Lorsque vous achetez des « proxys résidentiels », vous payez pour une promesse clé : votre trafic sortira sur Internet via une véritable adresse IP domestique d'un utilisateur ordinaire, et non via un centre de données exposé. Mais de qui est exactement cette adresse et comment le fournisseur l'a-t-il obtenue ? C'est une question qui est restée dans l'ombre jusqu'à récemment. En juin 2026, un chercheur indépendant sous le pseudonyme de Buchodi, avec l'équipe d'Include Security, a publié une analyse qui a mis en lumière ce marché de manière très explicite : la télévision dans votre salon peut actuellement être un nœud d'un réseau de proxys commerciaux — et y acheminer le trafic de scraping d'autrui pendant que vous regardez une série.
Ce qui s'est passé : SDK dans des applications gratuites pour Smart TV
L'étude, publiée pour la première fois le 5 juin et mise à jour le 17 juin 2026, examine le SDK de la société Bright Data (anciennement Luminati Networks) — le plus grand acteur du marché des proxys résidentiels. La société fait la promotion d'un réseau de plus de 400 millions d'adresses IP domestiques, dont, selon sa propre description, plus de 150 millions ont été obtenues via un SDK « volontaire » intégré dans des applications gratuites.
La mécanique est simple et désagréable. Le développeur d'un jeu gratuit ou d'une application de streaming intègre le kit Bright Data selon le modèle « contenu gratuit en échange de ressources ». L'utilisateur accepte les conditions — et son appareil devient un exit-node : d'autres clients payants de Bright Data font passer leur trafic de scraping web par celui-ci. Selon l'analyse, le SDK établit une connexion WebSocket permanente avec proxyjs.brdtnet.com:443, tire la configuration sans authentification de clientsdk.bright-sdk.com et envoie immédiatement l'adresse IP publique de l'appareil au serveur.
Les plateformes où cela se produit sont particulièrement révélatrices. Parmi les partenaires mentionnés dans l'étude figurent PlayWorks Digital (plus de 400 titres de jeux pour Smart TV atteignant environ 250 millions de foyers télévisuels via Comcast, Sky, Cox, LG, Samsung, Vizio, Roku), CloudTV (125+ marques de télévision), le messager Viber (Rakuten) avec une audience de plusieurs centaines de millions, l'éditeur coréen Supercent et Moonfrog Labs avec le jeu Teen Patti Gold (~10 millions d'utilisateurs actifs mensuels). Il ne s'agit donc pas d'applications marginales, mais d'un marché de masse.
« Parfois » contre 200 gigaoctets par mois
La principale plainte du chercheur concerne les formulations de consentement. L'analyse cite le texte d'opt-in de l'écran de l'application Petflix pour Roku : « Pour utiliser Petflix gratuitement et avec moins de publicité, vous autorisez Bright Data à utiliser parfois les ressources libres de votre appareil et l'adresse IP pour charger des données web publiques ». Le mot « parfois » ne s'accorde pas bien avec les limites techniques : avec des valeurs par défaut globales de 50 Mo par jour et 500 Mo par mois, pour les Smart TV dans le cadre iOS, le paramètre max_bw_monthly_wifi à 200 gigaoctets est intégré mensuellement.
Les critères de « temps d'inactivité » sont encore plus préoccupants, car c'est à ce moment que l'appareil commence à retransmettre le trafic d'autrui : selon l'analyse, le SDK ignore si l'écran est allumé, si un appel téléphonique est en cours, et s'active déjà avec une batterie minimale de 20 %, avec un plafond de 70 % d'utilisation du CPU et 90 % de mémoire. Le chercheur a également décrit le contournement des VPN sur iOS — le trafic proxy passait à côté du tunnel. Après une demande (le 11 mai), Bright Data a répondu le 8 juin, en se référant à un audit de PwC, et le 17 juin a reconnu que le contournement du VPN était « un bug qui a été corrigé ».
Le degré de sophistication du schéma est également indiqué par le fait que l'agressivité de la collecte est ajustée par région. Selon l'analyse, pour l'Ouzbékistan et Oman, les limites sont portées à 1 Go par jour et 30 Go par mois avec une charge minimale de seulement 1 %, tandis que pour le Qatar et les Émirats, des limites plus clémentes de 40 Mo par jour s'appliquent avec un seuil de batterie de 20 %. Cela signifie que le réseau « pousse » littéralement la charge là où il y a moins de chances que le propriétaire remarque la consommation de trafic. La trace technique est également caractéristique : le certificat TLS de la connexion est émis sur CN=*.luminatinet.com — un domaine hérité sous l'ancienne marque Luminati.
Pourquoi cela est-il nécessaire pour le marché du scraping
La raison pour laquelle les IP résidentielles sont si précieuses est évidente. Les adresses de centres de données sont depuis longtemps et massivement bloquées par des systèmes anti-bot tels que Cloudflare, DataDome et HUMAN. Et une requête provenant d'une connexion domestique ordinaire de Comcast ou T-Mobile apparaît pour le site comme un utilisateur réel et passe les filtres. C'est pourquoi tout le scraping lourd — y compris la collecte de données d'entraînement pour l'IA — se dirige vers des réseaux résidentiels. La demande est colossale : selon les estimations des observations sectorielles, le nombre mensuel de requêtes vers des domaines de proxys résidentiels est passé de près de 400 milliards à plus de 500 milliards entre le début de 2025 et avril 2026, et l'un des principaux moteurs est précisément le scraping par IA.
