Comment détecter les proxys mobiles : pourquoi les IP 4G/5G déjouent les vérifications IP basiques

Les proxys datacenter ont constitué la première vague, et ce sont les plus faciles à repérer : les ASN cloud ne sont tout simplement pas l'endroit d'où les consommateurs naviguent, comme nous l'avons expliqué dans ce qu'est une adresse IP de datacenter. Les proxys résidentiels ont formé la deuxième vague, et ils inondent désormais le trafic réel précisément parce qu'ils empruntent la confiance accordée aux adresses des FAI grand public.

Les proxys mobiles sont la troisième vague, et ils relèvent encore la difficulté pour chaque couche de la détection de VPN et de proxy. Une IP résidentielle identifie au moins une ligne domestique. Une IP mobile, à cause du NAT d'opérateur, identifie une foule, et la requête frauduleuse qui s'y cache ressemble exactement à toutes les autres.

Qu'est-ce qu'un proxy mobile ?

Un proxy mobile est un relais installé sur un réseau cellulaire, et le plus coûteux des quatre grands types de proxy. L'exploitant contrôle un appareil équipé d'une carte SIM (un téléphone, un modem USB ou une baie de plusieurs centaines de modems) et vend le droit de faire transiter du trafic par cet appareil. Les requêtes du client sortent sur Internet depuis l'espace d'adressage de l'opérateur, marquées de l'ASN de l'opérateur et d'un type de connexion mobile.

Le produit vendu n'est pas de la bande passante. C'est un héritage de confiance : la réputation statistique de l'espace d'adressage d'un grand opérateur mobile, sur lequel les équipes antifraude n'osent pas abattre le marteau du bannissement, puisque chaque IP est partagée par des clients légitimes.

D'où viennent les IP

Les réseaux de proxys mobiles s'approvisionnent de trois façons, par ordre croissant de noirceur :

• Les fermes de SIM. Des baies de modems 4G/5G avec des cartes SIM en rotation, exploitées délibérément comme infrastructure de proxy. L'exploitant force la rotation des IP en activant et désactivant le mode avion ou en se reconnectant au réseau.
• Les SDK de proxy dans les applications. Des applications gratuites se monétisent en intégrant un SDK qui revend discrètement la bande passante mobile de l'utilisateur. Des chercheurs en sécurité ont documenté ces SDK livrés dans des applications grand public et même dans des logiciels de téléviseurs connectés, transformant des appareils ordinaires en nœuds de sortie.
• L'enrôlement par logiciel malveillant. Des téléphones infectés sont enrôlés de force dans des pools de proxys sans que leur propriétaire le sache jamais, selon le même schéma qui alimente une grande partie du marché des proxys résidentiels.

Les deuxième et troisième canaux signifient qu'une « IP de proxy mobile » est très souvent le téléphone d'une personne réelle, et c'est exactement pour cela que l'IP elle-même ne peut jamais constituer le verdict.

Proxys mobiles, résidentiels et datacenter

Le coût suit la confiance : les attaquants ne paient le supplément mobile que pour les cibles où les sorties résidentielles et datacenter se font déjà repérer : inscriptions à forte valeur, ventes en édition limitée, parcours bancaires, vérification publicitaire. Si vous observez du trafic de proxys mobiles, quelque chose sur votre site vaut ce supplément.

Pourquoi les proxys mobiles sont si difficiles à bloquer

Quatre propriétés se cumulent pour créer le problème de détection.

Le CGNAT fait de l'IP une foule, pas un utilisateur. Les opérateurs placent des centaines ou des milliers d'abonnés derrière chaque adresse IPv4 publique. Toute réputation attachée à cette IP décrit la foule, et tout blocage appliqué frappe la foule. C'est le même piège à faux positifs que nous avons disséqué dans détecter le trafic anonymisé sans bloquer de vrais clients. Sur les réseaux d'opérateurs, toutefois, c'est la situation par défaut, pas un cas limite.

La rotation va plus vite que la réputation. Un téléphone qui active et désactive le mode avion obtient une nouvelle IP d'opérateur en quelques secondes. Le temps qu'une IP arrive sur une liste de blocage, le proxy est passé à autre chose, et l'inscription décrit désormais l'abonné innocent qui a hérité de l'adresse. Une preuve périmée est pire qu'une absence de preuve.

La confiance est réelle, et c'est bien là le problème. L'ASN appartient réellement à un grand opérateur. Le type de connexion est réellement mobile. Il n'y a aucun en-tête falsifié à repérer ; chaque attribut au niveau réseau est authentique. Seule l'identité de celui qui pilote la session est fausse.

