Durante casi un mes, alguien conectado a la red de la Casa Blanca empujó tráfico de internet a través de proxies residenciales 236 veces, sin que nadie dentro pareciera notarlo. La firma de inteligencia de amenazas Layer3 Intel lo descubrió por accidente, mientras probaba una herramienta nueva que mapea esta infraestructura de anonimización en todo el mundo.
El sistema autónomo donde aparecieron esas salidas, AS2650, está registrado a nombre de la Oficina Ejecutiva del Presidente de Estados Unidos, la entidad que opera la red de la Casa Blanca. El patrón horario de esas 236 conexiones apunta más a un dispositivo personal usado todas las noches que a una red abierta de visitas.
TL;DR
- Layer3 Intel registró 236 salidas de proxies residenciales desde la red de la Casa Blanca entre el 5 de octubre y el 3 de noviembre de 2026.- Solo 6 direcciones IP generaron esas salidas en 26 de los 30 días, a través de 28 servicios de proxy distintos.- Casi la mitad del tráfico ocurrió entre las 5 p.m. y la medianoche, hora del este: un patrón típico de uso personal, no de wifi de visitas.- Spur y Synthient confirmaron de forma independiente que esas IP son salidas de proxy residencial.- El riesgo real es un SDK de proxy mal asegurado: puede dar acceso lateral, como documentó Synthient con la botnet Kimwolf.
Qué son los proxies residenciales
Los proxies residenciales son servicios que revenden el acceso a la conexión doméstica de dispositivos reales: el tráfico de un cliente sale a internet con la IP de ese hogar, no con la propia. Se compran por suscripción, sin vulnerar nada, porque el dispositivo ya corre un SDK que revende su ancho de banda.
El modelo es legal en la mayoría de jurisdicciones y masivo. Empresas como Bright Data, IPRoyal o Smartproxy venden acceso rotativo a millones de direcciones residenciales por unos dólares al mes. El comprador elige un país o una red y el tráfico sale con la IP de un hogar real, casi indistinguible del de un usuario común para la mayoría de sistemas antifraude basados en reputación de IP.
La contrapartida es que alguien, en algún lugar, instaló ese software sin entender del todo qué estaba cediendo. Muchas veces llega empaquetado dentro de una app gratuita (una VPN, un ad-blocker, un juego) que ofrece algún beneficio a cambio de compartir ancho de banda de fondo.
Qué pasó en la red de la Casa Blanca
Layer3 Intel lanzó esta semana su Residential Proxy Observatory, una interfaz pública que deja a cualquier investigador ver, casi en vivo, por dónde está saliendo el tráfico de proxies residenciales en el mundo. Mientras el equipo revisaba los primeros resultados, encontró actividad de salida sostenida en AS2650.
Entre el 5 de octubre y el 3 de noviembre de 2026, su pipeline de enumeración salió 236 veces a través de la red de la Casa Blanca. Esas 236 salidas vinieron de solo 6 direcciones IP, activas en 26 de los 30 días del período, y pasaron por 28 servicios de proxy residencial distintos: no es un proveedor filtrando datos, es el mismo puñado de direcciones vendiéndose a través de casi tres decenas de marcas.
Para descartar un falso positivo, Layer3 cruzó esas direcciones contra otros detectores de proxies ya establecidos, Spur y Synthient. Ambos confirman, de forma independiente, que esas IP son salidas de proxy residencial. El acceso además es público: cualquiera puede pagar una suscripción y pedir que su tráfico salga por direcciones rotativas de cualquier país. Layer3 aclara que no diseñó sondas para forzar la salida por esa red: la encontraron por casualidad, pidiendo acceso rotativo global como lo haría cualquier cliente.
236 salidas de red detectadas en 26 de los 30 días analizados por Layer3 Intel.
Contexto: cómo Layer3 armó el mapa
El mercado de proxies residenciales no es nuevo, pero es difícil de auditar desde afuera. A diferencia de un datacenter, no existe un rango de IP fijo para bloquear, porque las direcciones son hogares reales que entran y salen de la red todo el tiempo. Observatorios como el de Layer3, o los que ya operan Spur y Synthient, existen para reconstruir ese mapa en movimiento: qué IP salió, por qué servicio y durante cuánto tiempo.