Cette même demande engendre également des guerres juridiques pour les données. Il suffit de rappeler la plainte de Reddit, déposée le 22 octobre 2025 dans le district sud de New York contre Perplexity AI et trois intermédiaires de proxy — Oxylabs, AWMProxy et SerpApi — pour « collecte industrielle » de commentaires d'utilisateurs. La pression réglementaire augmente également : à partir du 2 août 2026, le Règlement européen sur l'IA devient entièrement applicable avec un opt-out obligatoire pour le text-and-data-mining. Nous avons détaillé ces changements dans un article sur comment le Règlement européen sur l'IA change les règles du web scraping.
Que dit le FBI
Le problème ne réside pas seulement dans la vie privée du propriétaire d'une télévision. Le 12 mars 2026, le FBI a publié un avertissement public distinct (PSA) concernant les réseaux de proxys résidentiels. Dans celui-ci, le bureau décrit un proxy résidentiel comme un intermédiaire utilisant des adresses IP légales, attribuées par les fournisseurs aux appareils IoT domestiques — décodeurs TV, cadres photo numériques, smartphones, tablettes et routeurs. Selon le FBI, ces réseaux deviennent un outil standard d'abus : obfuscation de la connexion entre le serveur C2 et les appareils infectés, propagation de logiciels malveillants, phishing et vol d'identité, spam et création de faux comptes.
Le principal risque pour une personne ordinaire est formulé directement par le FBI : lorsque des activités illégales sont menées depuis votre IP, c'est le propriétaire innocent de l'adresse qui doit s'expliquer. Les recommandations du bureau pour les citoyens sont simples : éviter les appareils TV promettant des sports, films et séries « gratuits » ; être prudent avec les applications VPN gratuites ; ne pas installer de logiciels piratés ; utiliser uniquement des magasins d'applications officiels et des éditeurs réputés. Les entreprises sont conseillées à segmenter leur réseau et à bloquer les adresses IP associées aux réseaux de proxys résidentiels.
Que signifie cela pour l'acheteur de proxys
La principale conclusion du secteur est que les proxys résidentiels ont une chaîne d'approvisionnement, et celle-ci peut être « propre » ou « sale ». Si les adresses IP sont collectées via des SDK cachés, des schémas de type botnet ou des appareils infectés, l'acheteur d'un tel réseau rencontre trois problèmes concrets. Premièrement, la qualité réputationnelle des IP : les adresses provenant de sources douteuses sont souvent déjà exposées et se retrouvent sur des listes de blocage, ce qui signifie que votre scraping se fait bloquer là où un réseau propre passe. Deuxièmement, les risques juridiques et éthiques : utiliser une infrastructure collectée sans le consentement clair des personnes n'est pas l'histoire sous laquelle un sérieux business souhaite se signer. Troisièmement, la stabilité : un nœud qui se déconnecte dès que le propriétaire prend son téléphone en main, ce n'est pas le temps de fonctionnement sur lequel on peut compter pour un parsing de production.
Une liste de contrôle pratique lors du choix d'un fournisseur se résume à quelques questions. D'où proviennent les IP et comment le consentement de leurs propriétaires a-t-il été obtenu ? Y a-t-il un audit indépendant des sources (comme dans le cas du lien de Bright Data vers PwC) ? Les types de proxys sont-ils transparents et les pools — résidentiels, mobiles, de centres de données — sont-ils séparés pour différentes tâches ? Pour des scénarios sensibles comme le multi-comptage et le travail avec des applications mobiles, les proxys mobiles offrent l'empreinte la plus « vivante », tandis que pour le scraping de masse, il est plus judicieux de combiner les proxys résidentiels avec une rotation adaptée à une tâche géographique spécifique. Il est important de ne pas se concentrer uniquement sur « combien de millions d'IP sont déclarés », mais sur la propreté, la cohérence et la légalité de la collecte de ces adresses.
Comment protéger vos propres appareils
Si vous êtes de l'autre côté — simplement propriétaire d'une Smart TV ou d'un téléphone — une hygiène minimale ressemble à ceci. Au niveau réseau, l'analyse recommande de bloquer les domaines SDK : proxyjs.brdtnet.com, proxyjs.luminatinet.com, proxyjs.bright-sdk.com, clientsdk.bright-sdk.com, clientsdk.brdtnet.com — par exemple, via un filtrage DNS sur le routeur ou Pi-hole. Selon l'étude, le blocage de ces adresses arrête le fonctionnement de l'appareil en tant que relais, sans affecter le service payant de Bright Data, qui fonctionne sur d'autres adresses. Et, comme le conseille le FBI, il est crucial de faire attention aux « applications gratuites » que vous installez : le contenu gratuit, pour lequel vous ne payez pas en argent, est souvent payé par votre adresse IP et votre trafic.
Conclusion
L'analyse d'Include Security n'est pas « une dénonciation d'une seule entreprise », mais un rayon X de tout le marché des proxys résidentiels : la demande pour des IP domestiques vivantes est si grande qu'elles sont collectées de partout, jusqu'à la télévision du salon, et la frontière entre « consentement volontaire » et botnet caché s'avère plus fine qu'on ne le souhaiterait. Pour ceux qui achètent des proxys de manière professionnelle, c'est une raison d'arrêter de se concentrer uniquement sur le prix par gigaoctet et de commencer à poser des questions sur l'origine des IP. Un réseau propre, collecté de manière transparente, n'est pas un marketing, mais une condition directe pour que votre scraping ne soit pas bloqué et ne devienne pas partie intégrante de l'histoire juridique d'autrui.