Un proxy residencial es la conexión a internet de alguien. No es un "pool de 100 millones de IPs" abstracto, sino un enrutador, un televisor o un teléfono concreto, a través del cual está fluyendo tráfico ajeno en ese momento. La pregunta que casi nunca se hace al comprar es: quién y por cuánto aceptó ceder este canal. La respuesta determina tanto la calidad del pool como su estatus legal y la probabilidad de que compartas el nodo de salida con malware ajeno.
En 2026, por primera vez aparecieron cifras concretas sobre esta cuestión. Bitsight TRACE enumeró los nodos de 30 servicios de proxy, Infoblox analizó el problema desde la perspectiva de las redes corporativas, y los pagos de los servicios de "ingresos pasivos" están disponibles públicamente. Juntamos todo y calculamos la economía.
Tres fuentes de IP residenciales
Cualquier pool residencial se forma de una de tres maneras, y son fundamentalmente diferentes.
- Compartición voluntaria a cambio de dinero. Una persona instala una aplicación como Honeygain, Pawns.app o EarnApp y recibe pagos por el tráfico cedido. Hay consentimiento, es consciente, y el propietario puede apagar la aplicación en cualquier momento.
- SDK dentro de software gratuito. Un desarrollador integra una biblioteca de proxy en su aplicación — VPN, convertidor de archivos, cliente de streaming — y recibe dinero por cada dispositivo instalado. El usuario "consintió" formalmente al aceptar el EULA, pero no tomó una decisión consciente.
- Infección. Un dispositivo entra en el pool a través de un infostealer o un backdoor preinstalado en un dispositivo de TV barato. No hay consentimiento en absoluto.
Estas tres categorías se venden bajo un mismo rótulo de "proxies residenciales" y al mismo precio. La diferencia solo se puede ver a través de indicios indirectos — y es precisamente por eso que es importante saber leerlos.
Cuánto se paga por un gigabyte de tráfico doméstico
Las tarifas del primer canal son públicas, no es difícil verificarlas:
- Pawns.app — $0,20 fijos por gigabyte, pago mínimo de $5.
- EarnApp — alrededor de $0,36 por gigabyte en EE. UU. y hasta $0,24 en otras regiones; según otras estimaciones, el rango es más amplio, de $0,30 a $0,90 dependiendo de la geolocalización. Mínimo de $2,50.
- Honeygain — 3 créditos por 10 MB, la demanda y la tarifa real dependen mucho del país (el tráfico de EE. UU. es más caro que el de India). Pago mínimo de $20.
El resultado realista para una conexión doméstica en EE. UU. con varias aplicaciones funcionando al mismo tiempo es de alrededor de un dólar al día. Esa es la cima del "ingreso pasivo": no es un negocio, sino un extra para suscripciones.
Ahora, la segunda mitad de la ecuación. El precio minorista del tráfico residencial de grandes proveedores en 2026 es de $3,75 por gigabyte en Decodo (anteriormente Smartproxy) hasta $8 por gigabyte en Bright Data en el plan de pago por uso. El tráfico de centros de datos cuesta alrededor de $0,60 por gigabyte.
Compare: el propietario del canal recibe $0,20 a $0,36, el comprador final paga $3,75 a $8. La brecha de 15 a 30 veces no es avaricia del intermediario, sino el costo de todo lo que hay entre: infraestructura de rotación, eliminación de nodos muertos, geo-targeting, soporte, riesgos legales. Pero entender el orden de las cifras explica lo principal: una parte del mercado tiene una fuerte tentación de no pagar al propietario del dispositivo en absoluto. De ahí provienen los canales dos y tres.
El pool voluntario también tiene una limitación estructural de la que rara vez se habla. La persona dispuesta a mantener una aplicación encendida por un dólar al día es una audiencia reducida, y está distribuida de manera desigual: hay muchos participantes donde internet es barato, y pocos donde la demanda de direcciones es máxima. De ahí el constante déficit de geos "caros" y la tentación de obtenerlos a través de SDK en software gratuito, donde no es necesario pagar al propietario del dispositivo. Cuando un proveedor promete decenas de millones de direcciones en un país occidental específico a un precio notablemente inferior al del mercado, la aritmética de un canal voluntario no explica tal volumen.
15% de nodos infectados: medición en lugar de conjeturas
Bitsight TRACE realizó un censo de nodos desde el 19 de enero hasta el 15 de marzo de 2026 — 55 días de observación, 53,346,368 IPs únicas y casi 990 millones de eventos en 30 servicios de proxy. Los pools más grandes por actividad máxima: NetNut — 2,3 millones de nodos, LunaProxy — 1,85 millones, 711Proxy — 1,65 millones, 922Proxy — 1,64 millones, ThunderProxy — 1,47 millones.
A continuación, los investigadores compararon estas direcciones con la telemetría de malware:
- 15,49% de las direcciones (8,222,677 IP) mostraron signos de infección activa;
- 12,78% (6,785,708 IP) — actividad de riskware;
- entre las familias encontradas — Vo1d, Badbox, RootSTV/Pandoraspear, Gamarue.
