Cuando compras "proxies residenciales", pagas por una promesa clave: tu tráfico saldrá a Internet a través de una dirección IP doméstica real de un usuario común, y no a través de un centro de datos expuesto. Pero de quién es exactamente esa dirección y cómo la obtuvo el proveedor es una pregunta que hasta hace poco había quedado en la sombra. En junio de 2026, un investigador independiente bajo el seudónimo de Buchodi, junto con el equipo de Include Security, publicó un análisis que mostró la cara oculta de este mercado de manera muy clara: el televisor en tu sala de estar podría ser un nodo de una red de proxies comerciales, y estar transfiriendo tráfico de scraping ajeno mientras miras una serie.
Qué sucedió: SDK dentro de aplicaciones gratuitas para Smart TV
El estudio, publicado por primera vez el 5 de junio y actualizado el 17 de junio de 2026, analiza el SDK de la empresa Bright Data (anteriormente Luminati Networks) —el mayor jugador en el mercado de proxies residenciales. La empresa promociona una red de más de 400 millones de direcciones IP domésticas, de las cuales, según su propia descripción, más de 150 millones se obtienen a través de un SDK "voluntario" integrado en aplicaciones gratuitas.
La mecánica es simple y por eso desagradable. Un desarrollador de un juego gratuito o una aplicación de streaming integra el paquete de Bright Data bajo el modelo de "contenido gratuito a cambio de recursos". El usuario acepta los términos, y su dispositivo se convierte en un exit-node: a través de él, otros clientes que pagan a Bright Data envían tráfico de scraping web. Según el análisis, el SDK establece una conexión WebSocket permanente con proxyjs.brdtnet.com:443, obtiene la configuración sin autenticación de clientsdk.bright-sdk.com y envía inmediatamente la IP pública del dispositivo al servidor.
Particularmente reveladoras son las plataformas donde esto ocurre. Entre los socios mencionados en el estudio están PlayWorks Digital (más de 400 títulos de juegos para Smart TV con un alcance de aproximadamente 250 millones de hogares a través de Comcast, Sky, Cox, LG, Samsung, Vizio, Roku), CloudTV (más de 125 marcas de TV), el mensajero Viber (Rakuten) con una audiencia de cientos de millones, el editor coreano Supercent y Moonfrog Labs con el juego Teen Patti Gold (~10 millones de MAU). Es decir, no se trata de aplicaciones marginales, sino de un mercado masivo.
"A veces" contra 200 gigabytes al mes
La principal queja del investigador es sobre las formulaciones de consentimiento. El análisis presenta el texto de opt-in de la pantalla de la aplicación Petflix para Roku: "Para usar Petflix de forma gratuita y con menos publicidad, permites a Bright Data usar a veces los recursos libres de tu dispositivo y la dirección IP para cargar datos web públicos". La palabra "a veces" no se alinea bien con los límites técnicos: con valores globales predeterminados de 50 MB al día y 500 MB al mes, para Smart TV en el marco de iOS está incrustado el parámetro max_bw_monthly_wifi en 200 gigabytes mensuales.
Incluso más preocupantes son los criterios de "inactividad", bajo los cuales el dispositivo comienza a retransmitir tráfico ajeno: según el análisis, el SDK ignora si la pantalla está encendida, si hay una llamada telefónica, y se activa ya con una carga mínima de batería del 20%, con un límite del 70% de carga de CPU y 90% de memoria. El investigador también describió cómo se eludía el VPN en iOS: el tráfico del proxy pasaba por alto el túnel. Después de una consulta (11 de mayo), Bright Data respondió el 8 de junio, citando una auditoría de PwC, y el 17 de junio reconoció que eludir el VPN era "un error que ha sido corregido".
El grado de sofisticación del esquema también se refleja en que la agresividad de la recolección está ajustada por regiones. Según el análisis, para Uzbekistán y Omán, los límites se elevaron a 1 GB al día y 30 GB al mes con una carga mínima de solo 1%, mientras que para Catar y los EAU se aplican límites más suaves de 40 MB al día con un umbral de batería del 20%. Es decir, la red literalmente "aumenta" la carga donde hay menos posibilidades de que el propietario note el consumo de tráfico. La huella técnica también es característica: el certificado TLS de la conexión está emitido a nombre de CN=*.luminatinet.com —un dominio legado aún bajo la antigua marca Luminati.
Por qué esto es necesario para el mercado de scraping
La razón por la que las IP residenciales son tan valoradas es evidente. Las direcciones de centros de datos han sido bloqueadas masivamente por sistemas anti-bot como Cloudflare, DataDome y HUMAN. Y una solicitud que proviene de una conexión doméstica común de Comcast o T-Mobile se ve para el sitio como un usuario real y pasa los filtros. Es precisamente por eso que todo el scraping pesado —incluida la recolección de datos de entrenamiento para IA— busca redes residenciales. La demanda es colosal: según estimaciones de observaciones de la industria, el número mensual de solicitudes a dominios de proxies residenciales creció de casi 400 mil millones a más de 500 mil millones entre principios de 2025 y abril de 2026, y uno de los principales impulsores es precisamente el scraping de IA.
