Prevenção de fraudeFraude com proxies residenciais em 2026: por que os IPs em que você mais confia agora são os mais arriscados
Redes de proxies residenciais já aparecem em 94% dos incidentes de segurança das organizações. Como a fraude funciona, por que as verificações de IP tradicionais não a detectam e como identificá-la.
As equipes de fraude passaram uma década ficando boas em uma regra: não confie em IPs de datacenter. Sinalize as faixas de nuvem, bloqueie os ASNs de hospedagem e a maior parte da automação desaparece.
Os atacantes perceberam. Então se mudaram para a sala de estar dos seus clientes.
Um proxy residencial roteia o tráfego de um atacante por uma conexão de internet doméstica real: um celular rodando um app "gratuito" com um SDK de proxy dentro, um roteador comprometido ou um PC doméstico cujo dono vendeu a própria banda por alguns dólares por mês. A requisição que chega à sua página de login carrega o IP de uma família em um ISP residencial comum, na cidade certa, no tipo de rede certo. Todo sinal de confiança tradicional diz cliente humano, e é por isso que as saídas residenciais são a camada mais difícil de como funciona a detecção de VPN e proxy. A sessão por trás dela é tudo menos isso.
Os números de 2026 são difíceis de ignorar
Isso deixou de ser uma técnica de nicho. As pesquisas recentes parecem um aumento no nível de ameaça:
- Mais de 500 bilhões de consultas por mês. O tráfego DNS para domínios de provedores de proxies residenciais cresceu de cerca de 400 bilhões de consultas mensais em janeiro de 2025 para mais de 500 bilhões em abril de 2026, um crescimento de aproximadamente 25%, impulsionado em grande parte por scraping relacionado a IA, segundo a análise da Infoblox sobre redes de clientes.
- 94% das organizações relatam infraestrutura de anonimização em seus incidentes. Um estudo do setor de maio de 2026 constatou que quase todo ataque moderno usa VPNs ou proxies residenciais, enquanto apenas 30% das organizações entendiam o problema antes que um incidente as obrigasse a isso.
- Os pools se sobrepõem e mudam a cada hora. Um único IP residencial pode estar em vários pools de proxy ao mesmo tempo e sair deles em poucas horas, então qualquer blocklist estática fica desatualizada no momento em que é publicada. É por isso que nenhuma lista isolada consegue acompanhar. O GeoIPHub atualiza suas mais de 30 fontes em um cronograma (feeds de ameaças a cada 6 horas, sondagens de VPN e proxy no máximo a cada 12 horas), mas nenhuma dessas fontes mapeia pools de proxies residenciais.
- Até Estados-nação compram esse serviço. Em janeiro de 2026, o Google Threat Intelligence Group desarticulou a IPIDEA, uma das maiores redes de proxies residenciais, com 9 a 11 milhões de IPs de proxy ativos por dia, usados por mais de 550 grupos de ameaça distintos, incluindo atores patrocinados por Estados.
- Seu tráfego "humano" não é humano. A GreyNoise relata que quase 4 em cada 10 IPs que atingem seus sensores são endereços residenciais, equipamentos domésticos comprometidos fazendo o trabalho de outra pessoa.
Por que as verificações de IP tradicionais não pegam proxies residenciais
A pilha clássica de reputação de IP (base de geolocalização mais lista de ASNs de datacenter mais um feed de blocklist) falha contra proxies residenciais por três motivos estruturais.
1. A heurística de confiança está invertida. A pontuação tradicional trata as faixas de ISPs residenciais como de baixo risco por definição. Os proxies residenciais transformam exatamente essa suposição em arma: o tráfego do atacante herda a reputação da Comcast, da Vodafone ou da Deutsche Telekom. O IP é residencial; o sinalizador não está mentindo. O que falta é o segundo fato: que esse IP residencial está, neste momento, para alugar.
2. A rotatividade é mais rápida que as listas estáticas. Um IP doméstico pode servir a um pool de proxies por algumas horas e depois voltar a carregar apenas a Netflix da família. Blocklists construídas com as observações de ontem erram nas duas direções ao mesmo tempo: deixam passar os IPs que entraram em um pool hoje de manhã e continuam punindo a família cujo roteador saiu dele na semana passada. Com os IPs de proxy amplamente compartilhados entre redes e os pools rotacionando continuamente, qualquer resposta em formato de lista chega desatualizada.