La géolocalisation devient floue. Le trafic mobile sort souvent par des passerelles d'opérateur éloignées du terminal, si bien que la localisation à l'échelle de la ville est la plus faible précisément là où vous en auriez besoin pour corroborer, une limite chiffrée dans la précision réelle de la géolocalisation IP.

Les signaux qui repèrent vraiment le trafic de proxys mobiles

Aucun fournisseur honnête ne vous donnera un is_mobile_proxy: true magique sur une seule requête. La couche réseau seule ne peut pas prouver qu'une session donnée passe par un proxy quand l'IP appartient authentiquement à un opérateur. Ce que la couche réseau peut faire, c'est établir le contexte avec précision, pour que les autres signaux portent le poids de la décision. C'est la même approche en couches que celle utilisée contre les VPN et les proxys datacenter, ajustée à l'espace d'adressage des opérateurs :

• Classez d'abord le réseau. L'ASN et le type de connexion vous indiquent qu'il s'agit de l'espace mobile de l'opérateur X, et non d'un FAI grand public ni d'un datacenter. Cette seule classification détermine quelles règles s'appliquent à tout le reste.
• Tenez compte explicitement du CGNAT. Un indicateur CGNAT transforme « cette IP a fait quelque chose de mal » en « quelqu'un derrière cette passerelle a fait quelque chose de mal », une affirmation bien plus faible qui doit plafonner le score, pas le faire grimper.
• Pondérez les preuves d'abus selon leur récence. Sur des IP d'opérateur en rotation, une inscription sur liste de blocage datant du mois dernier est du bruit ; une activité sur un honeypot dans l'heure écoulée est un signal. Les horodatages comptent davantage que les inscriptions.
• Comptez les sessions, pas les IP. Les proxys mobiles neutralisent les règles de vélocité indexées sur l'IP ; déplacez donc les compteurs vers ce qui survit à la rotation : comptes, appareils, moyens de paiement et rythme comportemental par session.
• Corroborez ce qui est affirmé. Fuseau horaire et langue de la session comparés à la géolocalisation IP, déplacements impossibles entre deux connexions consécutives, une IP « mobile » qui pilote une empreinte de navigateur de bureau. Chaque incohérence est minime ; ensemble, elles distinguent le proxy de la foule dans laquelle il se cache.

Le résultat a sa place dans un score pondéré, pas dans un booléen, l'approche qui sous-tend les raisons pondérées d'un score de risque.

Fixez la politique par action, pas par IP

Comme chaque IP mobile est partagée, la réponse compte autant que la détection. Le blocage pur et simple est le seul choix toujours mauvais sur les plages d'opérateurs : la fraude change d'IP et vos vrais clients restent bloqués.

Le schéma viable repose sur des seuils par action, le même cadre que pour choisir un seuil de score de fraude IP, en y intégrant le contexte de l'opérateur : laissez passer sans intervenir le trafic mobile à faible risque, répondez aux scores élevés par une vérification renforcée (OTP, confirmation par e-mail, défi) qu'un véritable abonné franchit en quelques secondes, et réservez le blocage aux requêtes où des preuves d'abus récentes et propres à l'IP se cumulent avec des anomalies au niveau de la session.

Détecter le trafic de proxys mobiles avec GeoIPHub

GeoIPHub renvoie, en une seule requête, le contexte d'opérateur dont dépendent les décisions sur les proxys mobiles, avec les éléments qui justifient chaque verdict plutôt qu'un indicateur opaque :

Pour une IP d'opérateur, les parties pertinentes de la réponse ressemblent à ceci. Nous ne publions pas de vraies adresses d'abonnés ; il s'agit donc d'un exemple avec des valeurs illustratives, pas d'une vraie requête (l'ASN et les codes MCC/MNC sont des codes réservés à la documentation et aux tests) ; les noms de champs et la structure correspondent à l'API en production :

Les éléments qui comptent pour le trafic d'opérateur :

• asn.asn_type, asn.connection_type et detection.is_mobile classent le réseau (opérateur mobile, haut débit résidentiel ou datacenter), et asn.carrier, asn.mcc et asn.mnc identifient l'opérateur, pour que vos règles se déclenchent dans le bon contexte.
• threat.is_cgnat signale les plages de NAT d'opérateur, et le scoring.fraud_score y est volontairement plafonné. Une passerelle partagée n'est jamais notée comme une infrastructure malveillante dédiée, ce qui constitue votre garde-fou intégré contre les faux positifs.
• threat.is_abusive et threat.threat_types vous indiquent si les flux de menaces actuels répertorient l'adresse. Sur des IP d'opérateur en rotation, considérez une inscription comme un élément de contexte pour la session plutôt que comme une preuve concernant la personne qui se trouve derrière.
• detection.is_vpn, detection.is_proxy, detection.is_tor repèrent les cas où un trafic « mobile » sort en réalité par un anonymiseur connu (voir la détection de VPN et de proxy vérifiée par sondage actif).

