Analizamos más de 170 millones de IPs proxy residenciales durante un período de 90 días (86M IPv4, 87M IPv6) y descubrimos dos patrones que explican por qué la detección de fraudes es tan difícil: 
 
 
 El 46% de los IPs proxy residenciales aparecen simultáneamente en varias redes de proveedores (70% para IPv4, 22% para IPv6). La misma infraestructura comprometida, routers infectados, dispositivos cargados de malware, aplicaciones para compartir ancho de banda, es accesible a través de diferentes servicios de proxy. Una IP en la red de Bright Data a menudo también está disponible a través de Smartproxy, Oxylabs y muchos otros proveedores. A lo largo de las ventanas de tiempo, la infraestructura IPv4 muestra una superposición aún mayor entre proveedores, con casi el 70% de las direcciones IPv4 que aparecen en múltiples proveedores. El 60% de los IPs de proxy residencial sólo se observan una vez en una ventana de 90 días (32% para IPv4, 87% para IPv6). Las mismas direcciones no persisten, giran rápidamente entre el uso activo de proxy y el tráfico residencial legítimo, ciclando más rápido de lo que los sistemas de reputación pueden rastrear. Las direcciones IPv6 muestran un nivel extremadamente alto con el 87% observado sólo una vez, demostrando su naturaleza efímera. Incluso durante un período de 90 días, la mayoría de los IPs de proxy residenciales se ven sólo una vez, lo que hace casi imposible para los sistemas tradicionales de reputación construir una historia de abuso significativa. Para los equipos de fraude que confían en datos de reputación IP tradicionales, historial de abuso o modelos de puntuación de riesgo, estas dos realidades crean un punto ciego crítico.La rápida rotación de IPs combinada con la infraestructura compartida entre proveedores significa que bloquear IPs de servicios proxy residenciales individuales o confiar en datos de abuso históricos es ineficaz contra las redes proxy residenciales. Por qué las proxies residenciales rompen la detección tradicional Los proxies residenciales son fundamentalmente diferentes de los proxies de centros de datos o VPN. Ruta el tráfico a través de conexiones de ISP de consumidores reales: el router comprometido de tu vecino, el portátil de un estudiante que ejecuta una aplicación para compartir ancho de banda, una Smart TV infectada con malware. El desafío no es sólo la detección: es la rotación. IPs proxy residenciales circulan constantemente entre tres estados: 
 
 
 
 Activo como proxy - Actualmente enrutando tráfico malicioso Inactivo - Se elimina temporalmente del proxy pool Uso legítimo - Volver al servicio del propietario real Esta rotación ocurre rápidamente: a veces por hora, a veces diariamente.Un ataque de rotación de credenciales de IP a las 3 p.m. podría estar transmitiendo Netflix para un usuario legítimo a las 6 p.m. El problema de la rotación: los IPs churn más rápido de lo que la reputación puede rastrear En enero de 2016 el análisis de Una ventana de 90 días muestra que estas direcciones giran tan rápido que la reputación histórica se vuelve poco fiable.En promedio, una IP de proxy residencial es visible por sólo 4.56 días. 170 million residential proxy IPs 
 
 
 IPv4: 7,86 días IPv6: 1.29 días Esta corta vida útil explica por qué la mayoría de los IPs proxy residenciales nunca acumulan un historial significativo. Durante el período de 90 días. En otras palabras, una mayoría de IPs desaparecen después de una sola aparición. Este efecto es impulsado por IPv6, mientras que IPv4 también presenta un alto nivel: 60% of residential proxy IPs are observed only once 
 
 
 IPv4: 33% observado una vez durante el período de 90 días. IPv6: 87% observado una vez durante el período de 90 días. Incluso cuando los IPs vuelven, lo hacen de forma inconsistente. Solo el 9% de los IPs son reobservados dentro de 7 días: 
 
 
 IPv4: el 18% se repite en 7 días IPv6: 0.6% reobservación en 7 días El 78% de las IPs no persisten más de 30 días desde la primera observación: 
 
 
 IPv4: el 59% se extingue más allá de 30 días IPv6: el 99% se extingue después de 30 días Sólo el 22% vuelve a aparecer después de 30 días, casi totalmente impulsado por IPv4: 
 
 
 IPv4: el 41% vuelve a aparecer después de 30 días IPv6: el 1% vuelve a aparecer después de 30 días Los IPs de proxy residenciales no simplemente se desprenden, sino que se rotan. Los mismos ciclos de direcciones entre el uso activo de proxy y la dormencia varias veces al mes. Un IP podría rotar ataques el lunes, desaparecer el martes-jueves, reaparecer el viernes, luego desaparecer de nuevo la próxima semana. What this means: This rotation speed destroys the foundation of IP reputation systems. Los modelos tradicionales de reputación de IP funcionan mediante la construcción de perfiles históricos: "Esta IP ha sido asociada con el fraude, por lo que la etiquetamos como de alto riesgo." Pero cuando los IPs ciclan entre el uso proxy y legítimo varias veces al mes, ¿qué representa la reputación histórica? Tú también eres: 
 
