Detecção de Proxy Residencial

Detecção de Proxy Residencial: o IP Está Limpo, a Sessão Não Está

Um proxy residencial roteia a requisição de um atacante por um endereço IP que um provedor de internet atribuiu à casa de alguém. Suas verificações de reputação enxergam um provedor residencial, um ASN residencial e nenhuma correspondência em blocklist, porque tudo isso é verdade. A cside lê a sessão em vez disso: sinais de dispositivo que sobrevivem à rotação de IP, sinais comportamentais com peso maior do que qualquer sinal de rede e um veredito de proxy pontuado por modelo em vez de uma consulta a lista. Para casos de uso de localização e conformidade de idade, veja Detecção de VPN.

De onde os IPs de proxy residencial realmente vêm

01

Adesão informada

Alguém instala conscientemente um software de compartilhamento de banda e é pago ou recompensado por isso. Essa via pode ser legítima quando a divulgação, os controles de segurança e a aplicação da política de uso aceitável são reais. Nem todo proxy residencial é uma botnet.
02

Um SDK embutido em um app gratuito

Um desenvolvedor incorpora um SDK de proxy em um app móvel, de desktop, de VPN ou de streaming, e a conexão do usuário passa a carregar o tráfego de outra pessoa. A divulgação varia de clara a enterrada a inexistente. Em uma smart TV, a tela de consentimento é um texto navegado com um controle remoto.
03

Comprometido antes de sair da caixa

Um dispositivo conectado barato já vem com software com backdoor ou o baixa durante a configuração, de modo que o dono nunca concordou com nada. Comunicados do FBI ligam aparelhos de streaming comprometidos e outros dispositivos conectados baratos à botnet BADBOX 2.0 e aos serviços de proxy residencial que revendem o acesso a eles.
04

Malware depois da compra

Atacantes infectam roteadores, celulares, computadores e dispositivos IoT e instalam software de retransmissão, transformando uma residência em um nó de saída. O Lumen Black Lotus Labs encontrou o AVrecon em mais de 70.000 roteadores domésticos e de pequenos escritórios, revendidos como um serviço de proxy residencial.

COM CSIDE

Sinalize sessões com proxy a partir de sinais de dispositivo e comportamento, para que trocar para um novo IP doméstico não zere o risco
Pontue o uso de proxy e VPN com um modelo de machine learning em vez de depender de uma blocklist estática
Ligue abusos recorrentes a um único dispositivo em muitos IPs de saída, e-mails e contas
Detecte os navegadores anti-detecção e frameworks headless que costumam ficar por trás de um nó de saída residencial
Envie um veredito de sessão em tempo real para a sua stack atual de cadastro, login, checkout e antifraude

O nó é a sala de estar de alguém

Não, não literalmente a sua torradeira. Mas o próprio alerta do FBI lista porta-retratos digitais, dispositivos de streaming para TV, smartphones, tablets e roteadores como hardware de consumo cujos endereços atribuídos pelo provedor acabam sendo usados para rotear o tráfego de outras pessoas. Esses dispositivos são atraentes porque estão sempre ligados, sempre conectados, raramente atualizados e ninguém está olhando para eles.

Roteadores e gateways de banda larga

A maior categoria, com folga. Um perfilamento acadêmico de hosts de proxy concluiu que cerca de dois terços eram roteadores, gateways ou pontos de acesso sem fio.

Smart TVs e aparelhos de streaming

Sempre ligados, sempre em Wi-Fi rápido e sem supervisão. Citados em alertas do FBI e centrais nas descobertas do BADBOX 2.0.

Porta-retratos digitais

Citados pelo FBI como uma categoria de dispositivo que pode ser comprometida e usada como nó de proxy. Pesquisadores encontraram vulnerabilidades e entrega automática de malware em uma plataforma de porta-retratos amplamente vendida; o fabricante já publicou correções.

Câmeras IP e DVRs

Baratos, expostos à internet e raramente atualizados. Câmeras de segurança aparecem repetidamente em botnets de proxy formadas por roteadores e dispositivos IoT.

Celulares e tablets

Normalmente inscritos por um SDK dentro de um app gratuito, e não por comprometimento, e é por isso que o tráfego parece totalmente comum.

PCs com Windows

Inscritos por loaders de malware distribuídos junto com software pirateado. Prova de que nem todo fornecimento de proxy é IoT.

Como a cside detecta uma sessão com proxy

Enriquecimento de rede, depois um modelo

Cada sessão é enriquecida com contexto de IP, geolocalização e ASN, e depois pontuada por um modelo de machine learning que retorna uma probabilidade de proxy e VPN. Uma blocklist é apenas um recurso de reserva, não o mecanismo.

Uma impressão digital de dispositivo que sobrevive ao IP

A cside codifica mais de 90 sinais de navegador e dispositivo em uma impressão digital compacta. Os sinais enraizados no hardware têm o maior peso e os de rede o menor, por design, de modo que trocar o IP de saída quase não altera a identidade.

Comportamento com peso maior do que a rede

Movimento do ponteiro, cadência de cliques, padrão de rolagem, proporção de eventos confiáveis e hooks de automação são os sinais de maior peso que a cside coleta. Um IP alugado não faz nada para que uma sessão automatizada por script pareça humana.

