Prevención del fraudeFraude con proxies residenciales en 2026: por qué las IP en las que más confías son ahora las más riesgosas
Las redes de proxies residenciales ya aparecen en los incidentes de seguridad del 94% de las organizaciones. Cómo funciona el fraude, por qué las comprobaciones de IP tradicionales no lo ven y cómo detectarlo.
Los equipos antifraude pasaron una década perfeccionando una regla: no confíes en las IP de centros de datos. Marca los rangos de la nube, bloquea los ASN de hosting y la mayor parte de la automatización desaparece.
Los atacantes se dieron cuenta. Así que se mudaron a la sala de estar de tus clientes.
Un proxy residencial enruta el tráfico de un atacante a través de una conexión a internet doméstica real: un teléfono con una aplicación "gratuita" que lleva dentro un SDK de proxy, un router comprometido o un PC doméstico cuyo dueño vendió su ancho de banda por unos pocos dólares al mes. La solicitud que llega a tu página de inicio de sesión lleva la IP de una familia en un ISP de consumo normal, en la ciudad correcta y con el tipo de red correcto. Todas las señales de confianza tradicionales dicen cliente humano, y por eso las salidas residenciales son la capa más difícil de cómo funciona la detección de VPN y proxies. La sesión que hay detrás es cualquier cosa menos eso.
Las cifras de 2026 son difíciles de ignorar
Esto dejó de ser una técnica de nicho. La investigación reciente se lee como una subida del nivel de amenaza:
- Más de 500.000 millones de consultas al mes. El tráfico DNS hacia dominios de proveedores de proxies residenciales pasó de unos 400.000 millones de consultas mensuales en enero de 2025 a más de 500.000 millones en abril de 2026, un crecimiento de alrededor del 25%, impulsado en buena medida por el scraping relacionado con la IA, según el análisis de Infoblox sobre las redes de sus clientes.
- El 94% de las organizaciones detecta infraestructura de anonimización en sus incidentes. Un estudio del sector de mayo de 2026 concluyó que casi todos los ataques modernos usan VPN o proxies residenciales, mientras que solo el 30% de las organizaciones entendía el problema antes de que un incidente las obligara a hacerlo.
- Los pools se solapan y rotan cada hora. Una sola IP residencial puede estar en varios pools de proxies a la vez y salir de ellos en cuestión de horas, así que cualquier lista de bloqueo estática queda obsoleta en el momento en que se publica. Por eso ninguna lista por sí sola consigue seguir el ritmo. GeoIPHub actualiza sus más de 30 fuentes de forma programada (fuentes de amenazas cada 6 horas, sondeos de VPN y proxies como máximo cada 12 horas), pero ninguna de esas fuentes mapea los pools de proxies residenciales.
- Hasta los Estados los compran. En enero de 2026, el Threat Intelligence Group de Google desarticuló IPIDEA, una de las mayores redes de proxies residenciales, con entre 9 y 11 millones de IP de proxy activas al día utilizadas por más de 550 grupos de amenazas distintos, incluidos actores patrocinados por Estados.
- Tu tráfico "humano" no lo es. GreyNoise informa que casi 4 de cada 10 IP que llegan a sus sensores son direcciones residenciales: equipos domésticos comprometidos haciendo el trabajo de otro.
Por qué las comprobaciones de IP tradicionales no detectan los proxies residenciales
La pila clásica de reputación IP (base de datos de geolocalización, más lista de ASN de centros de datos, más una fuente de listas de bloqueo) falla frente a los proxies residenciales por tres razones estructurales.
1. La heurística de confianza está invertida. La puntuación tradicional trata los rangos de ISP de consumo como de bajo riesgo por definición. Los proxies residenciales convierten justamente esa suposición en un arma: el tráfico del atacante hereda la reputación de Comcast, Vodafone o Deutsche Telekom. La IP es residencial; el indicador no miente. Lo que falta es el segundo dato: que esa IP residencial está en alquiler en este momento.
2. La rotación va más rápido que las listas estáticas. Una IP doméstica puede servir a un pool de proxies durante unas horas y después volver a transportar solo el Netflix de la familia. Las listas de bloqueo construidas con las observaciones de ayer se equivocan en ambas direcciones a la vez: pasan por alto las IP que entraron en un pool esta mañana y siguen castigando a la familia cuyo router salió de él la semana pasada. Con las IP de proxy muy compartidas entre redes y los pools rotando sin parar, cualquier respuesta en forma de lista llega ya obsoleta.