3. O tráfego de IA tornou o problema comum. Navegadores agênticos, pipelines de scraping e frameworks de automação agora saem por IPs residenciais por padrão, porque essa é a forma mais barata de parecer humano. O benchmark 2026 da HUMAN Security acompanha o tráfego de agentes de IA se infiltrando cada vez mais nos fluxos comerciais a cada trimestre. Se a sua defesa contra bots assume que a automação vem da AWS, ela está auditando a década errada. Nosso guia sobre como detectar bots pelo endereço IP mostra o que a camada de IP de fato pega e por que um IP doméstico alugado fica fora dela.
Como é a detecção de proxies residenciais quando as listas não bastam
A detecção de proxies residenciais que realmente funciona em 2026 é baseada em evidências e sensível à recência. Em vez de perguntar "este IP está em uma lista?", ela pergunta "o que as evidências ao vivo dizem sobre este IP agora?" Esse é o modelo geral. O GeoIPHub executa os três últimos itens abaixo, mas não o primeiro, conforme documentado na nossa metodologia de detecção:
- Mapeamento de redes de proxy: rastrear de quais pools residenciais um IP participa e, o mais importante, quando ele foi visto pela última vez neles.
- Verdade sobre ASN e tipo de conexão: um sinalizador residencial não significa nada sem conhecer a classificação e o comportamento reais da rede.
- Verificação ativa: sondagens de protocolo e evidências de portas, não rótulos herdados, com cada sinalizador acompanhado dos seus
detection_methods. - Pontuação corroborada: um sinal fraco continua sendo um sinal fraco; uma pontuação de fraude de 0 a 100 só sobe quando evidências independentes concordam.
Em um sistema que mapeia pools de proxy diretamente, os sinais decisivos são o sinalizador de proxy residencial junto com a recência da última observação e a confiança. Um IP visto em um pool de proxy há 21 horas com alta confiança merece uma resposta muito diferente de um cuja única evidência tem seis meses. O GeoIPHub não observa pools de proxy por conta própria: o seu is_residential_proxy é uma inferência aproximada baseada em ASN, então na prática o peso recai sobre as evidências de corroboração acima e sobre os seus próprios sinais de sessão.
O que uma consulta real pode e não pode dizer
Uma consulta real diz em que tipo de rede um endereço está e quais sinais dispararam, mas não consegue dizer se um IP doméstico está sendo alugado neste momento. Não consultamos IPs domésticos para escrever posts, então aqui está o caso honesto mais próximo: 104.28.46.99, uma saída do iCloud Private Relay na rede da Cloudflare, recortada de uma consulta real feita em 05/10/2026 (os resultados mudam à medida que as faixas se movem).
{
"ip": "104.28.46.99",
"asn": {
"asn": 13335,
"org": "CLOUDFLARENET - Cloudflare, Inc.",
"user_type": "consumer_privacy_network",
"connection_type": "unknown"
},
"geo": { "country_code": "AO", "city": "Luanda" },
"detection": {
"is_relay": true,
"relay_provider": "iCloud Private Relay",
"is_proxy": false,
"is_vpn": false,
"is_hosting": false,
"is_residential_proxy": false
},
"scoring": {
"fraud_score": 9,
"recommended_action": "allow",
"detection_methods": ["relay_ip"]
}
}
A consulta nomeia o relay (relay_provider, método relay_ip) e dá pontuação 9, allow, porque um relay de privacidade esconde um usuário comum da Apple, não um atacante. Esse é o tipo de fato em que os dados de IP são bons: quem opera a faixa e para que ela serve. A linha is_residential_proxy: false não é evidência de nada. É uma inferência aproximada baseada em ASN, e um IP doméstico alugado em um ISP residencial muito provavelmente também mostraria false, e é por isso que a pergunta sobre proxy residencial precisa ser respondida por dados de mapeamento de pools ou pelos seus próprios sinais de sessão. Para scrapers que rotacionam por IPs domésticos, nosso guia sobre como detectar web scraping pelos padrões de requisição mostra os sinais de ordem de páginas e de tempo que sobrevivem à rotação.
