Prevención del fraude¿Por qué hay tantos proxies residenciales en mi tráfico?
Los proxies residenciales son baratos, abundantes y casi invisibles para las comprobaciones básicas de IP. Por qué inundan tu tráfico, de dónde vienen y qué hacer al respecto.
La mayoría de las herramientas antifraude bloquean razonablemente bien las IP de centros de datos. En cuanto un atacante enruta a través de AWS o DigitalOcean, algo lo detecta. Los proxies residenciales existen precisamente para rodear esa defensa, y son la categoría que a la detección por capas de VPN y proxies más le cuesta ver. Si los ves en tu tráfico a escala, estás viendo cómo es un ataque técnicamente sofisticado cuando apunta a sistemas que solo buscan IP de centros de datos.
Qué es realmente una red de proxies residenciales
Una red de proxies residenciales es un conjunto de conexiones domésticas reales a internet que se alquilan por minutos. Cuando alguien la usa, su tráfico sale por una IP doméstica que un ISP de consumo como Comcast asignó a un hogar real, en lugar de por su IP real. Para cualquier servidor de destino, la petición parece venir de ese hogar.
Las IP del conjunto proceden de una de dos fuentes:
Procedentes de botnets (sin consentimiento): el malware instalado en el dispositivo de una víctima enruta tráfico de terceros a través de su conexión. La víctima no tiene ni idea. La IP de su hogar se vende en un mercado de proxies por 5-15 $ por GB mientras ella paga la factura del ancho de banda. Esto es ilegal en la mayoría de las jurisdicciones.
Procedentes de SDK (con un consentimiento enterrado): un SDK se integra en apps gratuitas: VPN, juegos, utilidades, extensiones de navegador. Los términos del servicio, enterrados entre miles de palabras, incluyen una cláusula que permite al operador usar tu ancho de banda. El usuario lo aceptó, técnicamente, pero no entendió lo que aceptaba. Honeygain, IPRoyal Pawns y servicios similares funcionan así.
Ambas fuentes producen IP de salida funcionalmente idénticas desde el punto de vista de la detección: direcciones reales de ISP residenciales que superan cualquier comprobación ingenua. Eso es lo que las distingue del extremo de centros de datos de la taxonomía completa de tipos de proxy. Las mismas cadenas de suministro se extienden ya a las redes de operadores móviles, donde los proxies móviles alquilan IP de salida 4G/5G sobre las que es todavía más difícil actuar.
Por qué las comprobaciones básicas no los detectan
Entender por qué ves proxies residenciales te ayuda a entender por qué aparecen en la salida de tu filtro antifraude:
| Tipo de comprobación | Por qué no detecta los proxies residenciales |
|---|---|
| Bloqueo de ASN de centros de datos | Los proxies residenciales usan ASN de ISP (Comcast, Vodafone, etc.) |
| Lista de bloqueo de IP | Las IP de salida rotan constantemente; las listas quedan obsoletas en horas |
| Sondeo de protocolo VPN | No hay software de servidor en el dispositivo de salida |
| Análisis de rDNS | Devuelve un patrón de nombre de host típico de un ISP |
| Comprobación de geolocalización | Devuelve una ciudad legítima y un rango de direcciones residenciales |
Los únicos métodos de detección fiables se basan en señales que los proxies residenciales no pueden falsificar: pruebas de comportamiento de que la IP la usan muchas sesiones distintas de forma simultánea o sucesiva (alta reutilización), su aparición en bases de datos de anuncios de redes de proxies y discordancias entre la huella residencial de la IP y el perfil de dispositivo o de comportamiento de la sesión. La mayor parte de eso vive a nivel de sesión. Una consulta de IP por sí sola, incluida la detección de VPN y proxies de GeoIPHub, solo puede inferir de forma aproximada el estado de proxy residencial a partir de los datos del ASN.
La escala de las redes de proxies residenciales
Las cifras son mayores de lo que la mayoría de los equipos antifraude espera:
- Bright Data (la mayor red de proxies residenciales por tamaño declarado) afirma tener más de 72 millones de IP residenciales en su conjunto
- Oxylabs afirma tener más de 100 millones de IP residenciales
- Smartproxy, SOAX y NetNut afirman tener cada uno decenas de millones
Estas son las cifras declaradas por proveedores comerciales legítimos (o semilegítimos). Las redes basadas en botnets no publican el tamaño de su conjunto, pero Lumen/Black Lotus Labs estimó en 2024 más de 190.000 nodos residenciales comprometidos activos en una sola operación de botnet como proxy.
El tamaño total sumando todos los proveedores, comerciales y criminales, probablemente supera los 200 millones de IP. Por eso el volumen en tu tráfico no sorprende una vez que tienes la detección en marcha.