 
 Clases de usuarios normales como fraudulentos porque heredaron una IP que fue brevemente utilizada como proxy la semana pasada Dando tráfico proxy real una puntuación limpia porque la IP no tiene suficientes datos históricos todavía Los modelos de puntuación de riesgo se enfrentan al mismo problema. Agregan el comportamiento a lo largo del tiempo para calcular las puntuaciones.Pero en el momento en que un IP acumula suficiente "comportamiento malo" para desencadenar una puntuación de riesgo alta, ya está eliminado del pool de proxy y vuelve al uso residencial legítimo.El retraso entre la detección y la puntuación hace que los datos permanezcan estancados. El problema de la superposición lo hace peor Nuestro análisis de enero de 2026 reveló que la rotación no es el único problema, es la reutilización a escala: 
 
 
 
 
 El 46% de las IPs de proxy residenciales aparecen en redes de 2+ proveedores (79M de 170M de IPs) 19% aparecen en 5+ proveedores (33M IPs) 9% aparecen en 10+ proveedores (15M IPs) Algunos IPs aparecen en hasta 98 grupos de proveedores diferentes (0,3% aparecen en más de 50 proveedores) Esto significa que se accede a la misma infraestructura comprometida a través de varios servicios de proxy.Los fraudadores no necesitan cambiar de infraestructura: simplemente cambian por el proveedor a través del cual están adquiriendo acceso. Examples from our December 2025 data: 
 
 
 
 
 196.22.142.127: Presente en 101 proveedores (máximo actual) 185.53.76.74: Activo en 96 proveedores 81.169.144.135: Encontrado en 96 proveedores (este es el único que marcamos como abusivo) 198.143.60.19: Aparece en 90 proveedores 196.22.142.127 de los 196.22.142.127 de los 185.53.76.74 por ciento 185.53.76.74 por ciento 81.169.144.135 de los 81.169.144.135 de los 198.143.60 19 de diciembre 198.143.60 19 de diciembre Estos IPs muy compartidos aparecen en casi todos los principales proveedores de proxy residenciales, incluyendo netnut, 922proxy, oxylabs, brightdata, smartproxy, lunaproxy y docenas de otros. Por qué esto rompe la detección El ecosistema de proxy residencial está más interconectado de lo que la mayoría de los equipos de fraude se dan cuenta.Muchos proveedores no están operando una infraestructura independiente, están proviniendo de los mismos grupos subyacentes: 
 
 
 
 Los mismos routers comprometidos accedidos a través de diferentes servicios Las mismas aplicaciones de intercambio de ancho de banda P2P etiquetadas en blanco bajo marcas diferentes Las mismas redes de malware alimentan a varios proveedores de proxy La identidad del proveedor por sí sola no es una señal lo suficientemente fuerte. The implication: Si su sistema de detección marca IPs "de Bright Data" pero las mismas IPs están disponibles simultáneamente a través de ocho otros proveedores, ¿qué ocurre cuando un atacante cambia de servicio? Una IP puede tener una puntuación de reputación limpia porque sólo ha sido marcada en un proveedor, mientras que los otros siete proveedores que ofrecen acceso a la misma IP aún no se han detectado. Más allá de la residencia: Proxies móviles y de centros de datos El paisaje proxy se extiende más allá de las IP residenciales tradicionales. A partir de diciembre de 2025, IPinfo rastrea el espectro completo: tráfico de ruta a través de redes celulares: teléfonos inteligentes reales y dispositivos móviles que ejecutan aplicaciones de proxy. Estos son particularmente desafiantes porque las IP móviles se comparten a menudo en muchos dispositivos a través de NAT de nivel de operador. Una IP que parece un único usuario móvil podría realmente servir a cientos de dispositivos. los etiquetamos con un sufixo _mobile (por ejemplo, soax_mobile) porque requieren una evaluación de riesgo diferente que los proxy residenciales estándar. Mobile proxies Utilizar la infraestructura de alojamiento en lugar de los ISPs residenciales. Proveedores como Bright Data y Oxylabs ofrecen piscinas de proxy de centros de datos junto con sus ofertas residenciales. Mientras que los IPs de centros de datos son teóricamente más fáciles de detectar (provienen de ASNs de alojamiento conocidos), los proxies de centros de datos comerciales de los principales proveedores siguen siendo ampliamente utilizados para el fraude y el rascado. A partir de diciembre de 2025, seguimos los proxies de centros de datos de seis proveedores principales: Bright Data, ByteZero, DataImpulse, Decodo, Geonode y Oxylabs etiquetándolos con un sufixo de centro de datos. Datacenter proxies Esta distinción es importante porque los proxies móviles y de centros de datos tienen características diferentes y requieren diferentes estrategias de detección, pero todos forman parte del mismo ecosistema de abuso. Lo que realmente funciona: Contexto sobre la observación directa Cuando los IPs circulan entre estados activos y dormidos dentro de horas, cuando el pool se refresca semanalmente con en su mayoría nuevas direcciones, y cuando los mismos IPs son accesibles a través de múltiples proveedores simultáneamente, necesita un enfoque de detección que se adapte a esta realidad. Debido a que IPinfo se suscribe a los servicios proxy residenciales y se conecta activamente a través de ellos, podemos ver patrones que la detección basada en inferencia pierde. Más importante aún, podemos proporcionar las señales contextuales que ayudan a los equipos de fraude a tomar decisiones inteligentes a pesar de esta complejidad: - ¿Cuándo fue esta IP la última vez que se observó activamente en rotación a través de una red proxy?Una IP vista por última vez hace 30 días es fundamentalmente diferente de una activa ayer. Last seen timestamp - ¿Esta IP ha estado consistentemente en piscinas de proxy (alta persistencia = mayor riesgo) o se ha rodado recientemente? Percent of active days - Si bien mostramos qué proveedor fue observado con más frecuencia, el valor real es saber que el IP fue detectado a través de la observación directa en 103 redes, no de inferencia. Provider identification Los IPs que se enrutan a través de redes de proveedores o infraestructuras de alojamiento se etiquetan con sufixos _mobile o _datacenter, ya que estos tipos de proxy se comportan de manera diferente y requieren diferentes modelos de riesgo. Mobile and datacenter tagging Estas señales temporales son importantes porque reflejan el estado actual, no la reputación histórica. Un mejor estándar para la detección de proxy residencial Los enfoques tradicionales: las bases de datos de reputación de IP, los modelos de puntuación de riesgo, la inferencia comportamental se construyeron para un mundo de proxies estáticos de centros de datos. Cualquier organización que evalúe los datos de proxy residencial debe preguntar: 
 
