为什么我的流量中有这么多住宅代理？

大多数欺诈防护工具对数据中心 IP 的封锁相当有效。攻击者一旦经由 AWS 或 DigitalOcean 转发，总会有东西拦住他们。住宅代理的存在正是为了绕开这道防线，它们也是分层的 VPN 和代理检测最难发现的一类。如果您在流量中大规模看到它们，那么您看到的，就是技术成熟的攻击瞄准只检查数据中心 IP 的系统时的样子。

住宅代理网络究竟是什么

住宅代理网络是一个可按分钟租用的真实家庭网络连接池。有人使用它时，其流量会从 Comcast 等消费级 ISP 分配给某个真实家庭的住宅 IP 出口，而不是他们自己的 IP。对任何目标服务器来说，请求看起来就像来自那个家庭。

池中的 IP 来自两种来源之一：

僵尸网络来源（未经同意）： 安装在受害者设备上的恶意软件，将第三方流量经由受害者的连接转发。受害者对此毫不知情。他们的家庭 IP 在代理市场上以每 GB 5 至 15 美元的价格出售，而带宽费用由他们自己承担。这在大多数司法管辖区是违法的。

SDK 来源（同意被埋没）： 软件 SDK 被嵌入到免费应用中：VPN、游戏、工具、浏览器扩展。数千字的服务条款中埋着一条条款，允许运营者使用您的带宽。从技术上讲用户同意了，但并不理解自己同意了什么。Honeygain、IPRoyal Pawns 以及类似服务就是这样运作的。

从检测角度看，两者产生的出口 IP 在功能上完全相同：真实的住宅 ISP 地址，能通过所有简单的检查。这正是它们与数据中心一端的区别所在，详见代理类型的完整分类。同样的供应链现在已延伸到运营商网络，在那里移动代理出租 4G/5G 出口 IP，更难据以采取行动。

为什么基础检查会漏掉它们

了解您为什么会看到住宅代理，有助于理解它们为什么会出现在欺诈过滤器的输出中：

唯一可靠的检测方法依赖于住宅代理无法伪造的信号：该 IP 被许多不同会话同时或先后使用（高复用）的行为证据、出现在代理网络广告数据库中，以及该 IP 的住宅特征与会话的设备或行为画像不匹配。其中大部分存在于会话层面。单独的 IP 查询，包括 GeoIPHub 的 VPN 和代理检测，只能根据 ASN 数据对住宅代理状态做出粗略推断。

住宅代理网络的规模

这些数字比大多数欺诈团队预想的要大：

• Bright Data（按披露规模计是最大的住宅代理网络）声称其池中有超过 7,200 万个住宅 IP
• Oxylabs 声称拥有 1 亿以上的住宅 IP
• Smartproxy、SOAX 和 NetNut 各自声称拥有数千万个

这些是合法（或半合法）商业服务商披露的数字。僵尸网络来源的网络不会公布其池的规模，但 Lumen/Black Lotus Labs 估计，2024 年在一次僵尸网络即代理的行动中，活跃的被入侵住宅节点超过 190,000 个。

所有服务商（商业的和犯罪的）的总池规模，很可能超过 2 亿个 IP。这就是为什么一旦部署了检测，流量中出现大量住宅代理并不令人意外。

住宅代理流量在日志中的样子

在检测之前，住宅代理流量是不可见的。检测之后，模式就浮现出来：

Bot 攻击活动中的高 IP 多样性： 撞库攻击中的每个请求都来自不同的住宅 IP。每个 IP 的请求量保持在 1 到 3 次，远低于速率限制。信号在于跨会话的模式，而不是每个 IP 的请求量。

地理分散： 住宅代理池遍布数百个国家。使用它们的攻击活动会在几分钟内出现来自 40 多个国家的请求，这种模式与自然流量分布不符。

时间异常： 经由住宅代理的自动化攻击，其请求时间往往过于规律（登录之间间隔不足一秒），或过于不规律（突发模式与人类的浏览速度不符）。

设备与 IP 不匹配： 一个自称是爱荷华州乡村移动设备的会话，却来自休斯敦的 Comcast 住宅 IP。地理定位与家庭一致，但与声称的设备或会话行为不一致。

检查一个 IP：一次真实查询

在把一个地址认定为住宅代理之前，先查询它。下面是 GeoIPHub API 对 104.28.46.99 的真实响应，精简为与此问题相关的字段：

这个地址根本不是住宅代理。它是 iCloud Private Relay 的出口，这意味着背后的人几乎可以肯定是开启了隐私功能的付费 Apple 客户。API 直接说明了这一点（is_relay: true，relay_provider: "iCloud Private Relay"），并给出 9 分，建议放行。