La preocupación de fondo tampoco es nueva. Synthient documentó cómo la botnet Kimwolf llegó a infectar al menos 2 millones de dispositivos, la mayoría Android con el servicio de depuración ADB expuesto, reclutándolos como nodos de salida para redes de proxy residencial sin que sus dueños lo supieran. El mecanismo es simple: un atacante escanea internet buscando ese puerto abierto, entra, instala el SDK de proxy, y ese teléfono empieza a revender su conexión a quien pague por ella.
Detalles técnicos: por qué un SDK de proxy mal asegurado es una puerta de entrada
Técnicamente, lo que corre en el dispositivo comprometido es un demonio liviano que abre una conexión saliente hacia un servidor de control, se registra como nodo disponible y espera instrucciones: qué paquete reenviar, hacia qué destino y con qué IP de origen. El siguiente diagrama resume ese flujo.
sequenceDiagram
participant C as Cliente
participant S as SDK
participant K as Control
participant D as Destino
C->>K: solicita IP residencial disponible
K->>S: asigna la tarea al dispositivo
S->>D: reenvia la peticion con su IP
D-->>S: responde
S-->>C: entrega la respuesta
Note over S,D: el sitio ve la IP residencial, no la del cliente
Desde la perspectiva del sitio de destino, la petición llega con la IP real del hogar o la oficina donde vive ese dispositivo, lo que la hace casi indistinguible del tráfico legítimo para cualquier sistema antifraude basado en reputación de IP. El SDK no necesita privilegios especiales en el dispositivo: le alcanza con una conexión a internet y permiso para correr en segundo plano.
Tipo de proxyCuándo se usaVentajaLimitaciónDatacenterScraping masivo y rápidoBarato y velozFácil de bloquear por rango de IP conocidoResidencialEvadir bloqueos por geolocalización o reputaciónParece tráfico de un usuario realDepende de dispositivos ajenos infectados o monetizadosMóvil (operador celular)Verificación de apps y pruebas con geolocalización finaIP de operador, máxima confianzaMás caro y con menor volumen disponible
¿Cómo confirmar desde afuera si una IP concreta es una salida de proxy residencial? Los paneles públicos de Spur y Synthient permiten pegar una dirección y ver su clasificación de infraestructura de red; ambos marcan las seis direcciones del caso de la Casa Blanca como salidas residenciales. No hay forma directa de verificar, en cambio, qué dispositivo específico está detrás de cada IP ni quién lo opera: esa información solo la tiene el proveedor del servicio de proxy, y normalmente no se entrega sin una orden legal.
⚠️ Ojo: Layer3 solo observa las salidas de red, no el dispositivo ni la persona detrás. Con estos datos públicos no hay forma de saber si es un teléfono personal, la laptop de un empleado o un dispositivo IoT olvidado en una sala de conferencias.
El patrón horario que registró Layer3 es la pista más concreta sobre el origen humano del tráfico. Casi la mitad de las 236 salidas ocurrió entre las 5 p.m. y la medianoche, hora del este, y casi nada durante la madrugada. Una red de invitados pública no mostraría esa regularidad diaria; lo que describe ese patrón es un dispositivo que permanece conectado a la misma red, de forma rutinaria, hasta tarde en la noche.
Synthient documentó que la botnet Kimwolf infectó al menos 2 millones de dispositivos Android.
Impacto y análisis
El caso de la Casa Blanca no es un hallazgo aislado: es la muestra más llamativa de un patrón global que el propio observatorio deja ver. En Santa Elena, Ascensión y Tristán da Cunha, el territorio británico que incluye la isla habitada más remota del planeta, el equipo registró 413 direcciones y más de 32.000 observaciones, repartidas entre Starlink y el proveedor local, Sure Saint Helena. También capturaron tres observaciones desde la Antártida, todas desde una dirección de Cloudflare WARP que apunta a la estación McMurdo.
