Finché alcune aziende costruiscono reti proxy, altre guadagnano calcolandole. Il 15 luglio 2026, l'americana Spur Intelligence ha riportato una crescita esplosiva: +210% di nuovo business e +42% di fatturato annuale (ARR) per il secondo trimestre con una retention dei clienti del 100%. Spur ha un solo prodotto: il rilevatore di anonimizzatori: VPN, proxy residenziali e traffico "mascherato". Questi numeri significano una cosa semplice: l'industria del riconoscimento dei proxy nel 2026 sta vivendo un boom, e il tuo IP potrebbe "bruciare" prima ancora che tu invii la prima richiesta.
Cosa è successo: il rilevamento dei proxy è diventato un mercato a sé stante
Spur non è l'unico attore, ma il suo rapporto è comodo da leggere come un termometro dell'intero segmento. Secondo l'azienda, il 94% delle organizzazioni ha affrontato incidenti in cui era coinvolta un'infrastruttura di anonimizzazione — VPN o proxy residenziali. Tuttavia, il proprio studio "IP Intelligence Study 2026" ha mostrato che solo circa un terzo dei rispondenti comprendeva realmente i rischi legati all'abuso dei proxy residenziali prima di affrontare un incidente. Il CEO di Spur, Kevin Hickey, formula la domanda in modo diretto: "Le organizzazioni hanno bisogno di una migliore visibilità su chi si connette alle loro piattaforme e quale infrastruttura sta dietro a questa attività".
Parallelamente, crescono anche altri: IPinfo a giugno 2026 ha annunciato che la sua base di proxy residenziali direttamente osservabili ha superato i 107 milioni di IP — una crescita di circa 2,3 volte in un anno, coprendo 126 fornitori di proxy. IPQualityScore, Spur, GeoComply, IPinfo — questi sono già un classe consolidata di servizi di "IP intelligence", che vendono alle squadre antifrode, banche, servizi di streaming e sistemi governativi un unico servizio: dire che dietro un determinato IP si nasconde un proxy o un botnet.
Come funziona: reputazione IP e punteggio da 0 a 100
La meccanica della maggior parte dei rilevatori è simile. In ingresso — indirizzo IP, in uscita — fraud-score da 0 a 100. Le soglie sono abbastanza simili tra IPQualityScore e Spur: 0–20 — fidato, 21–60 — sospetto, 61–100 — bloccato. Successivamente, il sito decide autonomamente cosa fare: permettere l'accesso, mostrare un captcha o rifiutare. Da cosa è composta la valutazione:
- ASN e tipo di rete. Questo è il punto di partenza. Gli indirizzi dei provider internet consumer ricevono inizialmente una reputazione più alta rispetto agli ASN di hosting e data center. È per questo che i proxy di data center economici vengono spesso bloccati "all'ingresso" — solo in base al numero del sistema autonomo, senza alcuna analisi del comportamento.
- Rilevamento degli anonimizzatori. Fingerprinting di VPN, proxy e Tor: intervalli noti, TTL e MTU caratteristici, segni di tunneling, corrispondenza dei punti di ingresso e uscita.
- Honeypots e trappole. I rilevatori mantengono una rete di esche e "reporting dai clienti": se un IP è apparso in attività sospette da un cliente, la reputazione scende per tutti.
- Integrità della geolocalizzazione. Controllo su "spostamenti impossibili" e disallineamento geo: se l'IP è in Germania, ma il fuso orario, la lingua e i client hints del browser indicano un altro paese — questo è un flag.
Il principale cambiamento tecnologico del 2026, secondo le stesse stime dei fornitori, è proprio il rilevamento dei proxy residenziali. In passato, la maggior parte delle API riusciva a rilevare solo i data center; ora riconoscono sempre più spesso anche il traffico che passa attraverso connessioni ISP reali. L'API Context di Spur, ad esempio, restituisce oltre 20 attributi per un IP: geografia, ASN, attribuzione proxy/VPN, tipo di dispositivo e connessione, contesto del punto di ingresso-uscita del tunnel.
Perché i proxy "bruciano": sovrapposizione dei pool e IP infetti
La ragione principale per cui i rilevatori sono diventati più efficaci non è magia, ma la bassa qualità dei pool stessi sul mercato di massa. Le misurazioni recenti lo dimostrano chiaramente.
Nell'analisi di gennaio (2026) di oltre 170 milioni di proxy IP residenziali in una finestra di 90 giorni (86 milioni IPv4 e 87 milioni IPv6), è emerso che il 46% degli indirizzi era contemporaneamente presente nelle reti di più fornitori. Per IPv4, nel lungo periodo, la sovrapposizione raggiungeva quasi il 70%. In altre parole, un pool "esclusivo" di un venditore è spesso lo stesso pool di un concorrente — rivendita attraverso più strati. Il test del pool Smartproxy.org ha mostrato che 773.087 dei suoi indirizzi (38,21%) erano presenti anche nel dataset IPIDEA — il che significa che una risorsa si basa in gran parte sull'infrastruttura di un'altra.