Cómo se ve el tráfico de proxies residenciales en tus logs
Antes de la detección, el tráfico de proxies residenciales es invisible. Después, aparecen patrones:
Alta diversidad de IP en campañas de bots: cada petición de un ataque de credential stuffing llega desde una IP residencial distinta. El volumen por IP se queda en 1-3 peticiones, muy por debajo de los límites de tasa. La señal es el patrón entre sesiones, no el volumen por IP.
Dispersión geográfica: los conjuntos de proxies residenciales abarcan cientos de países. Una campaña que los use mostrará peticiones desde más de 40 países en pocos minutos, un patrón que no encaja con la distribución del tráfico orgánico.
Anomalías de tiempo: las campañas automatizadas a través de proxies residenciales suelen mostrar una cadencia de peticiones demasiado regular (intervalos de menos de un segundo entre inicios de sesión) o demasiado irregular (ráfagas incompatibles con la velocidad de navegación humana).
Discordancia dispositivo/IP: una sesión que dice ser un dispositivo móvil en la zona rural de Iowa llega desde una IP residencial de Comcast en Houston. La geolocalización es coherente con un hogar, pero no con el dispositivo declarado ni con el comportamiento de la sesión.
Comprobar una IP: una consulta real
Antes de etiquetar una dirección como proxy residencial, consúltala. Esta es una respuesta real de la API de GeoIPHub para 104.28.46.99, recortada a los campos que importan para esta pregunta:
curl https://api.geoiphub.com/v1/lookup/104.28.46.99 \
-H "x-api-key: YOUR_API_KEY"
{
"ip": "104.28.46.99",
"asn": {
"asn": 13335,
"org": "CLOUDFLARENET - Cloudflare, Inc.",
"user_type": "consumer_privacy_network"
},
"detection": {
"is_proxy": false,
"is_vpn": false,
"is_relay": true,
"is_residential_proxy": false,
"relay_provider": "iCloud Private Relay",
"anonymity_level": "medium"
},
"scoring": {
"fraud_score": 9,
"recommended_action": "allow",
"detection_methods": ["relay_ip"]
}
}
Esta dirección no es un proxy residencial en absoluto. Es una salida de iCloud Private Relay, lo que significa que la persona que hay detrás es casi con seguridad un cliente de pago de Apple que activó una función de privacidad. La API lo dice directamente (is_relay: true, relay_provider: "iCloud Private Relay") y le asigna una puntuación de 9, con la recomendación de permitirla.
Esa es la trampa de los paneles de "demasiados proxies residenciales". El tráfico de relay, el NAT de operadores móviles y las salidas de proxies reales pueden parecerse si solo compruebas "¿es una IP de consumo desde un lugar inesperado?". Lee detection_methods para ver qué señal se activó y trata is_residential_proxy como lo que es: una inferencia aproximada basada en el ASN, no una observación directa de redes de proxies. Combínala con los patrones de sesión descritos arriba antes de bloquear a nadie.
Cómo responder
En la mayoría de los flujos, la detección de proxies residenciales debería alimentar una puntuación de riesgo en lugar de un bloqueo total. La respuesta recomendada depende del contexto:
| Flujo | Proxy residencial detectado | Acción recomendada |
|---|---|---|
| Checkout de consumo | Solo, sin otras alertas | Desafío suave (verificación por email o SMS) |
| Checkout de consumo | Con historial de abuso o >1 señal | Desafío fuerte o retener para revisión |
| Inicio de sesión en cuenta | Solo | MFA reforzada, no bloquear |
| Inicio de sesión en cuenta | Con viaje imposible o discordancia de dispositivo | Bloquear la sesión, marcar la cuenta |
| Acceso a la API (sin autenticar) | Cualquier detección | Limitar la tasa de forma agresiva |
| Clic en anuncio / envío de formulario | Cualquier detección | Marcar como inválido, no cobrar a la campaña |
El principio clave: un proxy residencial es una señal fuerte, pero rara vez un veredicto completo. Un usuario legítimo preocupado por su privacidad podría usar un servicio de proxy residencial. Un investigador de mercado legítimo lo hace con toda seguridad. Reserva los bloqueos totales para cuando el proxy residencial coincida con otras señales: una puntuación de reutilización alta, historial de abuso, anomalías de comportamiento o varias detecciones en la misma sesión.
Por qué el volumen está aumentando
Que tus herramientas revelen volúmenes altos de proxies residenciales no indica que la detección se esté activando de más. Indica que:
- Los atacantes han pasado de proxies de centros de datos (detectables) a proxies residenciales (más difíciles de detectar)
- Tu detección ha alcanzado el lugar donde está el tráfico de ataque
- El mercado comercial de proxies residenciales ha crecido hasta el punto de que estas redes son lo bastante baratas para abusos de poco valor
Si tus herramientas anteriores mostraban tasas bajas de proxies residenciales, probablemente no los estaban detectando. Nunca estuvieron ausentes. Una detección precisa revela el volumen real de la superficie de ataque.
