Analizowaliśmy ponad 170 milionów adresów IP proxy w ciągu 90 dni (86M IPv4, 87M IPv6) i odkryliśmy dwa wzorce, które wyjaśniają, dlaczego wykrywanie oszustw jest tak trudne: 
 
 
 46% domowych adresów proxy IP pojawia się jednocześnie w wielu sieciach dostawców (70% w przypadku IPv4, 22% w przypadku IPv6). Ta sama zagrożona infrastruktura, zainfekowane routery, załadowane złośliwym oprogramowaniem urządzenia, aplikacje do udostępniania przepustowości są dostępne za pośrednictwem różnych usług proxy. IP w sieci Bright Data jest często dostępny również za pośrednictwem Smartproxy, Oxylabs i wielu innych dostawców. 60% adresów proxy mieszkalnych jest obserwowanych tylko raz w oknie 90-dniowym (32% dla IPv4, 87% dla IPv6). Te same adresy nie utrzymują się, szybko obracają się między aktywnym użyciem proxy a prawowitym ruchem mieszkalnym, wycofując się szybciej niż systemy reputacji mogą je śledzić. adresy IPv6 wykazują bardzo wysoką intensywność z 87% obserwowanym tylko raz, co demonstruje ich efemeryczny charakter. Dla zespołów oszustw opartych na tradycyjnych danych o reputacji IP, historii nadużyć lub modelach oceny ryzyka, te dwie rzeczywistości tworzą krytyczną ślepą kropkę.Szybka rotacja adresów IP w połączeniu z udostępnioną infrastrukturą między dostawcami oznacza, że blokowanie poszczególnych adresów IP usług proxy mieszkalnych lub poleganie na danych o nadużyciach w historii jest nieskuteczne wobec sieci proxy mieszkalnych. Dlaczego mieszkalne proxy łamią tradycyjne wykrywanie Proxy mieszkalne są zasadniczo różne od proxy centrów danych lub VPN. Przekierowują ruch za pośrednictwem rzeczywistych połączeń ISP konsumentów: zagrożony router twojego sąsiada, laptop studenta z aplikacją do udostępniania przepustowości, inteligentny telewizor zainfekowany złośliwym oprogramowaniem. Wyzwaniem nie jest tylko wykrywanie: jest to rotacja. IP-y proxy mieszkalne nieustannie krążą między trzema stanami: 
 
 
 
 Aktywny jako proxy - Obecnie przekierowuje złośliwy ruch Nieaktywny - tymczasowo usunięty z puli proxy Legalne użytkowanie - powrót do obsługi rzeczywistego właściciela domu Ta rotacja dzieje się szybko: czasami godzinowo, czasami codziennie. ataki routingu IP w godzinach 3:00 mogą być strumieniowe Netflix dla uzasadnionego użytkownika w godzinach 6:00. Problem rotacji: IP szybsze niż reputacja może śledzić W styczniu 2016 r. przeprowadziliśmy analizę Okno 90-dniowe pokazuje, że adresy te obracają się tak szybko, że historyczna reputacja staje się niezawodna. 170 million residential proxy IPs 
 
 
 IPv4 – 7,86 dni IPv6: 1,29 dni Ten krótki okres życia wyjaśnia, dlaczego większość adresów IP proxy mieszkalnych nigdy nie gromadzi znaczącej historii. Innymi słowy, większość adresów IP znika po jednym pojawieniu się. Efekt ten jest w dużej mierze napędzany przez IPv6, podczas gdy IPv4 prezentuje również wysoką wydajność: 60% of residential proxy IPs are observed only once 
 
 
 IPv4: 33% obserwowanych raz w okresie 90 dni. IPv6: 87% obserwowano raz w okresie 90 dni. Nawet gdy IP-y powracają, robią to w sposób niespójny. Tylko 9% IP-ów jest ponownie obserwowanych w ciągu 7 dni: 
 
 
 IPv4: 18% ponownie obserwowanych w ciągu 7 dni IPv6: 0,6% ponownie obserwowane w ciągu 7 dni 78% IP nie utrzymuje się dłużej niż 30 dni od pierwszego obserwacji: 
 
 
 IPv4: 59% wycofuje się poza 30 dni IPv6: 99% wygasło po 30 dniach Tylko 22% powraca po 30 dniach, prawie całkowicie napędzane przez IPv4: 
 
 
 IPv4: 41% powraca po 30 dniach IPv6: 1% powraca po 30 dniach Adresy proxy mieszkalne nie po prostu wyczerpują się, ale krążą. Te same adresy krążą między aktywnym użyciem proxy a śpiączką kilka razy w miesiącu. IP może kierować ataki w poniedziałek, znikać od wtorku do czwartku, pojawiać się ponownie w piątek, a następnie znikać ponownie w następnym tygodniu. What this means: This rotation speed destroys the foundation of IP reputation systems. Tradycyjne modele reputacji IP działają poprzez budowanie profilów historycznych: "Ten IP był związany z oszustwami, więc oznacz go jako wysokiego ryzyka." Ty też jesteś: 
 
