Um número grande de pool indica escala, não procedência. Para equipes de compras, segurança e conformidade, a origem da capacidade de IP residencial pode determinar se um serviço de proxy é um fornecedor defensável ou um risco cibernético não gerenciado.
Dois provedores podem vender acesso a milhões de IPs residenciais. Um pode recrutar participantes por meio de consentimento claro e revogável e parcerias controladas. Outro pode adquirir capacidade por meio de kits de desenvolvimento de software opacos, divulgações enganosas ou malware. Para o comprador, os produtos podem parecer semelhantes até que uma revisão de segurança, uma ação policial ou uma má reputação de IP exponha a diferença.
Este informe se concentra em proxies residenciais originados por malware e nas evidências que as equipes empresariais devem solicitar antes da compra.
Principais conclusões
- O inventário de proxy residencial pode ser recrutado por meio de programas de adesão transparentes, proxyware com divulgação ambígua, ou malware e botnets propriamente ditos.
- Pesquisas acadêmicas e a acusação da 911 S5 mostram que redes de dispositivos comprometidos operaram em escala muito grande.
- Consentimento significativo é necessário, mas não é suficiente: os provedores também precisam de controles de abuso robustos, monitoramento e governança de parceiros.
- Um preço incomumente baixo não é prova de má conduta, mas economia opaca e respostas evasivas sobre a origem devem acionar uma verificação mais profunda.
- Compradores empresariais devem avaliar a origem do proxy residencial como uma dependência de cadeia de suprimentos cibernética, não apenas como uma compra de conectividade.
Tamanho do pool não é procedência
Um proxy residencial roteia tráfego por meio de um endereço IP atribuído por um provedor de serviços de internet a uma rede ou dispositivo residencial. Essa posição de rede pode suportar casos de uso legítimos, como pesquisa localizada na web pública, monitoramento de preços, verificação de anúncios e coleta de dados de busca. Mas o rótulo “residencial” não diz nada sobre como o endpoint entrou na rede, o que foi informado ao participante ou quais controles regem o tráfego.
Essa distinção importa porque o endpoint não é um recurso abstrato de nuvem. É uma conexão real pertencente a uma pessoa, residência ou organização. As equipes de compras, portanto, precisam entender tanto a cadeia de origem quanto os controles operacionais em torno dela. A pergunta certa não é apenas “quantos IPs há no pool?” É “como esses IPs chegaram ali, e que evidência torna essa resposta defensável?”
Três modelos de origem por trás do mesmo rótulo de produto
| Modelo de origem | Como a capacidade é recrutada | O que os compradores devem verificar |
|---|---|---|
| Adesão transparente | Os participantes recebem aviso claro, aderem de forma afirmativa, entendem a troca de valor e podem se retirar sem atrito desnecessário. | Registros de consentimento, processo de retirada, governança de parceiros, comunicações com participantes e controles de abuso. |
| Proxyware ou monetização por SDK | Um SDK de retransmissão é incorporado a um aplicativo ou serviço. O usuário pode receber pagamento, recursos gratuitos ou outro benefício, mas a qualidade da divulgação e do consentimento pode variar significativamente. | Redação exata do consentimento, adesão separada, contratos com parceiros de aplicativo ou SDK, comportamento de notificação, direitos de auditoria e controles de revogação. |
| Recrutamento por malware ou botnet | Dispositivos são inscritos por meio de software malicioso, aplicativos piratas ou backdoors ocultos sem permissão significativa. | Não deve existir nenhuma evidência legítima. Trate qualquer indício de recrutamento oculto como uma constatação crítica de risco do fornecedor. |
A categoria intermediária é onde rótulos simplistas de “ético versus não ético” muitas vezes deixam de funcionar. Um usuário pode tecnicamente clicar em “concordo” enquanto ainda recebe informações confusas, empacotadas ou incompletas. Uma revisão robusta deve testar se o consentimento é específico, informado, visível e genuinamente revogável, em vez de tratar qualquer tela de consentimento como suficiente.
O que a pesquisa mostra sobre redes comprometidas e recrutadas de forma ambígua
O estudo IEEE de 2019 Resident Evil: Understanding Residential IP Proxy as a Dark Service identificou aproximadamente seis milhões de IPs de proxy residencial em mais de 230 países e 52.000 provedores de serviços de internet. Os pesquisadores relataram que muitos proxies observados pareciam rodar em hosts provavelmente comprometidos, incluindo dispositivos IoT, e vincularam alguns hosts a phishing, hospedagem de malware e outras atividades ilícitas.
