Trong khi một số công ty xây dựng mạng proxy, những công ty khác kiếm tiền từ việc phát hiện chúng. Vào ngày 15 tháng 7 năm 2026, Spur Intelligence của Mỹ đã báo cáo về sự tăng trưởng bùng nổ: +210% doanh thu mới và +42% doanh thu hàng năm (ARR) trong quý thứ hai với tỷ lệ giữ chân khách hàng 100%. Sản phẩm của Spur chỉ có một — phát hiện các công cụ ẩn danh: VPN, proxy cư trú và lưu lượng "được ngụy trang". Những con số như vậy có nghĩa là một điều đơn giản: ngành công nghiệp nhận diện proxy vào năm 2026 đang bùng nổ, và địa chỉ IP của bạn giờ đây có thể "bị cháy" ngay cả trước khi bạn gửi yêu cầu đầu tiên.
Điều gì đã xảy ra: phát hiện proxy trở thành một thị trường riêng biệt
Spur không phải là người chơi duy nhất, nhưng báo cáo của họ rất dễ đọc như một nhiệt kế cho toàn bộ phân khúc. Theo dữ liệu của công ty, 94% tổ chức đã gặp phải các sự cố liên quan đến cơ sở hạ tầng ẩn danh — VPN hoặc proxy cư trú. Trong khi đó, nghiên cứu "IP Intelligence Study 2026" của họ cho thấy chỉ khoảng một phần ba số người được hỏi thực sự hiểu rõ các rủi ro liên quan đến việc lạm dụng proxy cư trú trước khi gặp phải sự cố. CEO của Spur, Kevin Hickey, nêu rõ nhu cầu: "Các tổ chức cần có cái nhìn tốt hơn về ai đang kết nối với nền tảng của họ và cơ sở hạ tầng nào đứng sau hoạt động này".
Các công ty khác cũng đang phát triển: IPinfo vào tháng 6 năm 2026 đã công bố rằng cơ sở dữ liệu proxy cư trú có thể quan sát trực tiếp của họ đã vượt quá 107 triệu IP — tăng khoảng 2,3 lần trong một năm, với sự bao phủ của 126 nhà cung cấp proxy. IPQualityScore, Spur, GeoComply, IPinfo — đây là một lớp dịch vụ "IP-intelligence" đã hình thành, cung cấp cho các đội chống gian lận, ngân hàng, hệ thống phát trực tuyến và chính phủ một dịch vụ: cho biết rằng địa chỉ IP cụ thể đang ẩn chứa một proxy hoặc botnet.
Cách thức hoạt động: danh tiếng IP và đánh giá từ 0 đến 100
Cơ chế của hầu hết các công cụ phát hiện là tương tự nhau. Đầu vào là địa chỉ IP, đầu ra là fraud-score từ 0 đến 100. Ngưỡng khá giống nhau giữa IPQualityScore và Spur: 0–20 — đáng tin cậy, 21–60 — nghi ngờ, 61–100 — bị chặn. Sau đó, trang web tự quyết định phải làm gì: cho phép, hiển thị captcha hoặc từ chối. Điểm số được hình thành từ:
- ASN và loại mạng. Đây là điểm khởi đầu. Các địa chỉ từ các nhà cung cấp dịch vụ internet tiêu dùng ban đầu nhận được danh tiếng cao hơn so với ASN của các trung tâm dữ liệu và máy chủ. Đó là lý do tại sao proxy từ trung tâm dữ liệu giá rẻ thường bị chặn "tại cửa" — chỉ dựa vào số ASN, mà không cần phân tích hành vi.
- Phát hiện Anonymizer. Fingerprinting VPN, proxy và Tor: các dải địa chỉ đã biết, TTL và MTU đặc trưng, dấu hiệu của việc tunneling, so sánh các điểm vào và ra.
- Honey pots và bẫy. Các công cụ phát hiện duy trì một mạng lưới mồi và "báo cáo từ khách hàng": nếu IP xuất hiện trong hoạt động nghi ngờ của một khách hàng, danh tiếng sẽ giảm cho tất cả.