Testez n'importe quelle IP dans l'outil gratuit de recherche d'IP sans inscription, ou obtenez une clé API gratuite et intégrez-la grâce à la documentation de l'API. Chaque champ est disponible dans toutes les offres, y compris l'offre gratuite : 1 500 requêtes par jour, aucun champ réservé aux offres payantes.

Les proxys mobiles l'emportent face aux défenses centrées sur l'IP parce que l'IP est réellement innocente : elle appartient à un opérateur et à une foule. Ils perdent face aux défenses en couches : classez précisément le réseau de l'opérateur, tenez compte du CGNAT, pondérez les preuves selon leur récence, déplacez vos compteurs vers ce qui survit à la rotation, et répondez à un risque élevé par de la friction plutôt que par des blocages. Faites-le, et le supplément que le fraudeur a payé pour une sortie 4G ne lui rapporte plus rien.

Questions fréquentes

Qu'est-ce qu'un proxy mobile ?

Un proxy mobile fait transiter le trafic Internet d'un tiers par un appareil connecté à un vrai réseau cellulaire (un smartphone, une clé USB ou une baie de cartes SIM), de sorte que ce trafic sort sur le Web depuis une véritable IP d'opérateur 4G/5G. Pour tout site qui la reçoit, la requête ressemble à celle d'une personne ordinaire qui navigue sur son téléphone, et c'est précisément pour cela que les réseaux de fraude paient plus cher des proxys mobiles que des proxys datacenter ou résidentiels.

Pourquoi les proxys mobiles sont-ils plus difficiles à détecter que les proxys résidentiels ?

Les réseaux d'opérateurs utilisent le NAT à l'échelle de l'opérateur (CGNAT), qui place des centaines ou des milliers d'abonnés réels derrière chaque IP publique et réattribue les adresses en permanence. Un proxy résidentiel correspond au moins à une seule ligne domestique ; un proxy mobile se cache dans une IP qui sert simultanément une foule d'utilisateurs de téléphones légitimes. La réputation attachée à l'IP se périme en quelques minutes, et la bloquer pénalise tous ceux qui se trouvent derrière la même passerelle.

Peut-on bloquer les proxys mobiles par adresse IP ?

Pas sans risque. À cause du CGNAT, bloquer purement et simplement une IP mobile bloque tous les abonnés qui partagent cette passerelle, y compris de vrais clients. L'approche viable consiste à évaluer le risque plutôt qu'à bloquer : traiter les IP d'opérateurs comme une infrastructure partagée, privilégier les preuves d'abus récentes plutôt que les anciennes inscriptions sur liste, et répondre par une vérification renforcée (e-mail, OTP, défi) plutôt que par un refus lorsque le score est élevé.

Quelle est la différence entre un proxy mobile et le CGNAT ?

Le CGNAT est la tuyauterie normale d'un opérateur : l'opérateur mobile partage une IP publique entre de nombreux abonnés parce que les adresses IPv4 sont rares. Un proxy mobile est un détournement de cette tuyauterie : un appareil situé dans le réseau de l'opérateur relaie le trafic de tiers pour qu'il profite de la couverture de l'IP partagée. Tout proxy mobile bénéficie du CGNAT, mais l'écrasante majorité du trafic CGNAT provient de gens ordinaires sur leur téléphone, c'est pourquoi le CGNAT seul ne doit jamais être traité comme un signal de fraude.

Comment les fraudeurs obtiennent-ils des IP de proxy mobile ?

Trois grandes chaînes d'approvisionnement : les fermes de SIM (des baies de modems et de cartes SIM exploitées délibérément comme infrastructure de proxy), les SDK de proxy intégrés à des applications gratuites qui revendent discrètement la bande passante des utilisateurs (des chercheurs en sécurité ont documenté de tels SDK livrés dans des applications grand public et même dans des logiciels de téléviseurs connectés), et les logiciels malveillants qui enrôlent des téléphones infectés dans un réseau de proxys à l'insu de leur propriétaire.

Comment GeoIPHub aide-t-il à détecter le trafic de proxys mobiles ?

GeoIPHub renvoie en une seule requête le contexte réseau dont dépendent les décisions sur les proxys mobiles : l'ASN et sa classification, le type de connexion (datacenter, résidentiel, mobile), un indicateur is_cgnat pour les plages de NAT d'opérateur, le nom de l'opérateur avec ses codes MCC et MNC, les indicateurs actuels des flux de menaces, et un score de fraude de 0 à 100 volontairement plafonné sur les plages CGNAT, afin que les IP d'opérateurs partagées ne soient jamais notées comme une infrastructure malveillante dédiée.