Um estudo NDSS de 2021 sobre redes de proxy móvel encontrou 1.701 pacotes Android em 963 aplicativos contendo SDKs de proxy, com pelo menos 300 milhões de instalações no total. Os pesquisadores descobriram que os avisos de consentimento podiam ser confusos e documentaram um SDK que retransmitia tráfego sem exibir uma notificação. Eles também relataram que 48,43% dos pacotes foram sinalizados por pelo menos cinco mecanismos antivírus e que 86,60% dos aplicativos haviam sido removidos do Google Play até outubro de 2019.
Pesquisas mais recentes acrescentam uma qualificação importante: mesmo uma rede instalada voluntariamente pode carregar risco material a jusante se a atividade do cliente não for governada. Um estudo de 2024 operou oito aplicativos de proxy residencial instalados por usuários durante 7,5 meses e analisou 368 GB de tráfego proxied. Seus estudos de caso indicaram uso provável em fraude em plataformas de namoro, atividades relacionadas a phishing e web scraping, ressaltando a necessidade de detecção de abuso e controles do lado do provedor, além do consentimento do participante.
Consentimento é um controle mínimo, não todo o ambiente de controle. Uma rede residencial defensável também precisa de supervisão de parceiros, aplicação de uso aceitável, monitoramento de tráfego, resposta a incidentes e um processo para remover endpoints abusados ou comprometidos.
Estudo de caso: o que a botnet 911 S5 revelou
O caso 911 S5 é o exemplo público mais claro de um serviço de proxy residencial alimentado por malware operando em escala global. Em maio de 2024, o Departamento de Justiça dos EUA anunciou a interrupção do serviço e a prisão de seu suposto administrador. Segundo a acusação e anúncios oficiais, o malware foi distribuído por meio de aplicativos VPN gratuitos, software pirata e pacotes de pagamento por instalação, criando acesso a mais de 19 milhões de endereços IP únicos em mais de 190 países.
O FBI descreveu a 911 S5 como um dos maiores serviços de proxy residencial e botnets, e disse que ela foi construída a partir de dispositivos comprometidos cujos proprietários não sabiam que suas conexões estavam sendo usadas como retransmissores. As autoridades vincularam o serviço a perdas confirmadas de vítimas na casa dos bilhões de dólares, enquanto a acusação alega que o operador recebeu aproximadamente US$99 milhões pela venda de acesso aos endereços IP sequestrados.
O caso também mostra por que o risco de compras não para no desempenho técnico. O Tesouro dos EUA sancionou indivíduos e entidades associadas à rede. Uma vez que um provedor ou entidade conectada se torna alvo de processos criminais ou sanções, os clientes podem precisar explicar qual verificação prévia realizaram, se continuaram transacionando após a ação pública e com que rapidez podem substituir um fornecedor crítico.
Quatro riscos que podem se transferir para o comprador
1. Risco de privacidade e legal
A análise legal depende dos dados, papéis, jurisdições e do arranjo contratual. Endereços IP podem constituir dados pessoais em algumas circunstâncias, e organizações que usam fornecedores para processar dados pessoais podem precisar avaliar base legal, transparência, segurança, contratos e garantia contínua do fornecedor. O Information Commissioner’s Office do Reino Unido afirma que os controladores devem avaliar se os processadores fornecem garantias suficientes e devem monitorar a conformidade continuamente.
Isso não significa que toda transação de proxy crie a mesma exposição legal. Significa que um comprador não deve aceitar alegações vagas de origem quando o serviço pode envolver dispositivos pessoais, identificadores de rede ou fluxos de dados transfronteiriços. Quando os participantes não deram permissão significativa, o modelo de origem pode criar sérias preocupações de privacidade, contratuais e de auditoria. As organizações devem obter aconselhamento com base em seu próprio caso de uso. Nosso tratamento desse tema está em proxies residenciais e conformidade com o GDPR.
2. Risco cibernético e de cadeia de suprimentos
Um provedor de proxy se torna parte da cadeia de suprimentos digital do cliente: ele lida com tráfego de rede, credenciais e metadados de roteamento, e pode depender de parceiros de SDK ou outros fornecedores upstream. O National Cyber Security Centre do Reino Unido recomenda que as organizações entendam quem são seus fornecedores, avaliem os riscos que eles criam e ganhem confiança de que controles adequados estão em vigor.
