Enquanto algumas empresas constroem redes de proxy, outras lucram ao calculá-las. Em 15 de julho de 2026, a americana Spur Intelligence relatou um crescimento explosivo: +210% de novos negócios e +42% de receita anual (ARR) no segundo trimestre com 100% de retenção de clientes. A Spur tem um único produto — detecção de anonimizadores: VPN, proxies residenciais e tráfego "disfarçado". Esses números significam uma coisa simples: a indústria de reconhecimento de proxies em 2026 está passando por um boom, e seu IP pode "queimar" antes mesmo de você enviar a primeira solicitação.
O que aconteceu: a detecção de proxies se tornou um mercado separado
A Spur não é o único jogador, mas seu relatório é conveniente para ler como um termômetro de todo o segmento. De acordo com a empresa, 94% das organizações enfrentaram incidentes que envolveram infraestrutura de anonimização — VPN ou proxies residenciais. No entanto, seu próprio "IP Intelligence Study 2026" mostrou que apenas cerca de um terço dos entrevistados realmente compreendia os riscos do uso indevido de proxies residenciais antes de enfrentar um incidente. O CEO da Spur, Kevin Hickey, formula a demanda diretamente: "As organizações precisam de melhor visibilidade sobre quem está se conectando às suas plataformas e qual infraestrutura está por trás dessa atividade".
Paralelamente, outras também estão crescendo: a IPinfo anunciou em junho de 2026 que sua base de proxies residenciais diretamente observáveis ultrapassou 107 milhões de IPs — um crescimento de aproximadamente 2,3 vezes em um ano, com cobertura de 126 provedores de proxy. IPQualityScore, Spur, GeoComply, IPinfo — já é uma classe consolidada de serviços de "IP-inteligência", que vendem a equipes antifraude, bancos, serviços de streaming e sistemas governamentais um único serviço: informar se um IP específico está ocultando um proxy ou botnet.
Como isso funciona: reputação de IP e avaliação de 0 a 100
A mecânica da maioria dos detectores é semelhante. Na entrada — um endereço IP, na saída — fraud-score de 0 a 100. Os limites são aproximadamente os mesmos para IPQualityScore e Spur: 0–20 — confiável, 21–60 — suspeito, 61–100 — bloqueado. A partir daí, o site decide o que fazer: permitir, mostrar um captcha ou negar. A avaliação é composta por:
- ASN e tipo de rede. Este é o ponto de partida. Endereços de provedores de internet residenciais inicialmente recebem uma reputação mais alta do que ASN de hospedagem e data centers. É por isso que proxies de data center baratos frequentemente são bloqueados "na entrada" — apenas pelo número da sistema autônomo, sem qualquer análise de comportamento.
- Detecção de Anonimizadores. Fingerprinting de VPN, proxies e Tor: faixas conhecidas, TTL e MTU características, sinais de tunelamento, correspondência de pontos de entrada e saída.
- Honey pots e armadilhas. Detectores mantêm uma rede de iscas e "relatórios de clientes": se um IP aparecer em uma atividade suspeita de um cliente, a reputação cai para todos.
- Integridade de Geolocalização. Verificação de "movimentações impossíveis" e desincronização geográfica: se o IP está na Alemanha, mas o fuso horário, o idioma e os hints do cliente do navegador gritam sobre outro país — isso é uma bandeira.
A principal mudança tecnológica de 2026, segundo os próprios fornecedores, é a detecção de proxies residenciais. Anteriormente, a maioria das APIs capturava apenas data centers; agora, elas reconhecem cada vez mais o tráfego que passa por conexões ISP reais. A Context API da Spur, por exemplo, retorna mais de 20 atributos para um IP: geografia, ASN, atribuição de proxy/VPN, tipo de dispositivo e conexão, contexto do ponto de entrada e saída do túnel.
Por que os proxies "queimam": sobreposição de pools e IPs infectados
A principal razão pela qual os detectores se tornaram mais eficazes não é mágica, mas a baixa qualidade dos próprios pools no mercado de massa. Medições recentes mostram isso de forma clara.
Na análise de janeiro (2026) de mais de 170 milhões de proxies residenciais-IP em uma janela de 90 dias (86 milhões IPv4 e 87 milhões IPv6), foi descoberto que 46% dos endereços apareciam simultaneamente nas redes de vários provedores. Para IPv4, a sobreposição a longo prazo chegava a quase 70%. Em termos simples, um pool "exclusivo" de um vendedor muitas vezes é o mesmo pool que o de um concorrente — revenda através de várias camadas. O teste do pool Smartproxy.org mostrou que 773.087 de seus endereços (38,21%) também estavam presentes no conjunto de dados da IPIDEA — ou seja, um recurso depende em grande parte da infraestrutura de outro.