Los anunciantes son quienes más notan este cambio, porque las mismas IP residenciales alquiladas que derrotan una regla de inicio de sesión también derrotan la lista de exclusión de IP de una plataforma publicitaria. Por eso detectar el fraude de clics por dirección IP tiene que ser un problema de puntuación y no de bloqueo.
Lecturas relacionadas
- Detección de fraude con proxies residenciales: la guía completa: la mecánica de detección en profundidad
- Account takeover y credential stuffing: cómo los proxies residenciales permiten el credential stuffing a escala
- ¿Qué es la reputación de IP?: cómo el historial de proxy residencial alimenta la puntuación de reputación
Preguntas frecuentes
¿Qué es un proxy residencial?
Un proxy residencial enruta el tráfico a través de una dirección IP que pertenece a una conexión doméstica real a internet, asignada a un hogar por un ISP de consumo como Comcast o Vodafone. Como la IP de salida parece la de un usuario residencial normal, esquiva las comprobaciones que bloquean IP de centros de datos. Las redes de proxies residenciales se construyen a partir de dispositivos infectados con malware (secuestrados sin consentimiento) o de apps de proxy peer-to-peer en las que los usuarios ceden ancho de banda a cambio de otra cosa (una VPN 'gratuita', un juego, etc.).
¿Por qué aparecen proxies residenciales en tráfico de apariencia legítima?
Porque están diseñados para parecer legítimos. La IP es una dirección residencial real, así que las comprobaciones de ASN pasan, la geolocalización devuelve un barrio real y las reglas antifraude básicas que bloquean IP de centros de datos no se activan. Los proxies residenciales son la herramienta preferida cuando un atacante necesita saltarse controles basados en IP a escala (credential stuffing, fraude publicitario, scraping, carding), precisamente porque se camuflan.
¿Cómo obtienen sus IP las redes de proxies residenciales?
De dos fuentes principales. Primero, botnets de malware: dispositivos infectados que enrutan en silencio el tráfico del atacante a través de la conexión doméstica de la víctima. El usuario no tiene ni idea. Segundo, redes peer-to-peer consentidas: los operadores de SDK integran funciones de proxy en apps (VPN, herramientas para compartir archivos, juegos) y los usuarios aceptan sin saberlo compartir su ancho de banda a cambio del servicio gratuito. Honeygain, Peer2Profit y servicios similares funcionan así de forma legal; las botnets de malware hacen lo mismo de forma ilegal.
¿Todas las detecciones de proxies residenciales son maliciosas?
No. Existen servicios legítimos de proxy residencial para estudios de mercado, verificación de anuncios y pruebas de accesibilidad. Un pequeño porcentaje del tráfico de proxies residenciales procede de estos usos profesionales. Sin embargo, en productos de consumo como checkouts de ecommerce, inicios de sesión en cuentas financieras y plataformas de contenido, el uso de un proxy residencial casi nunca tiene una explicación legítima por parte de un cliente real. La respuesta correcta es tratarlo como una señal de alto riesgo, no como un bloqueo automático.
¿Por qué no puedo simplemente bloquear todas las IP de proxies residenciales?
Porque las IP rotan constantemente y pertenecen a hogares reales. Bloquear hoy una IP residencial usada como proxy podría bloquear mañana a un cliente real, o incluso al mismo tiempo, ya que el CGNAT y los routers compartidos hacen que varias personas usen la misma IP. El enfoque correcto es combinar la detección de proxies residenciales con otras señales de la sesión y escalar a un desafío (MFA reforzada, verificación por email) en lugar de un bloqueo total en la mayoría de los flujos.
¿En qué se diferencia la detección de proxies residenciales de la detección de VPN?
La detección de VPN es relativamente sencilla: los servidores VPN ejecutan software de servidor, tienen ASN de centros de datos y responden a sondeos de protocolo. Los proxies residenciales son lo contrario: la IP de salida es residencial, el ISP es un proveedor de consumo y no hay software de servidor que sondear. La detección requiere señales de comportamiento: la IP aparece en anuncios de redes de proxies, patrones de tráfico anómalos, alta reutilización en varias sesiones o discordancia entre las características domésticas de la IP y el comportamiento de la sesión.
El equipo detrás de la API de GeoIPHub
Escrito por el equipo de GeoIPHub, las personas que crean la API de inteligencia IP de GeoIPHub y su escáner. Los borradores se preparan con ayuda de IA y el equipo los edita; los ejemplos de la API son consultas reales contra la API en producción, salvo que se indique que son ilustrativos.
Inteligencia IP
