Il proxy residenziale è l'internet domestico di qualcuno. Non un astratto "pool di 100 milioni di IP", ma un router, una TV o un telefono specifico, attraverso il quale in quel momento passa il traffico di qualcun altro. La domanda che quasi mai viene posta al momento dell'acquisto è: chi e per quanto ha accettato di cedere questo canale. La risposta determina sia la qualità del pool, sia il suo stato giuridico, sia la probabilità che tu stia condividendo il nodo di uscita con malware estraneo.
Nel 2026, per la prima volta, sono emerse cifre concrete su questa domanda. Bitsight TRACE ha elencato i nodi di 30 servizi proxy, Infoblox ha esaminato il problema dal punto di vista delle reti aziendali, e i pagamenti dei servizi di "reddito passivo" sono disponibili pubblicamente. Mettiamo tutto insieme e calcoliamo l'economia.
Tre fonti di IP residenziali
Qualsiasi pool residenziale viene raccolto in uno dei tre modi, e sono fondamentalmente diversi.
- Condivisione volontaria a pagamento. Una persona installa un'app come Honeygain, Pawns.app o EarnApp e riceve pagamenti per il traffico ceduto. Il consenso c'è, è consapevole, e il proprietario può disattivare l'app in qualsiasi momento.
- SDK all'interno di software gratuito. Lo sviluppatore integra una libreria proxy nella propria applicazione — VPN, convertitore di file, client di streaming — e guadagna denaro per ogni dispositivo installato. L'utente ha formalmente "acconsentito", accettando l'EULA, ma non ha fatto una scelta consapevole.
- Infezione. Il dispositivo entra nel pool tramite un infostiller o un backdoor preinstallato su un set-top box economico. Non c'è alcun consenso.
Queste tre categorie vengono vendute sotto un'unica etichetta "proxy residenziali" e a un prezzo simile. La differenza è visibile solo attraverso segni indiretti — ed è per questo che vale la pena saperli leggere.
Quanto si paga per un gigabyte di traffico domestico
Le tariffe del primo canale sono pubbliche, non è difficile confrontarle:
- Pawns.app — $0,20 fissi per gigabyte, pagamento minimo $5.
- EarnApp — circa $0,36 per gigabyte negli Stati Uniti e fino a $0,24 negli altri regioni; secondo altre stime, l'intervallo è più ampio, $0,30–0,90 a seconda della geolocalizzazione. Minimo $2,50.
- Honeygain — 3 crediti per 10 MB, la domanda e la tariffa reale dipendono fortemente dal paese (il traffico dagli Stati Uniti costa di più di quello indiano). Pagamento minimo $20.
Un risultato realistico per una connessione domestica negli Stati Uniti con più applicazioni in esecuzione contemporaneamente è di circa un dollaro al giorno. Questo è il limite superiore del "reddito passivo": non un business, ma una piccola somma per un abbonamento.
Ora la seconda metà dell'equazione. Il prezzo al dettaglio del traffico residenziale presso i grandi fornitori nel 2026 è compreso tra $3,75 per gigabyte presso Decodo (ex Smartproxy) e $8 per gigabyte presso Bright Data con tariffa pay-as-you-go. Il traffico da data center costa circa $0,60 per gigabyte.
Metti a confronto: il proprietario del canale riceve $0,20–0,36, il cliente finale paga $3,75–8. Un divario di 15–30 volte non è l'avidità dell'intermediario, ma il costo di tutto ciò che c'è in mezzo: infrastruttura di rotazione, eliminazione dei nodi morti, geotargeting, supporto, rischi legali. Ma la comprensione dell'ordine di grandezza spiega il principale: una parte del mercato ha una forte tentazione di non pagare affatto il proprietario del dispositivo. È da lì che nascono i canali due e tre.
Il pool volontario ha anche una limitazione strutturale di cui si parla raramente. Una persona disposta a mantenere attiva un'app per un dollaro al giorno è un pubblico ristretto, e distribuito in modo irregolare: ci sono molti partecipanti dove internet è economico, e pochi dove la domanda di indirizzi è massima. Da qui la costante carenza di geolocalizzazioni "costose" e la tentazione di ottenerle tramite SDK in software gratuito, dove non è necessario pagare il proprietario del dispositivo. Quando un fornitore promette decine di milioni di indirizzi in un determinato paese occidentale a un prezzo notevolmente inferiore al mercato, l'aritmetica del canale volontario non spiega tale volume.
15% dei nodi infetti: misurazione invece di congetture
Bitsight TRACE ha condotto un conteggio dei nodi dal 19 gennaio al 15 marzo 2026 — 55 giorni di osservazione, 53.346.368 indirizzi IP unici e quasi 990 milioni di eventi su 30 servizi proxy. I maggiori pool per attività di picco: NetNut — 2,3 milioni di nodi, LunaProxy — 1,85 milioni, 711Proxy — 1,65 milioni, 922Proxy — 1,64 milioni, ThunderProxy — 1,47 milioni.
Successivamente, i ricercatori hanno confrontato questi indirizzi con la telemetria relativa al malware:
- 15,49% degli indirizzi (8.222.677 IP) mostrava segni di infezione attiva;
- 12,78% (6.785.708 IP) — attività di riskware;
- tra le famiglie trovate — Vo1d, Badbox, RootSTV/Pandoraspear, Gamarue.
