nstalar una aplicación a cambio de dinero, funciones premium o algún otro incentivo por compartir el ancho de banda que no utilizamos puede parecer una práctica inocua. Sin embargo, detrás de este modelo existe una infraestructura capaz de permitir que el tráfico de otras personas salga a Internet utilizando nuestra propia dirección IP.
Una investigación publicada por Gen Threat Labs ha analizado precisamente el funcionamiento y los riesgos asociados a estas redes de proxies residenciales. Entre enero y mediados de septiembre de 2026, sus sistemas bloquearon 20,8 millones de ataques asociados a los ecosistemas de proveedores incluidos en el estudio. El phishing encabezó las detecciones, con 5,15 millones, seguido del malvertising, con 1,26 millones.
España aparece además entre los países donde se registró un mayor volumen de esta actividad: 518.000 ataques bloqueados asociados a nodos de salida de proxies residenciales situados en territorio español, la novena cifra más alta recogida en el estudio.
El problema no significa que las empresas de proxies estén detrás de los ataques. Los investigadores insisten en que estas infraestructuras tienen numerosos usos legítimos y que pueden ser utilizadas indebidamente por terceros, como sucede con otros servicios de Internet.
¿Qué es exactamente un proxy residencial?
La clave está en entender qué ocurre cuando un usuario acepta compartir su conexión.
Un proxy residencial permite que el tráfico de otra persona o empresa se enrute a través de una conexión doméstica real. De este modo, cuando ese tercero visita una página web, el servidor de destino puede interpretar que la petición procede de la dirección IP del hogar que está actuando como nodo de salida.
Es decir, aunque la actividad haya sido iniciada por otra persona, de cara al servicio de Internet puede aparecer asociada a la IP residencial del usuario que comparte su conexión.
La tecnología tiene aplicaciones legítimas. Empresas de diferentes sectores utilizan proxies residenciales para verificar publicidad, comparar precios en diferentes países, recopilar información pública de páginas web o alimentar procesos de recopilación de datos para inteligencia artificial.
Su utilidad procede precisamente de una característica que también interesa a los ciberdelincuentes: el tráfico parece proceder de una conexión residencial convencional y no necesariamente de un centro de datos o una infraestructura fácilmente identificable.
20,8 millones de ataques bloqueados
Gen analizó el tráfico malicioso asociado a los proveedores incluidos en su investigación entre enero y mediados de septiembre.
En ese periodo contabilizó 20,8 millones de eventos maliciosos distintos bloqueados. El estudio advierte de que estas cifras no deben interpretarse como un ranking sobre qué proveedor es más peligroso, ya que las redes de mayor tamaño tienen más posibilidades de aparecer en la telemetría.
El phishing fue la categoría predominante, con más de 5,15 millones de detecciones. Le siguieron el malvertising, con alrededor de 1,26 millones; los troyanos, con 667.000; las estafas relacionadas con comercios electrónicos, con 388.000; los infectores de archivos, con 329.000; y los droppers, con más de 173.000.
Estas categorías pueden solaparse, por lo que no deben sumarse para obtener un total: un mismo evento puede recibir varias clasificaciones.
¿Por qué interesa tu IP doméstica a un atacante?
Una dirección IP residencial puede resultar especialmente útil porque se parece al tráfico generado por cualquier usuario doméstico.
Una conexión procedente directamente de determinados servidores, servicios de alojamiento o centros de datos puede resultar más sencilla de identificar y bloquear. Utilizar miles de conexiones domésticas permite, en cambio, mezclar la actividad automatizada o maliciosa con tráfico aparentemente convencional.
Los propios datos geográficos del estudio muestran este fenómeno. Estados Unidos registraba alrededor de 56.000 usuarios activos asociados a software de proxies residenciales en la fotografía realizada en septiembre, pero acumuló más de 1,1 millones de ataques bloqueados.
Los investigadores plantean como una posible explicación que las IP residenciales de determinados mercados occidentales sean especialmente útiles para quienes intentan mimetizarse con los usuarios que quieren atacar.
España, entre los países con más actividad bloqueada
La investigación también permite observar dónde estaban situados los nodos residenciales desde los que salió la actividad maliciosa detectada.
India encabezó la clasificación con aproximadamente 1,76 millones de ataques bloqueados, seguida de Brasil, con 1,50 millones; Vietnam, con 1,32 millones; Estados Unidos, con 1,14 millones; y Francia, con cerca de 990.000.
España aparece en novena posición con aproximadamente 518.000 ataques. En este análisis, el país corresponde a la ubicación del nodo de salida del proxy residencial, no necesariamente a la localización del atacante o de la víctima.
Por tanto, la cifra no significa que se hayan producido 518.000 ciberataques contra usuarios españoles. Indica que Gen bloqueó ese número de eventos asociados a nodos de salida de proxies residenciales ubicados en España.
No todos los proxies se utilizan para las mismas amenazas
Otro resultado significativo es que el tipo de actividad maliciosa cambia considerablemente dependiendo del ecosistema analizado.
Mientras que en algunos predominaban el phishing y el malvertising, otros presentaban una mayor presencia de troyanos, gusanos, infectores de archivos o droppers.
Por ejemplo, el phishing fue la principal categoría observada en los ecosistemas de Bright Data, Honeygain y Tuxler. En Hola destacaron los gusanos, troyanos e infectores de archivos, mientras que en NetNut tuvieron más peso los droppers y los infectores.