Para uma compra de proxy residencial, isso significa perguntar até onde o provedor consegue rastrear sua própria cadeia de suprimentos, como os parceiros são avaliados, que acesso técnico terceiros mantêm e como incidentes são investigados. Um provedor que não consegue mapear suas fontes de endpoint está pedindo ao cliente que aceite uma dependência não mensurada.
3. Risco operacional e de reputação de IP
Um endpoint comprometido pode já carregar histórico de abuso, exposição a listas de bloqueio ou reputação de atividade suspeita. Na prática, isso pode significar mais CAPTCHAs, mais novas tentativas, taxas de conclusão mais baixas e custo de largura de banda mais alto por resultado utilizável. É por isso que a origem também é uma questão de qualidade. Nosso guia sobre reputação de IP explica como o histórico de abuso e o gerenciamento deficiente do pool podem afetar se um IP, mesmo residencial, é confiável para os sites de destino.
4. Risco investigativo, de sanções e reputacional
Uma operação de derrubada policial pode expor infraestrutura, contas e registros de transações a investigação. Isso não torna todo cliente culpado, mas pode criar um trabalho significativo de auditoria, legal e reputacional. Sanções criam uma preocupação adicional: as organizações precisam de processos de triagem e escalonamento para que possam identificar e responder quando um fornecedor, proprietário ou entidade relacionada é designado.
Preço é um sinal de verificação prévia, não uma prova
Um preço incomumente baixo não prova que uma rede é originada por malware. Escala, automação, estratégia comercial e contratos de longo prazo podem, todos, reduzir o custo. Mas a capacidade residencial legítima ainda tem sua economia: participantes ou parceiros de distribuição precisam de uma troca de valor clara, endpoints precisam de monitoramento, e o provedor precisa financiar prevenção de abuso, suporte e manutenção da rede.
A pergunta útil para compras, portanto, não é “esse preço é barato demais para ser verdade?” É “o provedor consegue explicar a economia e os controles por trás desse preço?” Um fornecedor defensável deve ser capaz de descrever como os participantes são recrutados, o que eles recebem, como o consentimento é registrado, como os parceiros são governados e como o tráfego abusivo é detectado. Se a resposta for simplesmente “proprietário”, o risco permanece com o comprador.
Uma lista de verificação prévia para compras de proxy residencial
As perguntas a seguir transformam uma alegação ética genérica em evidência que as equipes de compras, segurança e conformidade podem avaliar. A profundidade da revisão deve ser proporcional ao caso de uso e à sensibilidade dos dados ou sistemas envolvidos.
| Pergunta | Evidência a solicitar | Possíveis sinais de alerta |
|---|---|---|
| Como os endpoints são recrutados? | Um modelo de origem por escrito, categorias de parceiros, jornada do participante e restrições geográficas. | O provedor não consegue explicar sua cadeia de suprimentos além de “parceiros globais”. |
| Como é o consentimento? | O aviso real, adesão separada, histórico de versões, processo de retirada e canal de suporte ao participante. | O consentimento é empacotado em termos longos, pré-selecionado, difícil de retirar ou não mostrado de forma consistente. |
| Que valor o participante recebe? | Uma descrição clara de pagamento, benefício de serviço ou outra troca, incluindo quem a financia. | Nenhuma explicação coerente sobre por que os proprietários de dispositivos participariam. |
| Como os parceiros de SDK e distribuição são governados? | Contratos, direitos de auditoria, restrições técnicas, critérios de aprovação e um inventário atual de subfornecedores. | Subdistribuição irrestrita ou incapacidade de identificar onde o SDK está incorporado. |
| Como o abuso do cliente é controlado? | Regras de uso aceitável, avaliação de risco do cliente, monitoramento de tráfego, controles de taxa, procedimentos de investigação e encerramento. | Um modelo de vendas “sem perguntas” ou nenhuma evidência de aplicação. |
| Como a qualidade do endpoint é gerenciada? | Monitoramento de reputação de IP, verificações de lista de bloqueio, aposentadoria de endpoint, métricas de incidentes e processos de remediação. | Endpoints queimados ou suspeitos permanecem ativos porque o tamanho do pool é priorizado sobre a qualidade. |
| Que garantia independente existe? | Relatórios de auditoria relevantes, certificações, resumos de testes de penetração, políticas e contatos de segurança. | Logotipos sem escopo, datas ou documentação de apoio. |
| O que acontece durante um incidente? | Plano de resposta a incidentes, compromissos de notificação, preservação de evidências, triagem de sanções e arranjos de saída ou continuidade. | Nenhum responsável nomeado, nenhum prazo de notificação e nenhum processo para isolar endpoints afetados. |
Como é a origem defensável
Uma rede de proxy residencial defensável deve ser capaz de demonstrar cinco coisas:
- Procedência rastreável. O provedor consegue explicar de onde vêm os endpoints e até onde consegue enxergar em sua cadeia de parceiros.