- Độ chính xác địa lý. Kiểm tra "di chuyển không thể" và sự không đồng bộ địa lý: nếu IP ở Đức, nhưng múi giờ, ngôn ngữ và client hints của trình duyệt lại cho thấy một quốc gia khác — đó là một lá cờ đỏ.
Chuyển biến công nghệ chính của năm 2026, theo đánh giá của chính các nhà cung cấp, chính là phát hiện proxy cư trú. Trước đây, hầu hết các API chỉ phát hiện được các trung tâm dữ liệu; giờ đây, chúng ngày càng nhận diện được cả lưu lượng đi qua các kết nối ISP thực tế. API Context của Spur, chẳng hạn, trả về hơn 20 thuộc tính cho một IP: địa lý, ASN, phân loại proxy/VPN, loại thiết bị và kết nối, ngữ cảnh của điểm vào-ra của đường hầm.
Tại sao proxy "bị cháy": sự chồng chéo của các nhóm và IP bị nhiễm
Nguyên nhân chính khiến các công cụ phát hiện trở nên hiệu quả hơn không phải là phép thuật, mà là chất lượng thấp của chính các nhóm trên thị trường đại chúng. Các phép đo mới nhất cho thấy điều này một cách rõ ràng.
Trong phân tích vào tháng 1 (2026) về hơn 170 triệu proxy cư trú-IP trong khoảng thời gian 90 ngày (86 triệu IPv4 và 87 triệu IPv6), đã phát hiện rằng 46% địa chỉ đã xuất hiện đồng thời trong mạng của nhiều nhà cung cấp. Đối với IPv4, sự chồng chéo trên một khoảng cách dài đã lên tới gần 70%. Nói một cách đơn giản, nhóm "độc quyền" của một người bán thực tế thường là cùng một nhóm với đối thủ — việc bán lại qua nhiều lớp. Bài kiểm tra nhóm của Smartproxy.org cho thấy rằng 773.087 địa chỉ của họ (38,21%) cũng có mặt trong tập dữ liệu IPIDEA — tức là một nguồn tài nguyên phần lớn dựa vào cơ sở hạ tầng của một nguồn khác.
Còn tệ hơn — tình trạng vệ sinh của những địa chỉ này. Việc theo dõi 30 dịch vụ proxy từ ngày 19 tháng 1 đến ngày 15 tháng 3 năm 2026 đã ghi nhận 53 triệu nút thoát duy nhất trong 55 ngày; trong số đó, 15% (8,2 triệu) đã bị đánh dấu là nhiễm phần mềm độc hại, và 13% (6,8 triệu) thể hiện hoạt động riskware. Khi nhà cung cấp thu thập các IP "cư trú" từ các SDK mờ ám và thiết bị bị nhiễm, những địa chỉ này đã xuất hiện trong cơ sở dữ liệu của các công cụ phát hiện như là độc hại.
Câu chuyện của NetNut rất đáng chú ý, khi vào ngày 3 tháng 7 năm 2026, Google và FBI đã tiêu diệt: một mạng lưới gồm hơn 2 triệu thiết bị Android — các Smart TV giá rẻ và các thiết bị phát trực tuyến, bị nhiễm qua các ứng dụng trojanized (Badbox 2.0) và liên quan đến Alarum Technologies của Israel. Trong một tuần vào tháng 6, qua những nút thoát này đã hoạt động 316 cụm đe dọa riêng biệt, thực hiện password-spraying. Spur đã lưu ý rằng trong khuôn khổ điều tra NetNut, trong số 6038 ứng dụng được kiểm tra trên các thiết bị LG và Samsung, đã phát hiện 2058 ứng dụng độc hại, đang bán IP. Mỗi địa chỉ "cư trú" như vậy đều là một chiếc TV bị hack của ai đó, và trong các hồ sơ IP-intelligence, nó đã lâu được ghi chú.
