Los proxies residenciales llegaron hasta la Casa Blanca. Entre el 5 de octubre y el 3 de noviembre, el tráfico de clientes de estos servicios salió 236 veces desde la red de la Oficina Ejecutiva del Presidente de Estados Unidos, el bloque AS2650 que aloja su red.
Layer3 Intel, firma que rastrea infraestructura de proxies y de anonimato en todo el mundo, publicó el hallazgo el 4 de noviembre tras estrenar su Residential Proxy Observatory, una interfaz que mapea salidas de proxies residenciales en el planeta. Las 236 salidas partieron de solo 6 direcciones públicas y aparecieron en 26 de los 30 días observados. El dato que incomoda: 28 servicios distintos pudieron salir por esa red.
El hallazgo fue casual. El equipo pidió acceso rotativo global a servicios públicos de proxies, el mismo que compra cualquier cliente por unos pocos dólares, y las peticiones salieron por las direcciones de la Casa Blanca sin que nadie apuntara a esa red. Para descartar un error, la firma cruzó las direcciones con Spur y Synthient, otras dos firmas del sector, y ambas las clasifican de forma independiente como salidas residenciales.
Un proxy residencial vende el ancho de banda de dispositivos comunes: computadoras, teléfonos y televisores conectados en casas y oficinas prestan su conexión para que el tráfico de un desconocido parezca salir de un hogar. El costo lo paga el dueño del aparato, muchas veces sin saberlo, porque el código que abre esa puerta viaja escondido dentro de aplicaciones gratuitas.
El patrón nocturno apunta a un aparato concreto
Cerca de la mitad de la actividad cayó entre las 5 de la tarde y la medianoche, hora del Este, y casi nada ocurrió de madrugada. Layer3 Intel lee ese horario como la huella de una persona, no de una red pública de invitados: alguien que permanece conectado hasta tarde, con un dispositivo que carga un kit de desarrollo de proxies. La firma lo repite con cuidado: sus datos muestran las salidas, no el aparato ni a su dueño.
La pista del programa la aportó Synthient. De acuerdo con esa firma, el tráfico sale de máquinas con Windows 11 que ejecutan el kit de desarrollo de Infatica, un proveedor de proxies con sede en Singapur que anuncia acceso a más de 45 millones de direcciones obtenidas, afirma, de forma ética. Ese kit se integra en aplicaciones de terceros y convierte cada instalación en un nodo de salida.
El nombre arrastra historia. Vladimir Fomenko, fundador de Infatica, también controla King Servers, la empresa de alojamiento que albergó seis de las ocho direcciones que usaron los atacantes rusos vinculados al Estado en la interferencia contra las elecciones estadounidenses de 2016, un vínculo documentado por el periodista Brian Krebs y citado por SecurityWeek el 6 de noviembre.
El riesgo no es la salida, es la puerta que queda abierta
Una salida de proxy, sola, no roba datos. El peligro está en el historial de estos kits: investigaciones anteriores mostraron kits de proxies mal asegurados que permitían entrar a la red interna del dispositivo y moverse hacia otros equipos. Synthient documentó la red de bots Kimwolf, con al menos 2 millones de aparatos reclutados a través de redes de proxies residenciales, casi todos Android con el servicio de depuración expuesto. Si el kit instalado en la red presidencial tuviera un fallo parecido, cualquiera que pagara el acceso podría intentar el mismo camino hacia sistemas internos. Es un escenario condicional, no un hecho confirmado.
El precedente tiene nombre y cifra. En 2024, el FBI desmanteló la mayor red de bots de proxies residenciales del mundo, con 19 millones de computadoras infectadas en 200 países, alquiladas a criminales para fraudes y ataques. Aquella operación demostró que estas redes no son una curiosidad técnica: son infraestructura delictiva con clientes de pago.
Layer3 Intel no ha identificado el aparato, la aplicación que metió el kit ni a la persona que lo usa. Tampoco hay evidencia de datos robados ni de acceso a sistemas internos de la Casa Blanca. La firma guardó los registros brutos y los dejó a disposición de las agencias que los pidan. CyberInsider reportó el 5 de noviembre que su fundador, Sergiy Usatyuk, dijo que la empresa aún no había avisado a nadie de forma directa y que no publicará las direcciones por su sensibilidad.
El observatorio dejó otra foto incómoda. En Santa Elena, Ascensión y Tristán de Acuña, el territorio del Atlántico Sur con la isla habitada más remota del planeta, Layer3 contó 413 direcciones y más de 32.000 observaciones repartidas entre Starlink y el proveedor local, Sure Saint Helena. Hubo salidas hasta en la Antártida: tres observaciones desde una dirección de Cloudflare WARP en la estación McMurdo. Las islas Malvinas sumaron 388 direcciones; Chagos, 43; Tokelau, 21.
Para el lector común, la lección baja a tierra: el mismo modelo de kit que terminó operando en la red presidencial se esconde en aplicaciones gratuitas de medio mundo. Revisar qué programas piden permisos raros, mantener el televisor y la caja de Android TV con el sistema al día y borrar lo que no se usa no es paranoia. Si la red más vigilada del planeta dejó pasar 236 salidas ajenas durante un mes, la red de una casa merece la misma revisión, con una ventaja: en casa sí se sabe qué aparatos hay conectados.
Fuente: Layer3 Intel