- Participação significativa. As pessoas recebem informações claras, fazem uma escolha afirmativa e podem se retirar.
- Governança ativa de abuso. Os controles de origem são combinados com controles, monitoramento e aplicação do lado do cliente.
- Garantia independente. As alegações de segurança e conformidade são apoiadas por evidências atuais e delimitadas.
- Transparência operacional. O provedor consegue explicar incidentes, qualidade de endpoint, continuidade de serviço e ação corretiva.
Na Shifter, acreditamos que os compradores devem esperar respostas documentadas a essas perguntas de qualquer provedor que avaliem, inclusive nós. “Origem ética” não deveria ser um rótulo de marketing que encerra a conversa. Deveria ser o início de uma revisão baseada em evidências. Para o contexto mais amplo de governança, veja nosso guia sobre proxies residenciais eticamente obtidos para coleta de dados de IA.
Conclusão
O tamanho do pool responde quanta capacidade um provedor afirma oferecer. A procedência responde se uma empresa consegue defender a compra. Pesquisas sobre redes comprometidas e recrutadas de forma ambígua, junto com o caso 911 S5, mostram que a origem do proxy residencial pertence à mesma conversa que a garantia da cadeia de suprimentos cibernética, a verificação prévia de processadores e a resiliência operacional.
O mercado não precisa de mais um selo “ético” não verificado. Precisa de um padrão de compras: recrutamento claro, consentimento significativo, responsabilização de parceiros, controles de abuso e evidências que resistam a perguntas de acompanhamento. Uma diferença de preço não explicada deve motivar essas perguntas, não substituí-las.
Se sua equipe de compras, segurança ou conformidade está avaliando infraestrutura de proxy residencial, fale com a equipe da Shifter sobre controles de rede, requisitos de implantação e a documentação de garantia disponível para sua revisão.
Este informe é fornecido apenas para informação geral e não constitui aconselhamento jurídico.
Perguntas frequentes
O que são proxies residenciais originados por malware?
São endpoints de proxy residencial criados a partir de dispositivos inscritos sem permissão significativa, tipicamente por meio de malware, backdoors ocultos ou distribuição de software enganosa. O comprador recebe acesso a um IP residencial, mas o proprietário do dispositivo não concordou conscientemente em fornecer a conexão.
Proxies residenciais baratos são sempre originados por malware?
Não. Um preço baixo pode resultar de escala, eficiência ou estratégia comercial. Deve se tornar um sinal de verificação prévia quando o provedor não consegue explicar como os participantes são recrutados, compensados, informados e protegidos.
O que foi a botnet 911 S5?
A 911 S5 foi um serviço de proxy residencial construído a partir de dispositivos comprometidos por malware. As autoridades dos EUA disseram que envolvia mais de 19 milhões de endereços IP em quase 200 países e permitia crimes cibernéticos em larga escala. O DOJ anunciou sua interrupção e a prisão de seu suposto administrador em maio de 2024.
A adesão do usuário torna uma rede de proxy residencial segura?
Não por si só. O consentimento significativo é um controle de origem essencial, mas um provedor também precisa governar parceiros de SDK, monitorar a atividade do cliente, aplicar regras de uso aceitável, investigar abusos e remover endpoints comprometidos ou queimados.
Que evidência um comprador empresarial deve solicitar?
Peça o modelo de origem, o processo de consentimento e retirada dos participantes, controles de governança de parceiros, processo de monitoramento de abuso, controles de qualidade de endpoint, evidência de garantia independente, informações sobre subfornecedores e compromissos de resposta a incidentes.
O uso de proxy residencial pode ser compatível com a conformidade?
Pode suportar usos comerciais legítimos, mas a conformidade depende do modelo de origem, da atividade pretendida, dos dados envolvidos, das jurisdições, dos contratos e dos controles técnicos. As organizações devem avaliar seu próprio papel e obter aconselhamento jurídico quando apropriado.