Kết luận cho thị trường: các danh sách đen tĩnh đã trở nên lỗi thời, nhưng thay vào đó là tình báo cơ sở hạ tầng — các công cụ phát hiện không nhìn vào nhãn "cư trú", mà vào hành vi thực tế và nguồn gốc của địa chỉ.
Điều này có nghĩa là gì đối với những người sử dụng proxy hợp pháp
Scraping dữ liệu công khai, kiểm tra quảng cáo, giám sát giá cả, đa tài khoản, truy cập vào nội dung địa lý — đây là những nhiệm vụ hợp pháp. Nhưng phát hiện không hỏi về ý định của bạn: nó đánh giá cơ sở hạ tầng. Do đó, quy tắc chơi vào năm 2026 đang thay đổi.
- Nhãn "cư trú" không còn đảm bảo điều gì. Nguồn gốc của nhóm là quan trọng. Các địa chỉ từ thiết bị bị nhiễm và các dải địa chỉ đã được bán lại nhiều lần "bị cháy" hàng loạt. Các IP cư trú và di động sạch sẽ, được thu thập một cách có đạo đức với độ chồng chéo thấp sẽ sống lâu hơn — đây chính là cuộc chiến chất lượng chính.
- Proxy di động có lợi thế. CGNAT của nhà điều hành đưa hàng ngàn thuê bao thực tế vào một IP — "hiệu ứng đám đông" khiến việc cấm địa chỉ này trở nên tốn kém cho trang web. Đối với các nhiệm vụ nhạy cảm với danh tiếng, proxy di động thường ổn định hơn so với nhóm cư trú đa dạng. Thông tin chi tiết về việc lựa chọn — trong bài phân tích proxy cư trú so với proxy di động.
- IP chỉ là một nửa dấu vân tay. Các công cụ phát hiện so sánh địa lý IP với múi giờ, ngôn ngữ, client hints và ngôn ngữ của trình duyệt. Một IP cư trú từ Pháp với ngôn ngữ hệ thống là en-US và múi giờ UTC — đây là một lá cờ đỏ cho Độ chính xác địa lý. Sự nhất quán của môi trường quan trọng không kém gì địa chỉ đó.
- Trung tâm dữ liệu không có nghĩa là "rác", nhưng cần hiểu rõ bối cảnh. Đối với các trang web không có hệ thống chống gian lận mạnh mẽ, proxy trung tâm dữ liệu rẻ và nhanh. Đối với các hệ thống đánh giá ASN, chúng thua ngay từ đầu — ở đây cần proxy cư trú.
- Kiểm tra IP của bạn trước. Các kiểm tra công khai về fraud-score (IPQualityScore và các tương tự) cho thấy cách mà địa chỉ của bạn được bảo vệ nhìn nhận, ngay cả trước khi bắt đầu nhiệm vụ. Nếu điểm số đã ở vùng đỏ — vấn đề không phải ở mã của bạn, mà ở địa chỉ "cũ kỹ".
Kết luận
Sự tăng trưởng 210% của Spur trong một quý không chỉ là một tin tức doanh nghiệp, mà là một tín hiệu: phòng thủ trong cuộc chiến proxy đã trưởng thành. IP-intelligence đã trở thành một ngành công nghiệp trưởng thành, có khả năng phân biệt lưu lượng cư trú sạch với lưu lượng đã được bán lại và nhiễm độc. Đối với thị trường, điều này là đau đớn, nhưng theo cách riêng của nó là công bằng: những nhà cung cấp có nguồn gốc địa chỉ minh bạch và độ chồng chéo nhóm thấp sẽ sống sót, cùng với họ là những người kết hợp IP chất lượng với sự chăm sóc cẩn thận về dấu vân tay và ngôn ngữ. Vào năm 2026, proxy không còn là một tài sản tiêu dùng "mua và quên"; nó đã trở thành một tài sản danh tiếng, mà cả hai bên đều phải theo dõi sự sạch sẽ của nó.
```