La lista de lugares remotos sigue. Una dirección de Starlink en las islas Pitcairn aportó una observación; una dirección de Norfolk Telecom en la isla Norfolk, cuatro; y una dirección de Starlink en Longyearbyen, Svalbard, tres. Las islas Malvinas (Falklands) sumaron 388 direcciones, el archipiélago de Chagos 43, Tokelau 21 y Georgia del Sur 7. El mensaje es que prácticamente no existe una red lo bastante aislada como para quedar fuera del alcance de estos servicios.
💭 Clave: Si los proxies residenciales llegan hasta una estación de investigación en la Antártida, llegar hasta una oficina en Washington no exige ninguna capacidad especial, solo un dispositivo comprometido o monetizado a sabiendas.
Para un analista de seguridad, ese alcance es la razón por la que el caso importa más allá del símbolo. Si la infraestructura de salida residencial llega hasta McMurdo, llegar hasta una red institucional en Washington no exige ninguna capacidad especial. Exige, nada más, que un dispositivo dentro de esa red haya quedado comprometido o que alguien lo haya monetizado a sabiendas.
Qué sigue
Layer3 Intel dice haber conservado los registros crudos de la actividad y ofrece compartirlos con agencias relevantes a través de su página de contacto. Hasta la fecha de este artículo no hay confirmación pública de la Casa Blanca ni de ninguna agencia federal sobre el origen del tráfico, y Layer3 aclara que sus datos muestran las salidas de red, no el dispositivo ni la identidad de quien está detrás.
Lo que sí es previsible es que el observatorio siga corriendo, y que casos como este (una red institucional sensible apareciendo en un mapa de tráfico anonimizado que cualquiera puede pagar) se repitan mientras el negocio de los SDK de proxy siga dependiendo de dispositivos que sus propios dueños no terminan de entender.
📖 Resumen en Telegram: Ver resumen
Probalo vos: abrí el panel público de Spur o Synthient, pegá cualquier dirección IP que te interese y mirá si aparece clasificada como salida de proxy residencial.
Preguntas frecuentes
¿Qué encontró Layer3 Intel en la red de la Casa Blanca?
Entre el 5 de octubre y el 3 de noviembre de 2026, su observatorio registró 236 salidas de proxy residencial desde AS2650, el sistema autónomo de la Oficina Ejecutiva del Presidente, provenientes de solo 6 direcciones IP.
¿Son ilegales los servicios de proxy residencial?
No, en la mayoría de jurisdicciones son un producto comercial legal. El riesgo no está en comprar el acceso, sino en que el dispositivo que presta la IP suele estar infectado o monetizado sin que su dueño entienda del todo qué está cediendo.
¿En qué se diferencia un SDK de proxy residencial de uno de datacenter?
El de datacenter sale desde servidores con rangos de IP conocidos y fáciles de bloquear. El residencial sale desde dispositivos domésticos reales, lo que lo hace casi indistinguible del tráfico de un usuario común para los sistemas antifraude.
¿Puede un SDK de proxy dar acceso a la red interna de una organización?
Sí, si está mal asegurado. Synthient documentó que la botnet Kimwolf explotó el servicio ADB expuesto de dispositivos Android para instalar proxies sin autorización, lo que en teoría también habilita movimiento lateral dentro de la red donde vive ese dispositivo.
¿Qué otros lugares remotos aparecen en el observatorio de Layer3?
El mapa incluye 413 direcciones en Santa Elena, Ascensión y Tristán da Cunha, tres observaciones desde la Antártida vía Cloudflare WARP, y actividad puntual en Pitcairn, Norfolk, Svalbard, las Malvinas, Chagos, Tokelau y Georgia del Sur.
Referencias
- Layer3 Intel: el reporte original sobre la actividad de proxy residencial detectada en AS2650.- Spur: servicio público de clasificación de infraestructura de proxy y anonimización usado para la verificación cruzada.- Synthient: investigación sobre la botnet Kimwolf y el abuso de SDK de proxy residencial.- Wikipedia: contexto general sobre el funcionamiento de los servidores proxy.
📱 ¿Te gusta este contenido? Únete a nuestro canal de Telegram @programacion donde publicamos a diario lo más relevante de tecnología, IA y desarrollo. Resúmenes rápidos, contenido fresco todos los días.
Top comments (0)