Proxy móvil
Un proxy móvil redirige el tráfico de Internet a través de un dispositivo conectado a la red de un operador de telefonía móvil, de modo que las solicitudes llegan desde una dirección IP perteneciente a ese operador en lugar de desde el equipo de origen. Tiene usos legítimos —verificación de anuncios, comprobar cómo se comporta un servicio en redes móviles, acceder a contenidos específicos de una región— y también es la forma más eficaz de hacer que el tráfico automatizado parezca el de una persona normal que utiliza un teléfono.
En lo que respecta a la detección de fraudes, la importancia es concreta: un proxy móvil no se oculta tras una dirección sospechosa, sino que utiliza una dirección de confianza.
| Qué ofrece | Una dirección IP perteneciente a un operador de telefonía móvil |
| Cómo se obtienen las direcciones | Teléfonos reales, aplicaciones integradas en el SDK, bancos de tarjetas SIM, asignaciones de operadores |
| Por qué va en contra de la reputación de IP | Las direcciones IP del operador son compartidas por muchos abonados reales a través de CGNAT |
| Rotación | Las direcciones cambian con frecuencia, a menudo a petición de los interesados. |
| Usos fraudulentos | Ataques de «credential stuffing», creación masiva de cuentas, scraping, fraude publicitario |
| Hacia dónde debe avanzar la detección | Comportamiento e identidad, no el origen de la red |
Por qué los proxies móviles burlan los controles basados en la dirección IP
El bloqueo basado en la reputación de la IP funciona cuando el tráfico malicioso procede de direcciones que se pueden identificar como maliciosas: rangos de centros de datos, proveedores de alojamiento conocidos o direcciones con un historial de abusos. Las direcciones de los operadores de telefonía móvil no entran en ninguna de estas categorías, por una razón estructural.
Las redes móviles utilizan NAT de nivel de operador, lo que significa que una única dirección IP pública es compartida simultáneamente por un gran número de abonados reales. Bloquear esa dirección para detener a un atacante bloquea también a todos los demás usuarios que se encuentran detrás de ella: clientes normales que utilizan sus teléfonos, sin que haya forma de distinguirlos y sin que se les indique que algo va mal por su parte.
Por lo tanto, los rangos de operadores conllevan una confianza implícita que no se gana en cada sesión individual, y todos los defensores saben que bloquearlos es una medida desproporcionada. Un atacante que opera desde uno de ellos hereda esa protección. La puntuación de reputación, la limitación de tráfico por dirección y las reglas geográficas pierden casi toda su eficacia de golpe.
La rotación es la clave. Las direcciones cambian constantemente y de forma legítima —los teléfonos pasan de una torre a otra y de una sesión a otra—, por lo que la rotación que en cualquier otro contexto parecería anómala aquí es normal.
De dónde proceden las direcciones
Esta es la parte que conviene conocer, ya que tiene que ver tanto con la ética como con la detección.
Algunos proveedores gestionan parques de dispositivos físicos y bancos de tarjetas SIM. Muchos obtienen direcciones de teléfonos móviles para particulares, a través de SDK integrados en aplicaciones gratuitas: la aplicación ofrece un servicio gratuito y, a cambio, la conexión del usuario se incorpora a una red proxy, algo que normalmente solo se indica en unas condiciones que nadie lee. Así, el tráfico procede realmente del teléfono de una persona real, con una suscripción real, en una ubicación real.
Por eso, en la capa de red, este tráfico es indistinguible del tráfico legítimo. No se trata de una imitación de una conexión móvil residencial, sino que es una conexión real, utilizada sin un consentimiento significativo.
Por qué es importante para la verificación de identidad
Los proxies móviles son el ejemplo más claro de una tendencia más amplia: Las señales procedentes de la red están perdiendo su capacidad de distinción, y la dirección de la transmisión es unidireccional.
La reputación IP, la geolocalización y los atributos de red a nivel de dispositivo han sido controles fundamentales durante años. Entre los proxies móviles, las redes de proxies residenciales, la normalización de las VPN y las funciones de privacidad que ocultan deliberadamente las direcciones, cada uno de estos controles se ha ido debilitando, y ninguna de las fuerzas que impulsan esta tendencia va a revertirse: la mayoría son mejoras en materia de privacidad que benefician a los usuarios comunes.
