Apps de dispositivos inteligentes hogareños podrían usarse para ataques de proxies

Aplicaciones en un Smart TV o dispositivos conectados a internet como un refrigerador inteligente podrían convertirse en nodos de redes de proxies residenciales sin que sus propietarios lo sepan ni hayan otorgado permisos de manera conciente. Estas infraestructuras permiten canalizar tráfico mediante conexiones domésticas y móviles, una característica aprovechada también para ejecutar ataques de denegación de servicio distribuido (DDoS).

De acuerdo con el informe de amenazas del primer semestre de 2026 de NETSCOUT, las redes de proxies residenciales operan mediante servicios comerciales que ofrecen acceso a direcciones IP hogareñas y su capacidad de conexión a cambio de una tarifa. A diferencia de las redes de servidores convencionales, utilizan las direcciones IP dinámicas asignadas por el proveedor.

La incorporación de dispositivos inteligentes e incluso de IoT, puede realizarse mediante distintos mecanismos. Algunas plataformas ofrecen ingresos pasivos a personas que aceptan compartir su conexión, mientras otras remuneran a desarrolladores por integrar componentes de intermediación de tráfico, conocidos como SDK, en aplicaciones y programas.

Sin embargo, también existen mecanismos de incorporación encubierta. Los usuarios pueden instalar apps que habilitan funciones de proxy sin consentimiento informado. Los investigadores citados en el informe también han observado dispositivos de consumo comercializados con programas de intermediación de tráfico previamente instalados.

Conexiones residenciales

Un uso de direcciones IP domésticas plantea enormes retos para los sistemas de protección contra ataques DDoS. Mientras las conexiones procedentes de centros de datos con IP fijas pueden identificarse fácilmente a partir de los antecedentes de actividad maliciosa, las direcciones residenciales pueden parecer conexiones ordinarias de suscriptores y pasar desapercibidas por los sistemas de protección.

Esta característica permite que múltiples dispositivos actúen como fuentes de tráfico malicioso sin que sus direcciones IP individuales constituyan necesariamente una señal suficiente para bloquearlos.

Para identificar estas actividades, los investigadores de ASERT combinan el seguimiento de redes de proxies residenciales con registros de ataques DDoS. Entre los indicadores analizados por la firma de ciberseguridad se encuentran la concentración de conexiones hacia un mismo destino, los cambios simultáneos en las tasas de tráfico y la repetición de comportamientos de protocolo entre diferentes fuentes.

El seguimiento también contempla los servidores intermediarios utilizados por las redes de proxies para coordinar el acceso al servicio. A diferencia de las direcciones residenciales, que pueden cambiar frecuentemente, esta infraestructura suele permanecer estable durante semanas o meses.

Al momento de elaborar el informe, ASERT rastreaba 130 direcciones IPv4 asociadas con esa infraestructura intermediaria. Su identificación permite localizar dispositivos que funcionan como proxies dentro de redes de operadores y clientes, aunque detectar esos servidores no equivale por sí mismo a detener los ataques.

Uso comercial y actividades maliciosas

Las redes de proxies residenciales también tienen aplicaciones legítimas, como las pruebas geográficas de servicios, la verificación publicitaria, la recopilación de datos y determinadas funciones de privacidad. El uso no es exclusivo de conexiones hogareñas. Algunas empresas utilizan conexiones residenciales, es decir, la misma tecnología y ancho de banda que usan las conexiones hogareñas. También algunas empresas podrían ser utilizadas, sin saber, de este tipo de infraestructura.

No obstante, algunas infraestructuras combinan esas actividades con intermediación ilícita y tráfico DDoS. El informe que que accedió NotiPress señala que las direcciones IP con buena reputación pueden comercializarse como recursos de mayor valor, mientras otros conjuntos de proxies pueden monetizarse adicionalmente mediante servicios de ataques por encargo.

Como referencia de la dimensión de estas redes, NETSCOUT documentó una reducción aproximada de dos millones de dispositivos rastreados después de una operación de desmantelamiento anunciada por Google el 2 de julio de 2026. La compañía tecnológica había informado que la red intervenida contaba con al menos dos millones de nodos.

Por su parte, el informe indica que los investigadores dan seguimiento sobre la duración de esa reducción, debido a que intervenciones anteriores contra infraestructuras similares han registrado efectos transitorios y la aparición posterior de nuevos operadores.

De acuerdo con el informe, la identificación de dispositivos participantes y el análisis de su comportamiento coordinado prometen información que permite mejorar las medidas de protección, pudiendo discriminar entre conexiones maliciosas de otras conexiones residenciales. Esta distinción cobra sentido para contener ataques DDoS y preservar el acceso de los usuarios legítimos a los servicios digitales.