Um manual de resposta que não queima clientes reais
Como os IPs residenciais voltam a ser usados por famílias legítimas, a resposta certa é gradual, não binária. As linhas sobre proxy abaixo pressupõem uma fonte de dados que mapeia pools de proxy diretamente. O GeoIPHub não é essa fonte: só com a nossa API, essas linhas não têm entrada ao vivo, então apoie-se no fraud_score e nos seus próprios sinais de sessão.
| Evidência | Ação recomendada |
|---|---|
fraud_score ≥ 80, proxy visto nas últimas 48h | Bloquear ou reter para revisão manual |
fraud_score 50-79, proxy residencial sinalizado | Verificação adicional: confirmação por e-mail/SMS, nova autenticação do pagamento |
Sinalizador de proxy residencial apenas com last_seen antigo | Permitir, marcar a sessão, observar a velocidade |
| IP residencial limpo | Permitir, nunca punir o tipo de rede em si |
Integre a verificação nos momentos que importam (cadastro, login, checkout, saque), onde uma única requisição GET devolve o veredito em milissegundos. Você pode ver exatamente como o seu próprio tráfego é pontuado com o teste gratuito de detecção de VPN e proxy ou passar qualquer endereço pelo verificador de pontuação de fraude de IP.
A detecção residencial precisa ser ao vivo, não baseada em listas
A infraestrutura de fraude barata e óbvia dos anos 2010, faixas de datacenter e endpoints de VPN sinalizados, agora é a isca. A ação real migrou para 500 bilhões de consultas mensais passando por IPs de sala de estar que a sua pilha de risco foi treinada para confiar. A detecção não ficou impossível; ela ficou ao vivo. Respostas estáticas envelhecem em horas, então a única defesa sustentável é uma inteligência que reverifica suas evidências continuamente e mostra a prova por trás de cada sinalizador.
A parte do GeoIPHub nisso é mais estreita do que o nome da categoria sugere. A detecção de VPN e proxy dele verifica endpoints de VPN e proxy com sondagem ativa e lista os métodos que dispararam em cada consulta, enquanto o is_residential_proxy continua sendo uma inferência aproximada baseada em ASN que você deve corroborar. A resposta completa e documentada é gratuita para 1.500 consultas por dia.
Perguntas frequentes
O que é um proxy residencial?
Um proxy residencial roteia o tráfego de outra pessoa por uma conexão de internet doméstica real, geralmente por meio de um SDK embutido em apps gratuitos, de um roteador comprometido ou de um programa pago de "compartilhamento de banda". Para os seus servidores, a requisição parece vir de um cliente comum em um ISP residencial, e é exatamente por isso que os fraudadores pagam por ele.
Por que as blocklists não pegam proxies residenciais?
Os IPs de proxies residenciais mudam o tempo todo. Um IP doméstico pode ficar em um pool de proxies por algumas horas e sumir amanhã, e uma grande parte desses IPs é compartilhada por várias redes de proxy ao mesmo tempo. Quando uma blocklist estática é publicada, a maioria das entradas já está desatualizada e o pool ativo já rotacionou. A detecção precisa ser contínua e levar em conta a recência, não se basear em listas.
Posso simplesmente bloquear todo IP sinalizado como proxy residencial?
Em geral, desafie em vez de bloquear de vez. O mesmo IP doméstico pode carregar um cliente legítimo uma hora depois que uma sessão de proxy termina, e faixas de CGNAT colocam muitos usuários atrás de um único endereço. Use o sinalizador junto com a recência (last_seen) e a pontuação de risco geral: verificação adicional em risco moderado, bloqueio apenas com alta confiança.
O GeoIPHub detecta proxies residenciais diretamente?
Não. O is_residential_proxy do GeoIPHub é uma inferência aproximada a partir de dados de ASN, não uma observação direta da participação em redes de proxy, então trate-o como um dado entre vários. O que uma consulta acrescenta são as evidências ao redor: classificação de ASN e tipo de conexão, sondagem ativa de protocolos, histórico de abuso e os detection_methods que dispararam, para que você veja por que um IP recebeu aquela pontuação.
Agentes de IA e scrapers usam mesmo proxies residenciais?
Usam muito. O crescimento do tráfego de proxies residenciais em 2025 e 2026 é impulsionado em grande parte por scraping relacionado a IA e por automação de agentes que precisa de IPs de saída com cara de humano para evitar limites de taxa e bloqueios. Se as suas defesas contra bots assumem que a automação vem de datacenters, o tráfego de IA em IPs domésticos passa direto por elas.
A equipe por trás da API do GeoIPHub
Escrito pela equipe do GeoIPHub, as pessoas que constroem a API de inteligência de IP do GeoIPHub e seu scanner. Os rascunhos são preparados com auxílio de IA e editados pela equipe; os exemplos de API são consultas reais à API em produção, salvo quando indicados como ilustrativos.
Inteligência de IP