Aquí se necesita precaución en la interpretación. El nivel base global de infección en todas las direcciones es comparable — 14-21%, es decir, el porcentaje en sí no prueba que los pools estén compuestos por botnets. Lo más importante es que los nodos de servicios específicos se cruzan de manera confiable con familias específicas de malware de TV. Un episodio revelador fue la operación de enero de 2026 contra IPIDEA: antes de su desconexión, su infraestructura tenía 302,238 infecciones de Vo1d, es decir, el 55% de toda la botnet global, y un tercio de los nodos de RootSTV. Ya el 24 de enero, el servicio se recuperó a 2,24 millones de nodos y alrededor de 300,000 infecciones de Vo1d.
Una imagen similar se observó en el episodio más sonado del año: el 2 de julio de 2026, Google Threat Intelligence Group junto con el FBI, IRS-CI y Lumen desconectaron NetNut — una red basada en más de dos millones de smart TVs, dispositivos de streaming y dispositivos Android robados. Durante una semana de junio, se contaron 316 clústeres de amenazas individuales que utilizaban nodos de salida para ocultarse. Un análisis detallado de cómo plataformas como LG comenzaron a eliminar el proxy-SDK de los televisores se realizó por separado.
65% de las redes corporativas ya participan en esto
La parte más subestimada de la historia es que el "tráfico doméstico" a menudo resulta ser tráfico de oficina. Infoblox analizó las solicitudes DNS de sus clientes en la nube y obtuvo un resultado que es difícil de ignorar:
- más del 65% de los clientes en 2026 accedieron a dominios de servicios de proxy residenciales;
- en la industria farmacéutica y alimentaria — más del 90% de las organizaciones;
- en los sectores bancario y gubernamental — más del 60%;
- mínimo en cualquier vertical — 40%;
- el volumen total de solicitudes DNS a dominios de proxy creció de aproximadamente 300-400 mil millones al mes a principios de 2025 a más de 500 mil millones para abril de 2026.
La mecánica es simple: un empleado instala en su portátil de trabajo una aplicación para ganar dinero con el tráfico, una extensión para el navegador o un cliente de streaming gratuito con un SDK incorporado — y la dirección corporativa comienza a atender solicitudes ajenas. Para el departamento de seguridad, esto significa que el tráfico saliente de la empresa de repente deja de pertenecer a la empresa, y su IP puede ser incluida en listas negras por acciones ajenas.
¿Qué hacer con esto como administrador?: buscar en los registros DNS las solicitudes a los dominios de los servicios de monetización de tráfico, bloquearlas en el resolvedor, prohibir la instalación de tales aplicaciones mediante políticas y verificar por separado los dispositivos que de repente generan muchas conexiones salientes fuera del horario laboral. Para tareas laborales legítimas, donde se necesita una dirección externa, hay proxies gestionados a nivel de red — con registros, control y responsabilidad clara.
Qué implica esto para el comprador de proxies
La conclusión práctica no es "los proxies residenciales son malos" — siguen siendo una herramienta útil donde se necesita una dirección doméstica real. La conclusión es que el origen del pool ha dejado de ser una abstracción y afecta directamente lo que recibirás por tu dinero.
Efecto práctico de un pool sucio: tu nodo de salida se utiliza simultáneamente por malware ajeno para un ataque de password spray o envío de spam; la dirección llega a listas de bloqueo; tu tasa de éxito disminuye, y lo achacas a "sistemas anti-bot débiles". Además, hay un riesgo reputacional y legal: el tráfico pasa por un dispositivo cuyo propietario no sabe nada de ti.
Qué preguntar al proveedor antes de comprar:
- De dónde proviene la IP. Una respuesta clara suena como "aplicaciones asociadas con pagos" o "rangos de ISP por contrato", no "la red más grande del mundo".
- ¿Hay eliminación de nodos? ¿El proveedor elimina nodos que han aparecido en listas de bloqueo y feeds de malware, y con qué frecuencia?
- ¿Qué pasa con las garantías sobre el tráfico? Un reembolso por solicitudes fallidas y una facturación transparente indican indirectamente que el proveedor confía en la calidad de los nodos.
- ¿Es necesario realmente el tipo residencial? Para muchas tareas, un proxy de centro de datos es suficiente a un precio seis veces menor, y donde se necesita una dirección doméstica real, la cuestión del origen se resuelve eligiendo al proveedor, no el tipo de proxy.
Es importante verificar cómo se ve tu pool desde la perspectiva de la protección: los detectores de 2026 identifican nodos residenciales no por ASN, sino por características de comportamiento y red — cómo funciona actualmente la inteligencia de IP, lo hemos analizado en detalle. Si el pool está contaminado, eso se reflejará en las métricas para ti y en los datos para el sistema anti-bot.
En resumen
Un pool residencial es economía, no magia. Al propietario de un canal doméstico se le paga $0,20 a $0,36 por gigabyte, al comprador se le vende ese mismo gigabyte por $3,75 a $8, y en esta brecha se encuentra toda la diferencia entre un pool de socios honesto y una red de dispositivos infectados. Las mediciones de 2026 mostraron que el 15,49% de los 53 millones de nodos enumerados presentaban signos de infección activa, y el 65% de las redes corporativas ya participan de alguna manera en este tráfico.
La conclusión práctica es una: pregunta sobre el origen de las direcciones antes de comprar, no después del primer baneo masivo. Los proxies residenciales deben adquirirse donde realmente se necesiten, y con un proveedor que pueda explicar de dónde obtiene sus IP — hemos recopilado los criterios de selección en una lista de verificación separada.
```