Esta misma demanda también genera guerras legales por los datos. Basta recordar la demanda de Reddit, presentada el 22 de octubre de 2025 en el Distrito Sur de Nueva York contra Perplexity AI y tres intermediarios de proxies —Oxylabs, AWMProxy y SerpApi— por la recolección "industrial" de comentarios de usuarios. La presión regulatoria también está aumentando: a partir del 2 de agosto de 2026, se aplicará completamente la Ley de IA de la UE con un opt-out obligatorio para la minería de texto y datos. Hemos analizado estos cambios en detalle en un artículo sobre cómo la Ley de IA de la UE cambia las reglas del web scraping.
Qué dice el FBI
El problema no solo radica en la privacidad del propietario del televisor. El 12 de marzo de 2026, el FBI emitió una advertencia pública (PSA) sobre redes de proxies residenciales. En ella, la oficina describe el proxy residencial como un intermediario que utiliza direcciones IP legales asignadas por proveedores a dispositivos IoT domésticos —decodificadores de TV, marcos digitales, teléfonos inteligentes, tabletas y enrutadores. Según el FBI, estas redes se están convirtiendo en una herramienta estándar para abusos: ofuscación de la conexión entre el servidor C2 y los dispositivos infectados, distribución de malware, phishing y robo de identidad, spam y creación de cuentas falsas.
El principal riesgo para la persona común lo formula el FBI directamente: cuando se lleva a cabo una actividad ilegal desde tu IP, el propietario inocente de la dirección tendrá que lidiar con las consecuencias. Las recomendaciones de la oficina para los ciudadanos son simples: evitar dispositivos de TV que prometan deportes, películas y series "gratuitas"; ser cauteloso con las aplicaciones VPN gratuitas; no instalar software pirata; utilizar solo tiendas de aplicaciones oficiales y editores de renombre. A las empresas se les aconseja segmentar la red y bloquear direcciones IP asociadas con redes de proxies residenciales.
Qué significa esto para el comprador de proxies
La conclusión principal de la industria es que los proxies residenciales tienen una cadena de suministro, y esta puede ser "limpia" o "sucia". Si las direcciones IP se obtienen a través de SDK ocultos, esquemas similares a botnets o dispositivos infectados, el comprador de tal red enfrenta tres problemas concretos. Primero, la calidad reputacional de la IP: las direcciones de fuentes dudosas a menudo ya están expuestas y caen en listas de bloqueo, lo que significa que tu scraping recibe bans donde una red limpia pasa. En segundo lugar, riesgos legales y éticos: utilizar infraestructura obtenida sin un consentimiento claro de las personas no es la historia que un negocio serio quiere respaldar. En tercer lugar, estabilidad: un nodo que se desconecta tan pronto como el propietario toma el teléfono no es el uptime en el que se puede confiar para el parsing en producción.
Una lista de verificación práctica al elegir un proveedor se reduce a varias preguntas. ¿De dónde provienen las IP y cómo se obtuvo el consentimiento de sus propietarios? ¿Hay una auditoría independiente de las fuentes (como en el caso de la referencia de Bright Data a PwC)? ¿Son transparentes los tipos de proxies y están divididos los pools —residenciales, móviles, de centros de datos— para diferentes tareas? Para escenarios sensibles como el multi-cuentas y el trabajo con aplicaciones móviles, los proxies móviles ofrecen la huella más "viva", mientras que para el scraping masivo es más sensato combinar proxies residenciales con rotación para tareas geográficas específicas. No es "cuántos millones de IP se declaran", sino cuán limpias, consistentes y legalmente obtenidas son esas direcciones.
Cómo proteger tus propios dispositivos
Si estás del otro lado —simplemente siendo el propietario de un Smart TV o un teléfono— la higiene mínima se ve así. A nivel de red, el análisis recomienda bloquear los dominios del SDK: proxyjs.brdtnet.com, proxyjs.luminatinet.com, proxyjs.bright-sdk.com, clientsdk.bright-sdk.com, clientsdk.brdtnet.com —por ejemplo, a través de filtrado DNS en el enrutador o Pi-hole. Según el estudio, bloquear estas direcciones detiene el funcionamiento del dispositivo como relé, sin afectar el servicio de pago de Bright Data, que opera en otras direcciones. Y, como aconseja el FBI, es crítico prestar atención a qué aplicaciones "gratuitas" instalas: el contenido gratuito por el que no pagas con dinero a menudo se paga con tu dirección IP y tráfico.
Conclusión
El análisis de Include Security no es "una exposición de una sola empresa", sino un rayos X de todo el mercado de proxies residenciales: la demanda de IP domésticas vivas es tan grande que se recolectan de donde sea, incluso del televisor en la sala de estar, y la línea entre "consentimiento voluntario" y una botnet oculta resulta ser más delgada de lo que nos gustaría. Para aquellos que compran proxies de manera profesional, esto es un motivo para dejar de mirar solo el precio por gigabyte y comenzar a preguntar sobre el origen de las IP. Una red limpia, obtenida de manera transparente, no es solo marketing, sino una condición directa para que tu scraping no reciba un ban y no se convierta en parte de la historia legal de otro.
```