Ancor peggio è la condizione sanitaria di questi indirizzi. Il monitoraggio di 30 servizi proxy dal 19 gennaio al 15 marzo 2026 ha registrato 53 milioni di nodi di uscita unici in 55 giorni; di questi, il 15% (8,2 milioni) era contemporaneamente contrassegnato come infetto da malware attivo, e un ulteriore 13% (6,8 milioni) mostrava attività di riskware. Quando un fornitore raccoglie IP "residenziali" da SDK torbidi e dispositivi infetti, questi stessi indirizzi sono già visibili nelle banche dati dei rilevatori come dannosi.
Significativa è la storia di NetNut, che il 3 luglio 2026 è stata smantellata da Google e dall'FBI: una rete di oltre 2 milioni di dispositivi Android — Smart TV economiche e set-top box di streaming, infettati tramite applicazioni trojanizzate (Badbox 2.0) e collegate alla israeliana Alarum Technologies. In una sola settimana di giugno, attraverso questi nodi di uscita, operavano 316 cluster di minacce distinti, impegnati in password-spraying. Spur ha notato separatamente che nell'ambito dell'indagine su NetNut, tra 6038 applicazioni esaminate su dispositivi LG e Samsung, sono stati trovati 2058 dannosi, che commerciavano indirizzi IP. Ogni indirizzo "residenziale" è un televisore compromesso di qualcuno, e nei registri di IP intelligence è da tempo sotto osservazione.
La conclusione per il mercato: le liste nere statiche stanno diventando obsolete, ma sono state sostituite dall'intelligence infrastrutturale — i rilevatori non guardano più all'etichetta "residential", ma al comportamento reale e all'origine dell'indirizzo.
Cosa significa per chi utilizza i proxy legalmente
Il scraping di dati pubblici, il controllo della pubblicità, il monitoraggio dei prezzi, il multi-accounting, l'accesso ai contenuti geo-localizzati — sono compiti legittimi. Ma il rilevamento non chiede delle tue intenzioni: valuta l'infrastruttura. Pertanto, le regole del gioco nel 2026 stanno cambiando.
- L'etichetta "residenziale" non garantisce più nulla. È importante l'origine del pool. Gli indirizzi provenienti da dispositivi infetti e intervalli rivenduti più volte "bruciano" in massa. Gli IP residenziali e mobili puliti, raccolti eticamente e con bassa sovrapposizione, durano di più — è per questo che si combatte principalmente per la qualità.
- I proxy mobili ottengono un vantaggio. Il CGNAT dell'operatore raggruppa migliaia di abbonati reali dietro un solo IP — l'"effetto folla" rende costoso il ban di massa di tale indirizzo per il sito. Per compiti sensibili alla reputazione, i proxy mobili sono spesso più resistenti rispetto a un pool residenziale variegato. Maggiori dettagli sulla scelta — nell'analisi proxy residenziali contro proxy mobili.
- IP — solo metà dell'impronta. I rilevatori confrontano la geolocalizzazione IP con il fuso orario, la lingua, i client hints e la località del browser. Un IP residenziale dalla Francia con lingua di sistema en-US e fuso orario UTC è un chiaro flag per l'Integrità della Geolocalizzazione. La coerenza dell'ambiente è importante tanto quanto l'indirizzo stesso.
- Data center — non significa "spazzatura", ma è necessario capire la scena. Per i siti senza antifrode aggressivo, i proxy di data center sono economici e veloci. Contro i sistemi che valutano l'ASN, perdono all'ingresso — qui servono proxy residenziali.
- Controlla il tuo IP in anticipo. I controlli pubblici del fraud-score (IPQualityScore e simili) mostrano come il tuo indirizzo è visto dalla protezione, prima di avviare il compito. Se il punteggio è già nella zona rossa — non è colpa del tuo codice, ma dell'indirizzo "bruciato".
Conclusione
La crescita di Spur del 210% nel trimestre non è solo una notizia aziendale, ma un segnale: la parte difensiva della guerra dei proxy è cresciuta. L'IP intelligence è diventata un'industria matura, capace di distinguere il traffico residenziale pulito da quello rivenduto e infetto. Per il mercato, questo è doloroso, ma in un certo senso onesto: sopravvivono i fornitori con un'origine trasparente degli indirizzi e bassa sovrapposizione dei pool, e insieme a loro — coloro che combinano IP di qualità con una buona igiene dell'impronta e della località. Nel 2026, i proxy hanno smesso di essere un consumo "comprato e dimenticato"; sono diventati un attivo reputazionale, la cui pulizia deve essere monitorata da entrambe le parti.
```