Por que há tantos proxies residenciais no meu tráfego?

A maioria das ferramentas antifraude bloqueia IPs de data center razoavelmente bem. No momento em que um atacante passa pela AWS ou pela DigitalOcean, algo o pega. Os proxies residenciais existem especificamente para contornar essa defesa, e são a classe que a detecção de VPN e proxy em camadas tem mais dificuldade de enxergar. Se você está vendo esses proxies no seu tráfego em escala, está vendo como é um ataque tecnicamente sofisticado quando mira sistemas que só checam IPs de data center.

O que uma rede de proxies residenciais realmente é

Uma rede de proxies residenciais é um pool de conexões de internet domésticas reais disponíveis para aluguel por minuto. Quando alguém a usa, o tráfego dessa pessoa sai por um IP doméstico que um ISP residencial, como a Comcast, atribuiu a uma residência real, em vez do IP verdadeiro dela. Para qualquer servidor de destino, a requisição parece ter vindo daquela residência.

Os IPs do pool vêm de uma de duas fontes:

Obtidos de botnets (sem consentimento): Um malware instalado no dispositivo da vítima encaminha tráfego de terceiros pela conexão dela. A vítima não faz ideia. O IP da residência é vendido em um marketplace de proxies por US$ 5 a 15 por GB, enquanto ela paga a conta da banda. Isso é ilegal na maioria das jurisdições.

Obtidos via SDK (com consentimento escondido): Um SDK de software é embutido em apps gratuitos: VPNs, jogos, utilitários, extensões de navegador. Os termos de serviço, escondidos em milhares de palavras, incluem uma cláusula que permite ao operador usar a sua banda. O usuário concordou, tecnicamente, mas não entendeu com o que concordou. Honeygain, IPRoyal Pawns e serviços semelhantes operam assim.

As duas fontes produzem IPs de saída funcionalmente idênticos do ponto de vista da detecção: endereços reais de ISPs residenciais que passam em toda checagem ingênua. É isso que os separa da ponta de data center da taxonomia completa de tipos de proxy. As mesmas cadeias de fornecimento hoje se estendem às redes de operadoras, onde proxies móveis alugam IPs de saída 4G/5G sobre os quais é ainda mais difícil agir.

Por que as checagens básicas não os pegam

Entender por que você vê proxies residenciais ajuda a entender por que eles aparecem na saída do seu filtro de fraudes:

Os únicos métodos de detecção confiáveis envolvem sinais que os proxies residenciais não conseguem falsificar: evidência comportamental de que o IP está sendo usado, ao mesmo tempo ou em sequência, por muitas sessões diferentes (alta reutilização), presença em bases de dados de anúncios de redes de proxy e divergências entre a impressão digital residencial do IP e o perfil de dispositivo ou de comportamento da sessão. A maior parte disso está no nível da sessão. Uma consulta de IP sozinha, incluindo a detecção de VPN e proxy da GeoIPHub, só consegue inferir o status de proxy residencial de forma grosseira a partir de dados de ASN.

A escala das redes de proxies residenciais

Os números são maiores do que a maioria das equipes de fraude imagina:

• A Bright Data (a maior rede de proxies residenciais em tamanho divulgado) afirma ter mais de 72 milhões de IPs residenciais no pool
• A Oxylabs afirma ter mais de 100 milhões de IPs residenciais
• Smartproxy, SOAX e NetNut afirmam ter, cada uma, dezenas de milhões

Esses são os números divulgados por provedores comerciais legítimos (ou semilegítimos). Redes obtidas de botnets não publicam o tamanho dos pools, mas a Lumen/Black Lotus Labs estimou mais de 190.000 nós residenciais comprometidos ativos em uma única operação de botnet como proxy em 2024.

O tamanho total dos pools de todos os provedores, comerciais e criminosos, provavelmente passa de 200 milhões de IPs. É por isso que o volume no seu tráfego não surpreende depois que a detecção está em funcionamento.

Como o tráfego de proxies residenciais aparece nos seus logs

Antes da detecção, o tráfego de proxies residenciais é invisível. Depois dela, surgem padrões:

Alta diversidade de IPs em campanhas de bots: Cada requisição em um ataque de credential stuffing vem de um IP residencial diferente. O volume por IP fica em 1 a 3 requisições, bem abaixo dos limites de taxa. O sinal é o padrão entre sessões, não o volume por IP.

Dispersão geográfica: Os pools de proxies residenciais cobrem centenas de países. Uma campanha que os usa vai mostrar requisições de mais de 40 países em poucos minutos, um padrão que não corresponde à distribuição do tráfego orgânico.

Anomalias de tempo: Campanhas automatizadas por proxies residenciais costumam mostrar um ritmo de requisições regular demais (intervalos de menos de um segundo entre logins) ou irregular demais (rajadas incompatíveis com a velocidade de navegação humana).

Divergência entre dispositivo e IP: Uma sessão que diz ser um dispositivo móvel na zona rural de Iowa vem de um IP residencial da Comcast em Houston. A geolocalização é coerente com uma residência, mas incoerente com o dispositivo alegado ou com o comportamento da sessão.

Como checar um IP: uma consulta real

Antes de rotular um endereço como proxy residencial, consulte-o. Aqui está uma resposta real da API da GeoIPHub para 104.28.46.99, resumida aos campos que importam para esta questão:

Esse endereço não é um proxy residencial. É uma saída do iCloud Private Relay, o que significa que a pessoa por trás dele é, quase certamente, um cliente pagante da Apple que ativou um recurso de privacidade. A API diz isso diretamente (is_relay: true, relay_provider: "iCloud Private Relay") e dá a ele pontuação 9, com a recomendação de permitir.

Essa é a armadilha dos painéis de "proxies residenciais demais". Tráfego de relay, NAT de operadoras móveis e saídas reais de proxy podem parecer iguais se você só verifica "é um IP residencial vindo de um lugar inesperado?". Leia detection_methods para ver qual sinal disparou e trate is_residential_proxy pelo que ele é: uma inferência grosseira, baseada em ASN, não uma observação direta de redes de proxy. Combine-o com os padrões de sessão descritos acima antes de bloquear alguém.

Como responder

Na maioria dos fluxos, a detecção de proxies residenciais deve alimentar uma pontuação de risco em vez de um bloqueio definitivo. A resposta recomendada depende do contexto:

O princípio-chave: proxy residencial é um sinal forte, mas raramente um veredito completo. Um usuário legítimo preocupado com a privacidade pode usar um serviço de proxy residencial. Um pesquisador de mercado legítimo certamente usa. Reserve bloqueios definitivos para quando o proxy residencial aparecer junto com outros sinais: pontuação alta de reutilização, histórico de abuso, anomalias comportamentais ou várias detecções na mesma sessão.

Por que o volume está aumentando

Quando a detecção de proxies residenciais nas suas ferramentas revela volumes altos, isso não é sinal de que a detecção está disparando demais. É sinal de que:

1. Os atacantes migraram de proxies de data center (detectáveis) para proxies residenciais (mais difíceis de detectar)
2. A sua detecção alcançou o lugar onde está o tráfego de ataque
3. O mercado comercial de proxies residenciais cresceu a ponto de essas redes serem baratas o bastante para abusos de baixo valor

Se as suas ferramentas anteriores mostravam taxas baixas de proxies residenciais, provavelmente não os estavam detectando. Eles nunca estiveram ausentes. Uma detecção precisa revela o volume real da superfície de ataque.

Os anunciantes sentem essa mudança com mais força, porque os mesmos IPs residenciais alugados que derrotam uma regra de login também derrotam a lista de exclusão de IPs de uma plataforma de anúncios. É por isso que detectar fraude de cliques pelo endereço IP precisa ser um problema de pontuação, e não de bloqueio.

Leituras relacionadas

• Detecção de fraudes com proxies residenciais: o guia completo: a mecânica de detecção em detalhes
• Tomada de conta e credential stuffing: como os proxies residenciais viabilizam credential stuffing em escala
• O que é reputação de IP?: como o histórico de proxy residencial alimenta a pontuação de reputação

Perguntas frequentes

O que é um proxy residencial?

Um proxy residencial encaminha o tráfego por um endereço IP que pertence a uma conexão de internet doméstica real, atribuído a uma residência por um ISP residencial como Comcast ou Vodafone. Como o IP de saída parece o de um usuário residencial comum, ele contorna checagens que bloqueiam IPs de data center. As redes de proxies residenciais são formadas por dispositivos infectados por malware (sequestrados sem consentimento) ou por apps de proxy peer-to-peer em que os usuários trocam banda por outra coisa (uma VPN 'gratuita', um jogo etc.).

Por que proxies residenciais aparecem em tráfego com cara de legítimo?

Porque eles são projetados para parecer legítimos. O IP é um endereço residencial real, então as checagens de ASN passam, a geolocalização retorna um bairro real e as regras básicas de fraude que bloqueiam IPs de data center não disparam. Proxies residenciais são a ferramenta preferida quando um atacante precisa contornar controles baseados em IP em escala (credential stuffing, fraude de anúncios, scraping, carding), justamente porque se misturam ao tráfego normal.

Como as redes de proxies residenciais obtêm os IPs?

Há duas fontes principais. Primeiro, botnets de malware: dispositivos infectados encaminham silenciosamente o tráfego do atacante pela conexão doméstica da vítima, que não faz ideia disso. Segundo, redes peer-to-peer consentidas: operadores de SDK embutem funcionalidade de proxy em apps (VPNs, ferramentas de compartilhamento de arquivos, jogos) e os usuários concordam, sem perceber, em compartilhar a banda em troca do serviço gratuito. Honeygain, Peer2Profit e serviços semelhantes operam assim legalmente; botnets de malware fazem a mesma coisa ilegalmente.

Toda detecção de proxy residencial é maliciosa?

Não. Existem serviços legítimos de proxy residencial para pesquisa de mercado, verificação de anúncios e testes de acessibilidade. Uma pequena porcentagem do tráfego de proxies residenciais vem desses usos profissionais. No entanto, em contextos de produtos de consumo, como checkouts de e-commerce, logins de contas financeiras e plataformas de conteúdo, o uso de proxy residencial quase não tem explicação legítima vinda de um cliente real. A resposta certa é tratá-lo como um sinal de alto risco, não como um bloqueio automático.

Por que não posso simplesmente bloquear todos os IPs de proxies residenciais?

Porque os IPs mudam o tempo todo e pertencem a residências reais. Bloquear um IP residencial usado como proxy hoje pode bloquear um cliente real amanhã, ou até ao mesmo tempo, já que CGNAT e roteadores compartilhados fazem várias pessoas usarem o mesmo IP. A abordagem certa é combinar a detecção de proxies residenciais com outros sinais da sessão e escalar para um desafio (MFA reforçado, verificação por e-mail) em vez de um bloqueio definitivo na maioria dos fluxos.

Em que a detecção de proxies residenciais difere da detecção de VPN?

A detecção de VPN é relativamente direta: servidores VPN rodam software de servidor, têm ASNs de data center e respondem a sondagens de protocolo. Proxies residenciais são o oposto: o IP de saída é residencial, o ISP é um provedor residencial e não há software de servidor para sondar. A detecção exige sinais comportamentais: o IP aparecendo em anúncios de redes de proxy, padrões de tráfego anormais, alta reutilização em várias sessões ou divergência entre as características residenciais do IP e o comportamento da sessão.