3. El tráfico de IA ha generalizado el problema. Los navegadores con agentes, los pipelines de scraping y los frameworks de automatización ahora salen por IP residenciales por defecto, porque es la forma más barata de parecer humano. El informe de referencia 2026 de HUMAN Security registra cómo el tráfico de agentes de IA se integra cada trimestre más a fondo en los flujos comerciales. Si tu defensa contra bots da por hecho que la automatización llega desde AWS, está auditando la década equivocada. Nuestra guía sobre cómo detectar bots por dirección IP explica lo que sí detecta la capa IP y por qué una IP doméstica alquilada queda fuera de ella.
Cómo es la detección de proxies residenciales cuando las listas no bastan
La detección de proxies residenciales que realmente funciona en 2026 está basada en evidencia y tiene en cuenta la antigüedad de esa evidencia. En lugar de preguntar "¿está esta IP en una lista?", pregunta "¿qué dice ahora mismo la evidencia en vivo sobre esta IP?" Ese es el modelo general. GeoIPHub aplica los tres últimos puntos de la lista, pero no el primero, tal como se documenta en nuestra metodología de detección:
- Mapeo de redes de proxies: seguir en qué pools residenciales participa una IP y, sobre todo, cuándo se vio por última vez en ellos.
- La verdad del ASN y del tipo de conexión: un indicador residencial no significa nada si no se conoce la clasificación y el comportamiento reales de la red.
- Verificación activa: sondeos de protocolo y evidencia de puertos, no etiquetas heredadas, con cada indicador acompañado de sus
detection_methods. - Puntuación corroborada: una señal débil sigue siendo una señal débil; una puntuación de fraude de 0 a 100 solo sube cuando hay evidencia independiente que coincide.
En un sistema que mapea directamente los pools de proxies, las señales decisivas son el indicador de proxy residencial junto con su antigüedad (cuándo se vio por última vez) y su nivel de confianza. Una IP vista en un pool de proxies hace 21 horas con alta confianza merece una respuesta muy distinta a otra cuya única evidencia tiene seis meses. GeoIPHub no observa los pools de proxies por sí mismo: su is_residential_proxy es una inferencia aproximada basada en el ASN, así que en la práctica el peso recae en la evidencia que lo corrobora, descrita arriba, y en tus propias señales de sesión.
Lo que una consulta real puede y no puede decirte
Una consulta real te dice en qué tipo de red está una dirección y qué señales se activaron, pero no puede decirte si una IP doméstica se está alquilando en este momento. No consultamos IP de hogares para los artículos, así que este es el caso honesto más cercano: 104.28.46.99, una salida de iCloud Private Relay en la red de Cloudflare, recortada de una consulta real hecha el 5 de octubre de 2026 (los resultados cambian a medida que se mueven los rangos).
{
"ip": "104.28.46.99",
"asn": {
"asn": 13335,
"org": "CLOUDFLARENET - Cloudflare, Inc.",
"user_type": "consumer_privacy_network",
"connection_type": "unknown"
},
"geo": { "country_code": "AO", "city": "Luanda" },
"detection": {
"is_relay": true,
"relay_provider": "iCloud Private Relay",
"is_proxy": false,
"is_vpn": false,
"is_hosting": false,
"is_residential_proxy": false
},
"scoring": {
"fraud_score": 9,
"recommended_action": "allow",
"detection_methods": ["relay_ip"]
}
}
La consulta identifica el relay (relay_provider, método relay_ip) y le asigna un 9, allow, porque un relay de privacidad oculta a un usuario normal de Apple, no a un atacante. Ese es el tipo de dato en el que los datos IP son buenos: quién opera el rango y para qué sirve. La línea is_residential_proxy: false no es evidencia de nada. Es una inferencia aproximada basada en el ASN, y una IP doméstica alquilada en un ISP de consumo muy probablemente también mostraría false; por eso la pregunta sobre el proxy residencial tiene que responderse con datos de mapeo de pools o con tus propias señales de sesión. Para los scrapers que rotan por IP domésticas, nuestra guía para detectar el web scraping a partir de patrones de solicitudes muestra las señales de orden de páginas y de tiempos que sobreviven a la rotación.