Um dispositivo, muitas residências

As sessões são agrupadas por distância entre impressões digitais, então um único dispositivo que aparece atrás de dezenas de endereços residenciais sem relação entre si se destaca exatamente pelo que é.

Por que a reputação de IP não consegue ver isso

O IP de saída é um endereço residencial real, sem histórico de abuso. A reputação não tem no que se apoiar.

Abordagem	cside	Reputação de IP e blocklists
O que é julgado	A sessão: dispositivo, comportamento e rede em conjunto	O endereço de onde a requisição chegou
IP residencial limpo	Sinalizado pelo dispositivo e pelo comportamento por trás dele	Passa, não há nada para corresponder
Rotação de IP	A impressão digital persiste entre nós de saída	Cada rotação parece um novo visitante
Veredito de proxy	Probabilidade pontuada por modelo em cada sessão	Estar em uma lista que vive atrasada
Redes nunca vistas antes	Pontuadas pelo comportamento, sem precisar de avistamento prévio	Invisíveis até alguém catalogá-las
Abuso recorrente	Um dispositivo ligado a várias contas e endereços	Nenhum vínculo depois que o IP muda
Resposta	Permitir, exigir verificação extra ou bloquear por sessão via SDK	Bloqueio grosseiro, com dano colateral a residências reais

O que isso muda

Bloquear um IP residencial pune a residência que é dona dele, que normalmente é uma vítima e não o atacante.

Como a impressão digital sobrevive à rotação, um operador com centenas de nós de saída ainda se resolve em um número pequeno de dispositivos.

Um sinal de proxy raramente é o veredito inteiro. Ele importa mais quando combinado com reuso de dispositivo, automação e velocidade na mesma sessão.

Os sinais de proxy compartilham a mesma camada first-party usada por fingerprinting, detecção de bots e proteção contra tomada de contas, então é um único script e uma única fonte de verdade.

Fontes revisadas em 29 de julho de 2026: comunicados de serviço público do FBI sobre redes de proxy residencial e dispositivos conectados, e os relatórios sobre AVrecon e ngioweb do Lumen Black Lotus Labs. As categorias de dispositivos e as listas de modelos visados mudam rapidamente, e o fato de um modelo aparecer em uma lista de pesquisa não significa que toda unidade dele esteja comprometida.

FAQ

Questions, answered

01 O que é um proxy residencial?

Um proxy residencial é um intermediário que roteia a requisição de alguém por um endereço IP que um provedor de internet atribuiu a uma residência ou a um pequeno negócio. O site de destino vê o endereço público da residência em vez da rede da pessoa que de fato está fazendo a requisição. O dispositivo que faz a retransmissão é chamado de nó de saída, e o dono dele geralmente é uma pessoa completamente diferente do cliente do proxy.

02 A cside consegue detectar proxies residenciais se o IP tem reputação limpa?

Sim, porque não é o IP que a cside julga. Um IP residencial de saída é genuinamente limpo, então as verificações de reputação passam por design. A cside pontua a sessão em vez disso: um veredito de modelo enriquecido com ASN e geolocalização sobre uso de proxy e VPN, uma impressão digital de dispositivo construída a partir de mais de noventa sinais de navegador e dispositivo, e sinais comportamentais com peso maior do que qualquer sinal de rede. Trocar para um novo endereço residencial não muda o dispositivo nem o comportamento.

03 Isso depende de uma lista de endereços IP de proxy conhecidos?

Não principalmente. A cside mantém uma lista estática de IPs como recurso de reserva, mas o mecanismo de trabalho é um modelo de machine learning que retorna uma probabilidade de proxy e VPN por sessão, combinada com evidências de dispositivo e comportamento. É isso que permite sinalizar nós de saída que nunca apareceram em nenhuma lista, o que importa porque os pools de proxy residencial são inscritos e rotacionados continuamente.

04 A cside consegue me dizer qual dispositivo da casa retransmitiu a requisição?

Não, e nem tenta. A cside determina que uma sessão está passando por proxy e o quanto ela é arriscada. Ela não identifica o aparelho específico dentro da casa de alguém, não nomeia o provedor do proxy e não atribui o tráfego ao dono do dispositivo, que nas vias de comprometimento é uma vítima e não um participante.

05 Todos os proxies residenciais são maliciosos?

Não. Algumas redes são formadas por pessoas que aderiram conscientemente e são remuneradas por isso, e existem usos legítimos como teste de site localizado e verificação de anúncios. Outras inscrevem dispositivos por meio de termos enterrados, SDKs embutidos ou malware puro e simples. O próprio alerta do FBI lista esquemas com consentimento e comprometimento no mesmo conjunto de rotas de fornecimento, e um único provedor pode carregar as duas coisas. É por isso que a cside pontua o risco de uma sessão em vez de tratar toda requisição com proxy como um ataque.

06 Como a cside é implantada?

A cside é implantada como uma única tag de script first-party. Não há proxy, nem proxy reverso, nem dependência de CDN, nem mudança de DNS, e a cside não fica na frente do seu tráfego. Os sinais de sessão começam a fluir assim que o script está no ar, e você pode encaminhar o veredito para a sua stack atual de cadastro, login, checkout e antifraude.

Didn't find what you were looking for?

Agendar uma demo