这就是“住宅代理太多”仪表盘的陷阱。如果您只检查“这是不是来自意外地点的消费级 IP”，那么中继流量、移动运营商 NAT 和真正的代理出口看起来可能都一样。请阅读 detection_methods 了解触发的是哪个信号，并如实看待 is_residential_proxy：它是基于 ASN 的粗略推断，而不是对代理网络的直接观察。在封锁任何人之前，请将其与上述会话模式结合起来。

如何应对

在大多数流程中，住宅代理检测应当输入风险评分，而不是直接封锁。建议的响应取决于上下文：

关键原则：住宅代理是强信号，但很少是完整的裁决。 注重隐私的合法用户可能会使用住宅代理服务。合法的市场研究人员肯定会用。只有当住宅代理与其他信号同时出现时，才使用直接封锁：高复用评分、滥用历史、行为异常，或同一会话中出现多项检测结果。

为什么数量在上升

您的工具检测出大量住宅代理，并不表示检测触发过度。它说明的是：

1. 攻击者已从（可检测的）数据中心代理转向（更难检测的）住宅代理
2. 您的检测已经追上了攻击流量所在的位置
3. 商业住宅代理市场已发展到这些网络便宜得足以用于低价值滥用

如果您之前的工具显示住宅代理比例很低，那它很可能根本没有检测到它们。它们从来没有缺席。准确的检测揭示了攻击面的真实规模。

广告主对这一转变感受最为强烈，因为能击败登录规则的那些租用的住宅 IP，同样能击败广告平台的 IP 排除列表。这就是为什么通过 IP 地址检测点击欺诈必须是一个评分问题，而不是封锁问题。

相关阅读

• 住宅代理欺诈检测：完整指南：深入介绍检测机制
• 账户接管与撞库：住宅代理如何让撞库得以大规模实施
• 什么是 IP 信誉？：住宅代理历史如何进入信誉评分

常见问题

什么是住宅代理？

住宅代理将流量经由一个属于真实家庭网络连接的 IP 地址转发，该地址由 Comcast 或 Vodafone 这样的消费级 ISP 分配给某个家庭。由于出口 IP 看起来就像普通的住宅用户，它能绕过封锁数据中心 IP 的检查。住宅代理网络要么由感染恶意软件的设备构建（未经同意被劫持），要么由点对点代理应用构建，用户用带宽换取其他东西（“免费”VPN、游戏等）。

为什么住宅代理会出现在看似合法的流量中？

因为它们被设计成看起来合法。该 IP 是真实的住宅地址，所以 ASN 检查通过，地理定位返回的是真实的街区，封锁数据中心 IP 的基础欺诈规则也不会触发。当攻击者需要大规模绕过基于 IP 的控制（撞库、广告欺诈、爬取、盗刷测试）时，住宅代理是首选工具，正因为它们能融入正常流量。

住宅代理网络是如何获得其 IP 的？

主要有两种来源。第一，恶意软件僵尸网络：被恶意软件感染的设备会悄悄地将攻击者的流量经由受害者的家庭连接转发，用户对此一无所知。第二，经同意的点对点网络：SDK 运营者将代理功能嵌入应用（VPN、文件共享工具、游戏），用户在不知情的情况下同意共享自己的带宽，以换取免费服务。Honeygain、Peer2Profit 及类似服务以合法方式这样运作；恶意软件僵尸网络则以非法方式做同样的事。

所有住宅代理的检测结果都是恶意的吗？

不是。市场调研、广告验证和无障碍测试等场景存在合法的住宅代理服务。住宅代理流量中有一小部分来自这些专业用途。但是，在电商结账、金融账户登录和内容平台等面向消费者的产品场景中，真实客户使用住宅代理几乎没有合理的解释。正确的做法是把它视为高风险信号，而不是自动封锁。

为什么不能直接封锁所有住宅代理 IP？

因为这些 IP 不断轮换，而且属于真实的家庭。封锁今天被用作代理的住宅 IP，明天甚至同一时刻都可能封锁真实客户，因为 CGNAT 和共享路由器意味着多人使用同一个 IP。正确的做法是把住宅代理检测与其他会话信号结合起来，在大多数流程中升级为挑战（升级 MFA、邮箱验证），而不是直接封锁。

住宅代理检测与 VPN 检测有何不同？

VPN 检测相对直接：VPN 服务器运行服务器软件，使用数据中心 ASN，并会响应协议探测。住宅代理则相反：出口 IP 是住宅地址，ISP 是消费级服务商，也没有可以探测的服务器软件。检测需要行为信号：该 IP 出现在代理网络的广告中、异常的流量模式、在多个会话中高度复用，或该 IP 的家庭特征与会话行为不匹配。