Un plan de respuesta que no castiga a los clientes reales
Como las IP residenciales vuelven a manos de hogares legítimos, lo correcto es una respuesta gradual, no binaria. Las filas de proxies de la tabla suponen una fuente de datos que mapea directamente los pools de proxies. GeoIPHub no es esa fuente: con nuestra API por sí sola, esas filas no tienen ninguna entrada en vivo, así que apóyate en fraud_score y en tus propias señales de sesión.
| Evidencia | Acción recomendada |
|---|---|
fraud_score ≥ 80, proxy visto en las últimas 48 h | Bloquear o retener para revisión manual |
fraud_score 50-79, proxy residencial marcado | Verificación adicional: email/SMS, nueva autenticación del pago |
Solo un indicador de proxy residencial con last_seen antiguo | Permitir, etiquetar la sesión, vigilar la velocidad |
| IP residencial limpia | Permitir; nunca castigar el tipo de red en sí |
Integra la comprobación en los momentos que importan (registro, inicio de sesión, pago, retirada de fondos), donde una sola solicitud GET devuelve el veredicto en milisegundos. Puedes ver exactamente cómo puntúa tu propio tráfico con la prueba gratuita de detección de VPN y proxies, o analizar cualquier dirección con el comprobador de puntuación de fraude IP.
La detección residencial tiene que ser en vivo, no una lista
La infraestructura de fraude barata y evidente de la década de 2010, los rangos de centros de datos y los endpoints de VPN marcados, es ahora el señuelo. La acción real se trasladó a 500.000 millones de consultas mensuales que pasan por IP de salas de estar en las que tu sistema de riesgo aprendió a confiar. La detección no se volvió imposible; se volvió en vivo. Las respuestas estáticas caducan en horas, así que la única defensa sostenible es una inteligencia que vuelve a verificar su evidencia continuamente y te muestra la prueba que hay detrás de cada indicador.
La parte que le toca a GeoIPHub es más estrecha de lo que sugiere el nombre de la categoría. Su detección de VPN y proxies verifica endpoints de VPN y proxy con sondeo activo y enumera en cada consulta los métodos que se activaron, mientras que is_residential_proxy sigue siendo una inferencia aproximada basada en el ASN que deberías corroborar. La respuesta completa documentada es gratuita para 1.500 consultas al día.
Preguntas frecuentes
¿Qué es un proxy residencial?
Un proxy residencial enruta el tráfico de otra persona a través de una conexión a internet doméstica real, normalmente mediante un SDK incluido en aplicaciones gratuitas, un router comprometido o un programa de pago para "compartir ancho de banda". Para tus servidores, la solicitud parece la de un cliente normal en un ISP de consumo, y justamente por eso los estafadores pagan por ella.
¿Por qué las listas de bloqueo no detectan los proxies residenciales?
Las IP de proxies residenciales rotan constantemente. Una IP doméstica puede estar en un pool de proxies durante unas horas y desaparecer al día siguiente, y una gran parte de esas IP se comparte entre varias redes de proxies a la vez. Para cuando se publica una lista de bloqueo estática, la mayoría de sus entradas ya está desactualizada y el pool activo ha rotado. La detección tiene que ser continua y tener en cuenta la antigüedad de la evidencia, no basarse en listas.
¿Puedo bloquear sin más todas las IP marcadas como proxy residencial?
Por lo general, es mejor pedir una verificación que bloquear de forma definitiva. La misma IP doméstica puede llevar a un cliente legítimo una hora después de que termine una sesión de proxy, y los rangos CGNAT colocan a muchos usuarios detrás de una sola dirección. Usa el indicador junto con su antigüedad (last_seen) y la puntuación de riesgo general: verificación adicional con riesgo moderado y bloqueo solo con alta confianza.
¿GeoIPHub detecta proxies residenciales directamente?
No. El campo is_residential_proxy de GeoIPHub es una inferencia aproximada a partir de datos de ASN, no una observación directa de la pertenencia a una red de proxies, así que trátalo como una señal más. Lo que aporta una consulta es la evidencia que lo rodea: la clasificación del ASN y del tipo de conexión, el sondeo activo de protocolos, el historial de abuso y los detection_methods que se activaron, para que veas por qué una IP obtuvo esa puntuación.
¿De verdad los agentes de IA y los scrapers usan proxies residenciales?
Muchísimo. El crecimiento del tráfico de proxies residenciales durante 2025 y 2026 se debe en gran parte al scraping relacionado con la IA y a la automatización con agentes, que necesitan IP de salida con apariencia humana para evitar límites de tasa y bloqueos. Si tus defensas contra bots dan por hecho que la automatización viene de centros de datos, el tráfico de IA desde IP domésticas pasa de largo.
El equipo detrás de la API de GeoIPHub
Escrito por el equipo de GeoIPHub, las personas que crean la API de inteligencia IP de GeoIPHub y su escáner. Los borradores se preparan con ayuda de IA y el equipo los edita; los ejemplos de la API son consultas reales contra la API en producción, salvo que se indique que son ilustrativos.
Inteligencia IP