 
 
 
 
 ¿Cómo se detectó esta IP? observación directa o inferida a partir de patrones? ¿Qué tan actuales son estos datos? actualizaciones diarias o listas permanentes? Con más de la mitad de las IPs proxy que aparecen sólo una vez incluso en una ventana de 7 días, los datos de ayer ya están desactualizados. ¿Qué contexto temporal se proporciona? ¿Cuándo fue visto por última vez activo? ¿Cuán persistente ha aparecido? ¿Se distinguen los proxies móviles y de centro de datos?Los diferentes tipos requieren un manejo diferente. ¿Puede explicar esta bandera al cumplimiento?Metodología de detección clara importa. En IPinfo, nuestro enfoque comienza con la detección basada en la verificación: suscribirse a los servicios de proxy y observar directamente qué IPs están en uso activo. A partir de enero de 2026, seguimos a 101 proveedores de proxy residenciales y múltiples proveedores de datacenter y proxy móviles. Esta observación directa a través de 147 millones de IPs es lo que nos permitió descubrir la superposición entre proveedores y los patrones diarios rápidos y es lo que nos permite proporcionar un contexto temporal que se adapte a esta realidad. Porque cuando los IPs proxy residenciales alternan entre el uso malicioso y el legítimo dentro de horas, cuando el pool de IP se actualiza semanalmente con en su mayoría nuevas direcciones, cuando los mismos IPs son accesibles simultáneamente a través de múltiples proveedores, y cuando los proxies móviles y de centros de datos añaden complejidad adicional, la reputación histórica se convierte en ruido. Lo que importa es saber qué IPs son amenazas activas en este momento, entender qué tipo de infraestructura de proxy representan y tener el contexto temporal para tomar decisiones de riesgo inteligentes a pesar de la complejidad.

Read Documentation

Try Our Free Tools

View All Products and Pricing

Este audio es producido en el idioma original de la historia!

El problema del proxy residencial: infraestructura compartida y rotación rápida

About Author

COMENTARIOS

ETIQUETAS

ESTE ARTÍCULO FUE PRESENTADO EN

Related Stories

Nómadas digitales escuchen: lo que necesitan saber sobre la nueva visa DTV de Tailandia

Navegando por las aguas: desarrollo de aplicaciones RAG de nivel de producción con lagos de datos

¿Quieres ganar un concurso de redacción de HackerNoon? Esto es lo que recomiendan los ganadores del concurso #crypto-api

State of the Noonion: A New Era For Brands and Writers

Nómadas digitales escuchen: lo que necesitan saber sobre la nueva visa DTV de Tailandia

Navegando por las aguas: desarrollo de aplicaciones RAG de nivel de producción con lagos de datos

¿Quieres ganar un concurso de redacción de HackerNoon? Esto es lo que recomiendan los ganadores del concurso #crypto-api

State of the Noonion: A New Era For Brands and Writers

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps