "móvil" que conduce una huella de navegador de escritorio. Cada discrepancia es pequeña; juntas separan el proxy de la multitud en la que se esconde.

El resultado debe ir a una puntuación ponderada, no a un booleano, el enfoque que hay detrás de los motivos ponderados de la puntuación de riesgo.

Fija la política por acción, no por IP

Como cada IP móvil es compartida, la respuesta importa tanto como la detección. El bloqueo estricto es la única jugada que siempre es un error en los rangos de los operadores: el fraude rota y se va, y tus clientes reales siguen bloqueados.

El patrón viable son los umbrales por acción, el mismo enfoque que elegir un umbral de puntuación de fraude de IP, con el contexto del operador incorporado: deja pasar sin tocarlo el tráfico móvil de bajo riesgo, responde a las puntuaciones elevadas con una verificación reforzada (OTP, confirmación por correo electrónico, un desafío) que un suscriptor real supera en segundos, y reserva el bloqueo para las solicitudes en las que las pruebas de abuso recientes y específicas de la IP se suman a anomalías a nivel de sesión.

Detecta el tráfico de proxies móviles con GeoIPHub

GeoIPHub devuelve el contexto del operador del que dependen las decisiones sobre proxies móviles, en una sola consulta, con las pruebas que respaldan cada veredicto en lugar de un indicador opaco:

Para una IP de operador, las partes relevantes de la respuesta tienen este aspecto. No publicamos direcciones reales de suscriptores, así que esto es una muestra con valores ilustrativos, no una consulta real (el ASN y el MCC/MNC son códigos reservados para documentación y pruebas); los nombres de los campos y la estructura coinciden con la API real:

Los elementos que importan para el tráfico de operadores:

• asn.asn_type, asn.connection_type y detection.is_mobile clasifican la red (operador móvil, banda ancha residencial o centro de datos), y asn.carrier, asn.mcc y asn.mnc identifican al operador, para que tus reglas se activen en el contexto adecuado.
• threat.is_cgnat marca los rangos de NAT de nivel de operador, y scoring.fraud_score está limitada a propósito en ellos. Una pasarela compartida nunca se puntúa como infraestructura maliciosa dedicada, lo que actúa como tu protección integrada contra los falsos positivos.
• threat.is_abusive y threat.threat_types te dicen si los feeds de amenazas actuales incluyen la dirección. En IP de operadores que rotan, trata un listado como contexto para la sesión y no como prueba sobre la persona que está detrás.
• detection.is_vpn, detection.is_proxy, detection.is_tor detectan los casos en los que el tráfico "móvil" sale en realidad a través de un anonimizador conocido (consulta la detección de VPN y proxies verificada mediante sondeo activo).

Prueba cualquier IP en la herramienta gratuita de consulta de IP sin registrarte, o consigue una clave de API gratuita e intégrala con la documentación de la API. Todos los campos se incluyen en todos los planes, incluido el gratuito: 1.500 solicitudes al día, sin muro de pago por campos.

Los proxies móviles ganan frente a las defensas centradas en la IP porque la IP es realmente inocente: pertenece a un operador y a una multitud. Pierden frente a las defensas por capas: clasifica con precisión la red del operador, respeta el CGNAT, pondera las pruebas por su antigüedad, traslada tus contadores a lo que sobrevive a la rotación y responde al riesgo elevado con fricción en lugar de bloqueos. Hazlo y el sobreprecio que pagó el estafador por una salida 4G dejará de comprarle nada.

Preguntas frecuentes

¿Qué es un proxy móvil?

Un proxy móvil enruta el tráfico de internet de otra persona a través de un dispositivo en una red celular real (un smartphone, un módem USB o un rack de tarjetas SIM), de modo que el tráfico sale a la web desde una IP genuina de un operador 4G/5G. Para cualquier sitio web que lo reciba, la solicitud parece la de una persona normal navegando con su teléfono, y precisamente por eso las operaciones de fraude pagan más por los proxies móviles que por los de centro de datos o los residenciales.

¿Por qué los proxies móviles son más difíciles de detectar que los residenciales?

Las redes de los operadores usan NAT de nivel de operador (CGNAT), que coloca a cientos o miles de suscriptores reales detrás de cada IP pública y reasigna las direcciones constantemente. Un proxy residencial al menos corresponde a una línea doméstica; un proxy móvil se esconde dentro de una IP que al mismo tiempo da servicio a una multitud de usuarios de teléfono legítimos. La reputación asociada a la IP caduca en minutos, y bloquearla castiga a todos los que están detrás de la misma pasarela.

¿Se pueden bloquear los proxies móviles por dirección IP?

No de forma segura. Por el CGNAT, bloquear de forma estricta una IP móvil bloquea a todos los suscriptores que comparten esa pasarela, clientes reales incluidos. El enfoque viable es la puntuación de riesgo en lugar del bloqueo: trata las IP de los operadores como infraestructura compartida, pondera las pruebas de abuso recientes por encima de los listados antiguos y responde con una verificación reforzada (correo electrónico, OTP, desafío) en lugar de una denegación cuando la puntuación es elevada.

¿Cuál es la diferencia entre un proxy móvil y el CGNAT?

El CGNAT es la fontanería normal de un operador: el operador móvil comparte una IP pública entre muchos suscriptores porque las direcciones IPv4 escasean. Un proxy móvil es un abuso de esa fontanería: un dispositivo dentro de la red del operador retransmite tráfico de terceros para que herede la cobertura de la IP compartida. Todo proxy móvil se beneficia del CGNAT, pero la inmensa mayoría del tráfico de CGNAT son personas normales con sus teléfonos, y por eso el CGNAT por sí solo nunca debe tratarse como una señal de fraude.

¿Cómo consiguen los estafadores IP de proxies móviles?

Hay tres cadenas de suministro principales: granjas de SIM (racks de módems y tarjetas SIM gestionados deliberadamente como infraestructura de proxies), SDK de proxy integrados en aplicaciones gratuitas que revenden en silencio el ancho de banda de los usuarios (investigadores de seguridad han documentado SDK de este tipo dentro de aplicaciones de consumo e incluso en software de smart TV), y malware que inscribe teléfonos infectados en una red de proxies sin que el propietario lo sepa.

¿Cómo ayuda GeoIPHub a detectar el tráfico de proxies móviles?

GeoIPHub devuelve en una sola consulta el contexto de red del que dependen las decisiones sobre proxies móviles: el ASN y su clasificación, el tipo de conexión (centro de datos, residencial, móvil), un indicador is_cgnat para los rangos de NAT de nivel de operador, el nombre del operador con sus códigos MCC y MNC, los indicadores actuales de los feeds de amenazas y una puntuación de fraude de 0 a 100 que está limitada a propósito en los rangos de CGNAT para que las IP compartidas de los operadores nunca se puntúen como infraestructura maliciosa dedicada.