Qui è necessaria cautela nell'interpretazione. Il livello base globale di infezione su tutti gli indirizzi è comparabile — 14–21%, quindi la percentuale da sola non dimostra che i pool siano composti da botnet. Ciò che è più importante è: i nodi di servizi specifici si sovrappongono in modo affidabile con famiglie specifiche di malware TV. Un episodio emblematico è l'operazione di gennaio 2026 contro IPIDEA: prima della disattivazione, la sua infrastruttura contava 302.238 infezioni Vo1d, ovvero il 55% di tutta la botnet globale, e un terzo dei nodi RootSTV. Già il 24 gennaio, il servizio si era ripristinato a 2,24 milioni di nodi e circa 300.000 infezioni Vo1d.
Una situazione simile si è verificata anche nel caso più eclatante dell'anno: il 2 luglio 2026, il Google Threat Intelligence Group insieme all'FBI, IRS-CI e Lumen ha disattivato NetNut — una rete basata su oltre due milioni di smart TV rubate, set-top box di streaming e dispositivi Android. In una settimana di giugno, sono stati contati 316 cluster di minacce distinti, che utilizzavano i nodi di uscita per mascherarsi. Un'analisi dettagliata di come piattaforme come LG hanno iniziato a rimuovere il proxy-SDK dalle televisioni è stata fatta separatamente.
65% delle reti aziendali già partecipano a questo
La parte più sottovalutata della storia è che il "traffico domestico" si rivela spesso essere traffico d'ufficio. Infoblox ha analizzato le richieste DNS dei propri clienti cloud e ha ottenuto un risultato difficile da ignorare:
- oltre il 65% dei clienti nel 2026 si sono rivolti a domini di servizi proxy residenziali;
- nel settore farmaceutico e alimentare — oltre il 90% delle organizzazioni;
- nei settori bancario e pubblico — oltre il 60%;
- almeno in qualsiasi verticale — 40%;
- il volume totale delle richieste DNS ai domini proxy è aumentato da circa 300–400 miliardi al mese all'inizio del 2025 a oltre 500 miliardi ad aprile 2026.
La meccanica è semplice: un dipendente installa sul laptop di lavoro un'app per guadagnare sul traffico, un'estensione per il browser o un client di streaming gratuito con SDK integrato — e l'indirizzo aziendale inizia a gestire richieste esterne. Per il servizio di sicurezza, questo significa che il traffico in uscita dell'azienda smette improvvisamente di appartenere all'azienda, e il suo IP può finire nelle liste nere per azioni altrui.
Cosa deve fare l'amministratore: cercare nei log DNS le richieste ai domini dei servizi di monetizzazione del traffico, bloccarli sul resolver, vietare l'installazione di tali applicazioni tramite policy e controllare separatamente i dispositivi che improvvisamente generano molte connessioni in uscita durante l'orario non lavorativo. Per compiti lavorativi legittimi, dove è necessario un indirizzo esterno, ci sono proxy gestiti a livello di rete — con log, controllo e responsabilità chiara.
Cosa significa questo per l'acquirente di proxy
La conclusione pratica non è "i proxy residenziali sono cattivi" — rimangono uno strumento utile dove è necessario un vero indirizzo domestico. La conclusione è che l'origine del pool ha smesso di essere un'astrazione e influisce direttamente su ciò che riceverai per i tuoi soldi.
Effetto pratico di un pool sporco: il tuo nodo di uscita viene utilizzato contemporaneamente da malware estraneo per password spray o invio di spam; l'indirizzo finisce nelle liste di blocco; il tuo tasso di successo diminuisce, e tu attribuisci questo a "sistemi anti-bot deboli". Inoltre, c'è un rischio reputazionale e legale: il traffico passa attraverso un dispositivo di cui il proprietario non sa nulla.
Cosa chiedere al fornitore prima dell'acquisto:
- Da dove proviene l'IP. Una risposta chiara suona come "app partner con pagamenti" o "intervalli ISP per contratto", e non "la rete più grande del mondo".
- Esiste un processo di eliminazione. Il fornitore rimuove i nodi che sono stati segnalati nelle liste di blocco e nei feed di malware — e con quale frequenza.
- Cosa succede alle garanzie sul traffico. Rimborso per richieste non riuscite e fatturazione trasparente indicano indirettamente che il fornitore è sicuro della qualità dei nodi.
- È davvero necessario il tipo residenziale. Per molte attività, è sufficiente un proxy da data center a un prezzo sei volte inferiore, e dove è necessario un vero indirizzo domestico, la questione dell'origine si risolve scegliendo il fornitore, non il tipo di proxy.
Vale la pena controllare come appare il tuo pool dal punto di vista della protezione: i rilevatori del 2026 identificano i nodi residenziali non per ASN, ma per segni comportamentali e di rete — come è strutturata l'intelligenza IP moderna, ne abbiamo parlato in dettaglio. Se il pool è inquinato, questo è evidente sia per te attraverso le metriche, sia per il sistema anti-bot attraverso i suoi dati.
In breve
Il pool residenziale è un'economia, non magia. Al proprietario di un canale domestico vengono pagati $0,20–0,36 per gigabyte, lo stesso gigabyte viene venduto all'acquirente per $3,75–8, e in questo divario si colloca tutta la differenza tra un pool partner onesto e una rete su set-top box infetti. Le misurazioni del 2026 hanno mostrato che il 15,49% dei 53 milioni di nodi elencati presentava segni di infezione attiva, e il 65% delle reti aziendali partecipa già in un modo o nell'altro a questo traffico.
L'unica conclusione pratica è: chiedi dell'origine degli indirizzi prima dell'acquisto, non dopo il primo ban di massa. I proxy residenziali dovrebbero essere acquistati dove sono realmente necessari, e da un fornitore che può spiegare da dove proviene il suo IP — abbiamo raccolto i criteri di scelta in una checklist separata.