Pior ainda é o estado sanitário desses endereços. O monitoramento de 30 serviços de proxy de 19 de janeiro a 15 de março de 2026 registrou 53 milhões de nós de saída únicos em 55 dias; desses, 15% (8,2 milhões) foram simultaneamente marcados como infectados com malware ativo, e mais 13% (6,8 milhões) mostraram atividade de riskware. Quando um provedor coleta IPs "residenciais" de SDKs duvidosos e dispositivos infectados, esses mesmos endereços já aparecem nas bases de dados dos detectores como maliciosos.
A história da NetNut é emblemática, que foi desmantelada em 3 de julho de 2026 pelo Google e pelo FBI: uma rede de 2+ milhões de dispositivos Android — TVs inteligentes baratas e dispositivos de streaming, infectados através de aplicativos trojanizados (Badbox 2.0) e associados à israelense Alarum Technologies. Em uma semana de junho, 316 clusters de ameaças distintos operaram através desses nós de saída, realizando password-spraying. A Spur observou separadamente que, no âmbito da investigação da NetNut, entre 6038 aplicativos examinados em dispositivos LG e Samsung, foram encontrados 2058 maliciosos, que comercializavam endereços IP. Cada um desses endereços "residenciais" é uma televisão hackeada de alguém, e nos registros de IP-inteligência, ele já está sob vigilância.
A conclusão para o mercado: listas negras estáticas estão se tornando obsoletas, mas foram substituídas pela inteligência de infraestrutura — os detectores não olham mais para o rótulo "residencial", mas para o comportamento real e a origem do endereço.
O que isso significa para quem usa proxies legalmente
Scraping de dados públicos, verificação de anúncios, monitoramento de preços, multi-contas, acesso a conteúdo geográfico — essas são tarefas legais. Mas a detecção não pergunta sobre suas intenções: ela avalia a infraestrutura. Portanto, as regras do jogo em 2026 estão mudando.
- O rótulo "residencial" não garante mais nada. A origem do pool é importante. Endereços de dispositivos infectados e faixas revendidas várias vezes "queimam" em massa. IPs residenciais e móveis limpos, coletados eticamente e com baixa sobreposição, duram mais — é por isso que a principal batalha pela qualidade está acontecendo.
- Proxies móveis ganham vantagem. O CGNAT do operador coloca milhares de assinantes reais atrás de um IP — o "efeito de multidão" torna o banimento desse endereço caro para o site. Para tarefas sensíveis à reputação, proxies móveis são frequentemente mais resistentes do que um pool residencial diversificado. Mais detalhes sobre a escolha estão na análise residenciais contra proxies móveis.
- IP é apenas metade da impressão. Os detectores comparam a geolocalização do IP com o fuso horário, idioma, hints do cliente e localidade do navegador. Um IP residencial da França com idioma do sistema en-US e fuso horário UTC — isso é uma bandeira pronta para a Integridade de Geolocalização. A consistência do ambiente é tão importante quanto o próprio endereço.
- Data center não significa "lixo", mas é preciso entender a cena. Para sites sem antifraude agressivo, proxies de data center são baratos e rápidos. Contra sistemas que avaliam ASN, eles perdem na entrada — aqui são necessários proxies residenciais.
- Verifique seu IP com antecedência. Verificações públicas de fraud-score (IPQualityScore e similares) mostram como seu endereço é visto pela proteção, antes mesmo de iniciar a tarefa. Se o score já está na zona vermelha — o problema não está no seu código, mas no endereço "queimado".
Conclusão
O crescimento da Spur de 210% em um trimestre não é apenas uma notícia corporativa, mas um sinal: o lado defensivo da guerra dos proxies amadureceu. A IP-inteligência se tornou uma indústria madura, que sabe distinguir tráfego residencial limpo de tráfego revendido e infectado. Para o mercado, isso é doloroso, mas de certa forma justo: sobrevivem os provedores com origem transparente dos endereços e baixa sobreposição dos pools, e junto com eles — aqueles que combinam IP de qualidade com uma higiene cuidadosa da impressão e localidade. Em 2026, o proxy deixou de ser um consumível "compre e esqueça"; tornou-se um ativo reputacional, cuja limpeza deve ser monitorada por ambas as partes.
```