Los controles que no se ven afectados de esta manera son aquellos que se centran en la persona y no en la conexión. Un documento verificado y un rostro real que coincida no se ven afectados por cómo se haya enrutado el tráfico, ya que no tienen en cuenta en absoluto el enrutamiento. Un atacante que disponga de un proxy móvil perfecto sigue teniendo que presentar un documento de identidad auténtico y un rostro en vivo que coincida con él, y el proxy no aporta nada en ninguno de los dos casos.
Esto tiene una consecuencia práctica en cuanto a cómo debe utilizarse la detección de proxies. Detectar un proxy móvil es un motivo para solicitar más pruebas, no es motivo para rechazar el acceso: los usuarios preocupados por la privacidad, las redes corporativas y los viajeros activan estas señales de forma legítima. Considerar el uso de un proxy como algo sospechoso genera falsos positivos precisamente en el colectivo más propenso a quejarse al respecto. Considerarlo como un motivo para aplicar una verificación reforzada es una medida proporcionada y eficaz.
Los proxies móviles en comparación con otros tipos de proxy
| Proxy móvil | Proxy residencial | Proxy de centro de datos | |
|---|---|---|---|
| La propiedad intelectual pertenece a | Un operador de telefonía móvil | Un abonado a un servicio de Internet de acceso doméstico | Un proveedor de alojamiento web |
| Detectabilidad | Mínimo | Bajo | Alto |
| Compartido por usuarios reales | Sí, en gran medida, a través de CGNAT | Normalmente, un hogar | No |
| Coste para el atacante | El más alto | Alto | Muy bajo |
| Se puede bloquear sin problema alguno | No | Rara vez | A menudo |
La columna del coste es aquella sobre la que los defensores pueden actuar. Los proxies móviles son caros por gigabyte, lo que hace que los ataques de gran volumen a través de ellos no resulten rentables. Por lo tanto, obligar a un atacante a utilizar proxies móviles supone una victoria parcial, incluso cuando no se le puede detectar, ya que limita la escala a la que el ataque resulta rentable.
Lo que la detección de proxies no puede hacer
No permite distinguir entre el atacante y el abonado. Con la tecnología CGNAT, una misma dirección da servicio a muchos usuarios reales a la vez.
No puede considerar la detección como un veredicto. El uso legítimo es habitual y va en aumento, y una política que rechace el uso de proxies por sí solo acaba rechazando a clientes reales.
No puede seguir el ritmo en las listas. La detección de servidores proxy se basa en gran medida en rangos conocidos, y las direcciones procedentes de teléfonos móviles de particulares no figuran en ninguna lista: son direcciones de abonados normales y corrientes.
No llega a la cuenta. El bloqueo de la conexión no afecta a las cuentas que ya se hayan creado, y creación de una cuenta es donde se origina la pérdida.
Preguntas frecuentes
¿Son ilegales los proxies móviles?
La tecnología no lo es, y existen usos legítimos, como la verificación de anuncios y las pruebas en dispositivos móviles. El panorama en cuanto al consentimiento es más preocupante: muchas redes obtienen direcciones de dispositivos de los consumidores a través de SDK en aplicaciones gratuitas, donde la participación del usuario solo se explica en términos que es poco probable que haya leído.
¿Por qué no podemos simplemente bloquear el tráfico de proxy móvil?
Dado que los operadores de telefonía móvil utilizan NAT de nivel de operador, una misma dirección IP es compartida por muchos abonados legítimos al mismo tiempo. Bloquear la dirección para detener a un atacante bloquea a un gran número de clientes reales, sin que haya forma de distinguirlos.
¿Cómo se utilizan los proxies móviles en el fraude?
Hacer que la actividad automatizada parezca procedente de usuarios móviles normales: distribuir ataques de «credential stuffing» a través de direcciones de confianza, crear cuentas a gran escala dando la impresión de ser muchas personas diferentes, eludir los límites de frecuencia, extraer datos y generar impresiones publicitarias que superen los filtros.
¿Qué factores juegan en contra de los proxies móviles?
Controles que no dependen del origen de la red: análisis del comportamiento, señales de integridad del dispositivo y verificación de la identidad en los puntos clave. La detección de proxies sigue siendo útil como señal de riesgo que activa una verificación más rigurosa, pero no como motivo por sí sola para rechazar una solicitud.
Lecturas relacionadas
- Ataques de «credential stuffing» — los proxies móviles de ataque son los que más facilitan
- Identificación de dispositivos — la capa de señal que se mantiene tras la rotación de direcciones
- Bot — la automatización que oculta el proxy
- Autenticación basada en el riesgo — cómo gestionar la detección de proxies de forma proporcionada