 
 Ocenianie normalnych użytkowników jako oszustów, ponieważ odziedziczyli adres IP, który został krótko wykorzystany jako proxy w zeszłym tygodniu Dawanie rzeczywistego ruchu proxy czystego wyniku, ponieważ IP nie ma jeszcze wystarczającej ilości danych historycznych Modele oceniające ryzyko stoją przed tym samym problemem. Zgromadzą zachowanie w czasie, aby obliczyć wyniki. Ale do czasu, gdy IP gromadzi wystarczająco dużo "złego zachowania", aby wywołać wysoki wynik ryzyka, jest już wyłączony z puli proxy i powraca do legalnego użytku mieszkalnego. Problem powielania sprawia, że jest jeszcze gorzej Nasza analiza z stycznia 2026 roku wykazała, że rotacja nie jest jedynym problemem, jest to ponowne wykorzystanie na skalę: 
 
 
 
 
 46% adresów IP proxy mieszkalnych pojawia się w sieciach 2+ dostawców (79 mln z 170 mln adresów IP) 19% pojawia się w 5+ dostawcach (33M IP) 9% pojawia się w 10+ dostawcach (15M IP) Niektóre adresy IP pojawiają się w 98 różnych grupach dostawców (0,3% pojawia się w 50+ dostawcach) Oszuści nie muszą zmieniać infrastruktury: po prostu zmieniają dostawcę, za pośrednictwem którego kupują dostęp. Examples from our December 2025 data: 
 
 
 
 
 196.22.142.127: Obecność w 101 dostawcach (obecny maksymalny) 185.53.76.74: Aktywny w 96 dostawcach 81.169.144.135: Znaleziono w 96 dostawców (jest to jedyny, który oznaczono jako niewłaściwy) 198.143.60.19: Pojawia się w 90 dostawców 196.22.142.127 zł 196.22.142.127 zł 185.53.76.74 zł 185.53.76.74 zł 81.169.144.135 zł 81.169.144.135 zł 198.143 60 19 198.143 60 19 Te bardzo udostępnione adresy IP pojawiają się niemal we wszystkich głównych dostawcach proxy mieszkalnej, w tym netnut, 922proxy, oxylabs, brightdata, smartproxy, lunaproxy i kilkadziesiąt innych. Dlaczego to łamie wykrywanie Ekosystem proxy mieszkalnego jest bardziej połączony niż większość zespołów oszustw. Wielu dostawców nie obsługuje niezależnej infrastruktury, pochodzą z tych samych baz baz: 
 
 
 
 Te same naruszone routery dostępne za pośrednictwem różnych usług Te same aplikacje do udostępniania przepustowości P2P oznaczone biało pod różnymi markami Te same sieci złośliwego oprogramowania zasilają wielu dostawców proxy Sam identyfikator dostawcy nie jest wystarczająco silnym sygnałem. The implication: Jeśli twój system wykrywania flaguje adresy IP „z Bright Data”, ale te same adresy IP są jednocześnie dostępne za pośrednictwem ośmiu innych dostawców, co się stanie, gdy atakujący przełączy usługi? Twój system nie rozpoznaje go jako tej samej infrastruktury. Ten powielanie zanieczyszcza dane o reputacji IP i wypełnia fałszywe negatywy. IP może mieć czyste wyniki reputacji, ponieważ zostało oznaczone tylko na jednym dostawcy, podczas gdy pozostałe siedem dostawców oferujących dostęp do tego samego IP nie zostały jeszcze wykryte. Beyond Residential: Proxy dla urządzeń mobilnych i centrów danych Krajobraz proxy wykracza poza tradycyjne IP mieszkalne. Od grudnia 2025 roku IPinfo śledzi cały spektrum: ruchu drogowego za pośrednictwem sieci komórkowych: prawdziwe smartfony i urządzenia mobilne z aplikacjami proxy. Są one szczególnie trudne, ponieważ IP mobilne są często udostępniane na wielu urządzeniach za pośrednictwem NAT klasy operatorów. IP, które wygląda jak pojedynczy użytkownik mobilny może faktycznie obsługiwać setki urządzeń. Oznaczamy je dodatkiem _mobile (np. soax_mobile), ponieważ wymagają one innej oceny ryzyka niż standardowe proxy mieszkalne. Mobile proxies Używaj infrastruktury hostingowej zamiast dostawców internetowych mieszkalnych. Dostawcy tacy jak Bright Data i Oxylabs oferują bazy proxy centrum danych wraz ze swoimi ofertami mieszkalnymi. Podczas gdy IP centrum danych są teoretycznie łatwiejsze do wykrycia (pochodzą z znanych ASN hostingowych), komercyjne proxy centrum danych od głównych dostawców są nadal szeroko stosowane do oszustw i skrapienia. Od grudnia 2025 roku śledzimy proxy centrum danych od sześciu głównych dostawców: Bright Data, ByteZero, DataImpulse, Decodo, Geonode i Oxylabs oznaczając je suffiksem _datacenter. Datacenter proxies Ta różnica ma znaczenie, ponieważ proxy mobilne i centrum danych mają różne cechy i wymagają różnych strategii wykrywania, ale są one częścią tego samego ekosystemu nadużyć. Co naprawdę działa: kontekst nad bezpośrednią obserwacją Gdy adresy IP w ciągu kilku godzin zmieniają się między stanami aktywnymi i nieaktywnymi, kiedy basen jest odświeżany co tydzień z większością nowych adresów, a te same adresy IP są jednocześnie dostępne przez wielu dostawców, potrzebne jest podejście do wykrywania, które dostosowuje się do tej rzeczywistości. Ponieważ IPinfo subskrybuje usługi proxy mieszkalne i aktywnie łączy się za ich pośrednictwem, możemy zobaczyć wzorce, które wykrywanie oparte na wniosku pomija. Co ważniejsze, możemy dostarczyć sygnały kontekstowe, które pomagają zespołom oszustw podejmować inteligentne decyzje pomimo tej złożoności: - Kiedy ten adres IP został ostatnio zaobserwowany aktywnie kierując się przez sieć proxy? IP ostatnio widziany 30 dni temu jest zasadniczo inny od jednego aktywnego wczoraj. Last seen timestamp - Czy ten adres IP był konsekwentnie w poolach proxy (wysoka wytrwałość = wyższe ryzyko) lub jest on nowo obracany? Percent of active days - Podczas gdy pokazujemy, który dostawca był najczęściej obserwowany, rzeczywista wartość polega na tym, że IP zostało wykryte poprzez bezpośrednie obserwacje w 103 sieciach, a nie wnioski. Provider identification Adresy IP przekierowujące się za pośrednictwem sieci operatorów lub infrastruktury hostingu są oznaczone załącznikami _mobile lub _datacenter, ponieważ te typy proxy zachowują się inaczej i wymagają różnych modeli ryzyka. Mobile and datacenter tagging Te sygnały czasowe mają znaczenie, ponieważ odzwierciedlają aktualny stan, a nie reputację historyczną. Lepszy standard wykrywania proxy mieszkalnego Tradycyjne podejścia: bazy danych o reputacji IP, modele oceniające ryzyko, inferencje behawioralne zostały zbudowane dla świata statycznych proxy centrów danych. Każda organizacja oceniająca dane proxy mieszkaniowe powinna zapytać: 
 
