Como detectar proxies móveis: por que IPs 4G/5G derrotam verificações básicas de IP

Os proxies de datacenter foram a primeira onda e são os mais fáceis de pegar: ASNs de nuvem simplesmente não são de onde os consumidores navegam, como explicamos em o que é um endereço IP de datacenter. Os proxies residenciais foram a segunda onda e hoje inundam o tráfego real justamente porque tomam emprestada a confiança dos endereços de ISPs domésticos.

Os proxies móveis são a terceira onda e aumentam a dificuldade de novo para cada camada da detecção de VPN e proxy. Um IP residencial pelo menos identifica uma linha doméstica. Um IP móvel, graças ao NAT de nível de operadora, identifica uma multidão, e a requisição fraudulenta escondida nessa multidão se parece exatamente com todos os outros que estão nela.

O que é um proxy móvel?

Um proxy móvel é um relay que fica em uma rede celular, e o mais caro dos quatro principais tipos de proxy. O operador controla um dispositivo com cartão SIM (um celular, um modem USB ou um rack com centenas de modems) e vende o direito de rotear tráfego por ele. As requisições do cliente saem para a internet a partir do espaço de IPs da operadora, marcadas com o ASN da operadora e um tipo de conexão mobile.

O produto vendido não é banda. É herança de confiança: a reputação estatística do espaço de endereços de uma grande operadora móvel, onde as equipes antifraude não ousam sair banindo porque cada IP é compartilhado por clientes legítimos.

De onde vêm os IPs

As redes de proxy móvel montam sua oferta de três maneiras, em ordem crescente de gravidade:

• SIM farms. Racks de modems 4G/5G com cartões SIM em rotação, operados deliberadamente como infraestrutura de proxy. O operador força a rotação de IP ativando e desativando o modo avião ou reconectando o dispositivo à rede.
• SDKs de proxy em apps. Apps gratuitos monetizam embutindo um SDK que revende silenciosamente a banda móvel do usuário. Pesquisadores de segurança já documentaram esses SDKs em apps de consumo e até em software de smart TV, transformando dispositivos comuns em nós de saída.
• Recrutamento por malware. Celulares infectados são recrutados para pools de proxy sem que o dono jamais saiba, o mesmo padrão que abastece boa parte do mercado de proxies residenciais.

O segundo e o terceiro canais significam que um "IP de proxy móvel" muitas vezes é o celular de uma pessoa real, e é exatamente por isso que o IP em si nunca pode ser o veredito.

Proxies móveis vs residenciais vs de datacenter

O custo acompanha a confiança: os atacantes só pagam o adicional do proxy móvel nos alvos em que saídas residenciais e de datacenter já são pegas: cadastros de alto valor, lançamentos limitados, fluxos bancários, verificação de anúncios. Se você está vendo tráfego de proxy móvel, algo no seu site vale esse adicional.

Por que proxies móveis são tão difíceis de bloquear

Quatro propriedades se somam e formam o problema de detecção.

O CGNAT transforma o IP em uma multidão, não em um usuário. As operadoras colocam centenas ou milhares de assinantes atrás de cada endereço IPv4 público. Qualquer reputação que você associe a esse IP descreve a multidão, e qualquer bloqueio que você aplique atinge a multidão. É a mesma armadilha de falsos positivos que analisamos em detectar tráfego anonimizado sem bloquear clientes reais. Nas redes de operadoras, porém, essa é a condição padrão, não o caso extremo.

A rotação é mais rápida que a reputação. Um celular que liga e desliga o modo avião recebe um novo IP da operadora em segundos. Quando um IP chega a uma blocklist, o proxy já foi embora e a listagem agora descreve o assinante inocente que herdou o endereço. Evidência desatualizada é pior do que nenhuma evidência.

A confiança é real, e esse é o problema. O ASN realmente pertence a uma grande operadora. O tipo de conexão realmente é mobile. Não há cabeçalho forjado para pegar; cada atributo no nível de rede é autêntico. A única coisa falsa é quem está conduzindo a sessão.

A geolocalização fica imprecisa. O tráfego móvel costuma sair por gateways da operadora longe do aparelho, então a localização no nível de cidade é mais fraca exatamente onde você a quereria para corroboração, uma limitação quantificada em quão precisa é de fato a geolocalização de IP.

Os sinais que realmente pegam tráfego de proxy móvel

Nenhum fornecedor honesto vai entregar um is_mobile_proxy: true mágico em uma única consulta. A camada de rede sozinha não consegue provar que uma sessão específica passa por proxy quando o IP é espaço autêntico de operadora. O que a camada de rede consegue fazer é estabelecer o contexto com precisão, para que os demais sinais carreguem o peso. É a mesma abordagem em camadas usada contra VPNs e proxies de datacenter, ajustada para o espaço de operadoras:

• Classifique a rede primeiro. O ASN e o tipo de conexão dizem que este é espaço móvel da Operadora X, não um ISP doméstico e não um datacenter. Essa única classificação decide qual conjunto de regras se aplica a todo o resto.
• Respeite o CGNAT explicitamente. Uma flag de CGNAT converte "este IP fez algo ruim" em "alguém atrás deste gateway fez algo ruim", uma afirmação muito mais fraca que deve limitar a pontuação, e não fazê-la disparar.
• Pondere a evidência de abuso pela recência. Em IPs de operadora que fazem rotação, uma ocorrência em blocklist do mês passado é ruído; atividade em honeypot da última hora é sinal. Os timestamps importam mais do que as listagens.
• Conte sessões, não IPs. Proxies móveis derrotam regras de velocidade baseadas em IP, então leve os contadores para o que sobrevive à rotação: contas, dispositivos, meios de pagamento e cadência de comportamento por sessão.
• Corrobore a alegação. Fuso horário e idioma da sessão versus a geolocalização do IP, viagem impossível entre logins consecutivos, um IP "móvel" conduzindo um fingerprint de navegador desktop. Cada divergência é pequena; juntas, elas separam o proxy da multidão em que ele se esconde.

O resultado pertence a uma pontuação ponderada, não a um booleano, a abordagem por trás dos motivos ponderados da pontuação de risco.

Defina a política por ação, não por IP

Como todo IP móvel é compartilhado, a resposta importa tanto quanto a detecção. Bloqueios definitivos são a única jogada sempre errada em faixas de operadora: a fraude faz rotação e vai embora, e seus clientes reais continuam bloqueados.

O padrão viável são limites por ação, o mesmo framework de como escolher um limite de pontuação de fraude de IP, com o contexto da operadora incorporado: deixe o tráfego móvel de baixo risco passar sem interferência, responda a pontuações elevadas com verificação adicional (OTP, confirmação por e-mail, um desafio) que um assinante real conclui em segundos e reserve o bloqueio para requisições em que evidências recentes de abuso, específicas daquele IP, se somam a anomalias no nível da sessão.

Detecte tráfego de proxy móvel com o GeoIPHub

O GeoIPHub retorna o contexto de operadora de que as decisões sobre proxies móveis dependem, em uma única consulta, com a evidência por trás de cada veredito em vez de uma flag de caixa-preta:

Para um IP de operadora, as partes relevantes da resposta são assim. Não publicamos endereços reais de assinantes, então este é um exemplo com valores ilustrativos, não uma consulta real (o ASN e o MCC/MNC são códigos reservados para documentação e testes); os nomes dos campos e a estrutura correspondem à API em produção:

As partes que importam para o tráfego de operadoras:

• asn.asn_type, asn.connection_type e detection.is_mobile classificam a rede (operadora móvel, banda larga residencial ou datacenter), e asn.carrier, asn.mcc e asn.mnc identificam a operadora, para que suas regras sejam acionadas no contexto certo.
• threat.is_cgnat marca faixas de NAT de nível de operadora, e a scoring.fraud_score é deliberadamente limitada nelas. Um gateway compartilhado nunca é pontuado como infraestrutura maliciosa dedicada, e essa é a sua proteção embutida contra falsos positivos.
• threat.is_abusive e threat.threat_types dizem se os feeds de ameaças atuais listam o endereço. Em IPs de operadora que fazem rotação, trate uma listagem como contexto para a sessão, e não como prova sobre a pessoa por trás dela.
• detection.is_vpn, detection.is_proxy, detection.is_tor pegam os casos em que o tráfego "móvel" na verdade está saindo por um anonimizador conhecido (veja detecção de VPN e proxy verificada por sondagem ativa).

Teste qualquer IP na ferramenta gratuita de consulta de IP sem se cadastrar, ou obtenha uma chave de API gratuita e faça a integração com a documentação da API. Todos os campos estão disponíveis em todos os planos, incluindo o gratuito: 1.500 requisições por dia, sem campos bloqueados por plano.

Os proxies móveis vencem as defesas centradas em IP porque o IP é genuinamente inocente: ele pertence a uma operadora e a uma multidão. Eles perdem para as defesas em camadas: classifique a rede da operadora com precisão, respeite o CGNAT, pondere a evidência pela recência, leve seus contadores para o que sobrevive à rotação e responda ao risco elevado com fricção em vez de bloqueios. Faça isso e o adicional que o fraudador pagou por uma saída 4G deixa de comprar qualquer coisa.

Perguntas frequentes

O que é um proxy móvel?

Um proxy móvel roteia o tráfego de internet de outra pessoa por um dispositivo em uma rede celular real (um smartphone, um modem USB ou um rack de cartões SIM), de modo que o tráfego sai para a web a partir de um IP genuíno de operadora 4G/5G. Para qualquer site que o recebe, a requisição parece uma pessoa comum navegando no celular, e é exatamente por isso que operações de fraude pagam mais caro por proxies móveis do que por proxies de datacenter ou residenciais.

Por que proxies móveis são mais difíceis de detectar do que proxies residenciais?

Redes de operadoras usam NAT de nível de operadora (CGNAT), que coloca centenas ou milhares de assinantes reais atrás de cada IP público e reatribui endereços o tempo todo. Um proxy residencial pelo menos corresponde a uma linha doméstica; um proxy móvel se esconde dentro de um IP que está atendendo, ao mesmo tempo, uma multidão de usuários legítimos de celular. A reputação associada ao IP perde validade em minutos, e bloqueá-lo pune todos que estão atrás do mesmo gateway.

Dá para bloquear proxies móveis pelo endereço IP?

Não com segurança. Por causa do CGNAT, bloquear de forma definitiva um IP móvel bloqueia todos os assinantes que compartilham aquele gateway, incluindo clientes reais. A abordagem viável é a pontuação de risco em vez do bloqueio: trate IPs de operadora como infraestrutura compartilhada, dê peso a evidências recentes de abuso em vez de listagens antigas e responda com verificação adicional (e-mail, OTP, desafio) em vez de uma negação quando a pontuação estiver elevada.

Qual é a diferença entre um proxy móvel e o CGNAT?

O CGNAT é a infraestrutura normal da operadora: a operadora móvel compartilha um IP público entre muitos assinantes porque os endereços IPv4 são escassos. Um proxy móvel é um abuso dessa infraestrutura: um dispositivo dentro da rede da operadora retransmite tráfego de terceiros para que ele herde a cobertura do IP compartilhado. Todo proxy móvel se beneficia do CGNAT, mas a imensa maioria do tráfego atrás de CGNAT é de pessoas comuns usando o celular, e é por isso que o CGNAT sozinho nunca deve ser tratado como sinal de fraude.

Como os fraudadores conseguem IPs de proxy móvel?

Há três cadeias de fornecimento principais: SIM farms (racks de modems e cartões SIM operados deliberadamente como infraestrutura de proxy), SDKs de proxy embutidos em apps gratuitos que revendem silenciosamente a banda dos usuários (pesquisadores de segurança já documentaram esses SDKs em apps de consumo e até em software de smart TV) e malware que inscreve celulares infectados em uma rede de proxy sem o conhecimento do dono.

Como o GeoIPHub ajuda a detectar tráfego de proxy móvel?

O GeoIPHub retorna, em uma única consulta, o contexto de rede de que as decisões sobre proxies móveis dependem: o ASN e sua classificação, o tipo de conexão (datacenter, residencial, móvel), uma flag is_cgnat para faixas de NAT de nível de operadora, o nome da operadora com seus códigos MCC e MNC, as flags atuais de feeds de ameaças e uma pontuação de fraude de 0 a 100 que é deliberadamente limitada em faixas de CGNAT, para que IPs compartilhados de operadora nunca sejam pontuados como infraestrutura maliciosa dedicada.