 
 
 
 
 Jak ten IP został wykryty? bezpośrednie obserwacje lub wyciągnięte z wzorów? Jak aktualne są te dane? Codzienne aktualizacje lub nieaktualne listy? Ponieważ ponad połowa adresów IP proxy pojawia się tylko raz nawet w 7-dniowym oknie, wczorajsze dane są już przestarzałe. Jaki kontekst czasowy jest przewidziany? kiedy po raz ostatni pojawił się aktywny? Czy proxy mobilne i proxy centrum danych różnią się?Różne typy wymagają różnej obsługi. Czy można wyjaśnić tę flagę zgodności? jasna metodologia wykrywania ma znaczenie. W IPinfo nasze podejście rozpoczyna się od wykrywania opartego na weryfikacji: subskrypcji usług proxy i bezpośredniego obserwacji, które adresy IP są aktywnie używane. Od stycznia 2026 roku śledzimy 101 dostawców proxy mieszkalnych oraz wielu dostawców centrów danych i proxy mobilnych. Ponieważ gdy domowe adresy IP proxy przełączają się między złośliwym a legalnym użyciem w ciągu kilku godzin, kiedy basen IP odświeża się co tydzień z głównie nowymi adresami, kiedy te same adresy IP są jednocześnie dostępne za pośrednictwem wielu dostawców, a kiedy proxy mobilne i centrum danych dodają dodatkowej złożoności, historyczna reputacja staje się hałasem. Ważne jest, aby wiedzieć, które IP są obecnie aktywnymi zagrożeniami, zrozumieć, jaki rodzaj infrastruktury proxy reprezentują, i mieć kontekst czasowy, aby podejmować inteligentne decyzje ryzyka pomimo złożoności.

Read Documentation

Try Our Free Tools

View All Products and Pricing

Ten dźwięk jest produkowany w oryginalnym języku historii!

Problem proxy mieszkalnej: wspólna infrastruktura i szybka rotacja

About Author

UWAGI

ZAWIEŚĆ TAGI

ARTYKUŁ TEN ZOSTAŁ PREZENTOWANY W

Related Stories

From Desk to HackerNoon: Your Ultimate Guide on How to Publish a Story

Meet Sekurno: HackerNoon Company of the Week

Meet Beldex: HackerNoon Company of the Week

Reach More Readers! BOOST Your Story on HackerNoon

From Desk to HackerNoon: Your Ultimate Guide on How to Publish a Story

Meet Sekurno: HackerNoon Company of the Week

Meet Beldex: HackerNoon Company of the Week

Reach More Readers! BOOST Your Story on HackerNoon

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps