Twoje domowe łącze może przekierowywać ruch dla nieznajomych. Oto, jak działają sieci proxy domowe, w jaki sposób urządzenia są do nich włączane oraz co nasze dane telemetryczne ujawniają na temat zagrożeń dla konsumentów.
Spis treści
- Czym jest proxy domowe
- W jaki sposób urządzenia konsumenckie trafiają do tych sieci
- Dlaczego „zgoda” rzadko ma znaczenie
- Rzeczywiste ryzyko ponoszone przez konsumentów
- Co pokazują nasze dane telemetryczne
- Co mogą zrobić konsumenci
- Wniosek
Od stycznia 2026 r. wykryliśmy 7,4 mln złośliwych incydentów związanych z ruchem w sieciach proxy domowych, które dotknęły 572 000 użytkowników objętych naszymi danymi telemetrycznymi. W tym modelu gospodarstwo domowe, którego połączenie jest wykorzystywane, często nie jest nabywcą ruchu. Stanowi ono jedynie punkt wyjścia.
To właśnie jest niepokojąca strona sieci proxy domowych. Domowy router, laptop, telefon, telewizor smart lub inne urządzenie pozostające stale włączone może po cichu stać się częścią komercyjnej sieci, która przekierowuje ruch internetowy nieznajomych przez zwykłe adresy IP konsumentów. Dla stron internetowych po drugiej stronie ten ruch wygląda tak, jakby pochodził z prawdziwego gospodarstwa domowego – bo tak właśnie jest.
Sama technologia nie jest z natury złośliwa. Firmy wykorzystują proxy domowe do badań rynkowych, weryfikacji reklam, ochrony marki, testów bezpieczeństwa oraz usług, które wymagają postrzegania sieci tak, jak robiłby to prawdziwy użytkownik. Jednak ta sama cecha, która sprawia, że sieci te są użyteczne, czyni je również atrakcyjnymi dla nadużyć: ruch z domowego adresu IP trudno jest zablokować bez ryzyka fałszywych alarmów wobec legalnych użytkowników.
Problem dla konsumentów jest prostszy. Wiele osób w ogóle nie zdaje sobie sprawy, że ich urządzenie lub połączenie może zostać włączone do tego rodzaju sieci. Niektórzy użytkownicy wyrażają na to zgodę poprzez aplikacje oferujące płatny dostęp do przepustowości. Inni są włączani za pośrednictwem „bezpłatnych” sieci VPN, zestawów narzędzi programistycznych dołączonych do niepowiązanych aplikacji lub niechcianego oprogramowania, które instaluje komponenty proxy bez wyraźnej zgody.
Oto jak działa ten rynek, kto za niego płaci i ile może to kosztować gospodarstwo domowe, które nieświadomie go hostuje.
Czym jest proxy domowe
Proxy domowe to połączenie internetowe – zazwyczaj domowy laptop, telefon, telewizor smart lub router – które zostało włączone do sieci strony trzeciej i jest wykorzystywane do przekierowywania ruchu innych osób. Dla reszty internetu ruch ten wygląda tak, jakby pochodził ze zwykłego domowego adresu IP przypisanego przez domowego dostawcę usług internetowych, a nie z centrum danych lub dostawcy VPN.
Sieci proxy domowych są sprzedawane na rynku. Model ten ma charakter dwustronny: niektórzy płacą za tunelowanie swojego ruchu przez połączenie innej osoby (podobnie jak w przypadku VPN, z tą różnicą, że punktem wyjściowym jest prawdziwe gospodarstwo domowe), podczas gdy inni otrzymują wynagrodzenie za udostępnianie tych punktów wyjściowych. Niektóre z nich mają strukturę płatnych sieci peer-to-peer, w których połączenie dowolnego uczestnika może służyć jako punkt wyjściowy dla każdego innego.
Nabywcy płacą za dostęp do pul milionów adresów IP „prawdziwych użytkowników”, ponieważ są one niezwykle trudne do zablokowania, a raczej ich blokowanie wiąże się z realnymi konsekwencjami: ruch pochodzi z prawdziwych gospodarstw domowych, więc każda blokada grozi odcięciem legalnego użytkownika – co w praktyce stanowi fałszywy alarm.
Do typowych nabywców należą firmy zajmujące się badaniami rynku, serwisy porównujące ceny, dostawcy rozwiązań do ochrony marek, zespoły ds. bezpieczeństwa testujące własne zabezpieczenia oraz narzędzia chroniące prywatność konsumentów. W części rynku, w której dochodzi do nadużyć, ta sama infrastruktura jest wykorzystywana przez operatorów prowadzących zautomatyzowane boty zakupowe, kampanie scrapingowe, oszustwa reklamowe, ataki typu credential stuffing, phishing oraz inne ataki, w których ukrycie prawdziwego źródła ruchu ma kluczowe znaczenie. Popyt kształtuje również scraping internetowy na dużą skalę, w tym scraping w celu pozyskania danych do szkolenia sztucznej inteligencji. W miarę jak systemy antybotowe coraz lepiej identyfikują ruch pochodzący z centrów danych i znanych dostawców VPN, adresy IP użytkowników domowych stają się bardziej atrakcyjne, ponieważ wyglądają jak zwykli użytkownicy. Nie oznacza to, że każdy użytkownik proxy domowego ma złe zamiary. Oznacza to jednak, że konsumenci mogą przenosić ruch dla firm i podmiotów, o których nigdy nie słyszeli.
W jaki sposób urządzenia konsumenckie trafiają do tych sieci
Istnieje kilka sposobów, w jakie urządzenie domowe może stać się częścią sieci proxy domowego. Niektóre z nich są oczywiste. Inne łatwo przeoczyć.
Najbardziej oczywistą drogą jest model płatności za przepustowość. Aplikacje takie jak Honeygain, IPRoyal Pawns i PacketStream płacą użytkownikom za udostępnianie ich połączenia internetowego. Użytkownik wyraża zgodę, ale może nie rozumieć, kto później kupi dostęp do tego połączenia, jaki rodzaj ruchu będzie przez nie przepływał ani co się stanie, jeśli ruch ten spowoduje zgłoszenia nadużyć.
Drugą metodą są „bezpłatne” aplikacje VPN lub proxy. Zamiast pobierać opłatę abonamentową, aplikacja zarabia na połączeniu użytkownika, odsprzedając przepustowość. W praktyce użytkownik może sądzić, że otrzymuje narzędzie zapewniające prywatność, a jednocześnie staje się infrastrukturą dla ruchu innych osób.
Trzecią metodą są dołączone zestawy narzędzi programistycznych (SDK). Programista dodaje komponent strony trzeciej do aplikacji, która w innym przypadku nie ma z tym nic wspólnego, takiej jak latarka, tapeta, gra lub narzędzie. Programista otrzymuje wynagrodzenie, gdy aplikacja jest aktywna. Użytkownik widzi aplikację główną, a nie sieć proxy działającą w tle.
Czwartą metodą jest złośliwe oprogramowanie lub potencjalnie niechciane oprogramowanie. W takich przypadkach komponent proxy jest instalowany w sposób ukryty lub podstępny, bez żadnej znaczącej zgody użytkownika.
Dlaczego „zgoda” rzadko ma znaczenie
Nawet jeśli zgoda technicznie istnieje, często nie jest to rodzaj zgody, który większość ludzi uznałaby za taką.
Informacja ta może być ukryta w długim dokumencie zawierającym warunki korzystania z usługi. Sformułowania mogą być niejasne i zawierać zwroty takie jak „udostępnij swoją niewykorzystaną przepustowość”, „wesprzyj aplikację” lub „dołącz do naszej sieci”. Zwroty te nie informują użytkownika w jasny sposób, że dowolne strony trzecie mogą kierować ruch przez domowy adres IP użytkownika.
Pojawia się również kwestia wykorzystania ruchu w dalszej części sieci. Użytkownicy rzadko dowiadują się, kto kupuje dostęp do sieci ani w jaki sposób nabywcy ten dostęp wykorzystują. Ich połączenie może służyć do nieszkodliwych badań rynkowych. Może być również wykorzystywane do scrapingu, automatycznego tworzenia kont, oszustw reklamowych, ataków typu credential stuffing lub jako infrastruktura phishingowa.
Problem pogłębia się, gdy komponent proxy znajduje się wewnątrz innej aplikacji. Polityka prywatności aplikacji głównej może wspominać o partnerskim SDK, podając nazwę marki, ale to nadal nie wyjaśnia zwykłemu użytkownikowi, że jego urządzenie może stać się punktem końcowym proxy.
Odinstalowanie widocznej aplikacji również nie zawsze rozwiązuje problem w sposób ostateczny, zwłaszcza gdy komponenty proxy są instalowane oddzielnie lub w pakiecie z innym niechcianym oprogramowaniem.
Rzeczywiste ryzyko ponoszone przez konsumentów
Gdy urządzenie domowe staje się węzłem proxy, użytkownik ponosi ryzyko związane z ruchem generowanym przez kogoś innego.
Pierwszym ryzykiem jest przypisanie odpowiedzialności. Niewłaściwa, oszukańcza lub nielegalna aktywność kierowana przez urządzenie wydaje się pochodzić z adresu IP danego gospodarstwa domowego. Powiadomienia dostawców usług internetowych o nadużyciach, blokady na platformach, kontrole pod kątem oszustw oraz wnioski organów ścigania kierowane są w pierwszej kolejności do abonenta, a nie do osoby, która zakupiła ruch proxy.
Drugim ryzykiem jest wydajność. Ciągły ruch generowany przez osoby trzecie może zużywać przepustowość, spowalniać sieć domową, powodować przekroczenie limitów danych lub naruszać warunki świadczenia usług dostawcy. Użytkownik może zauważyć jedynie, że internet wydaje się wolniejszy, rachunek jest wyższy lub usługa nagle blokuje dostęp.
Trzecim ryzykiem jest narażenie bezpieczeństwa. Klienci serwerów proxy uruchamiają trwałe procesy w tle i utrzymują połączenia sieciowe, aby móc przekazywać ruch. Powoduje to dodanie do urządzenia oprogramowania sieciowego działającego w trybie ciągłym, często przy ograniczonej widoczności dla użytkownika.
Czwartym ryzykiem jest reputacja. Domowy adres IP wykorzystywany do nadużyć może trafić na listy blokowanych adresów używane przez banki, sprzedawców detalicznych, serwisy streamingowe i platformy internetowe. Skutkiem tego mogą być utrudnienia w korzystaniu z konta, nieudane logowania, dodatkowe etapy weryfikacji lub całkowite zablokowanie dostępu do usług, z których faktycznie korzysta dane gospodarstwo domowe.
Istnieje również aspekt rodzinny. Dziecko lub inny członek gospodarstwa domowego może zainstalować darmową grę, VPN lub narzędzie, nie rozumiejąc konsekwencji. Ryzyko prawne, finansowe i związane z reputacją nadal spoczywa na właścicielu konta.
Co pokazują nasze dane telemetryczne
Od początku 2026 roku wykryliśmy 7,4 miliona incydentów złośliwego ruchu związanych z ruchem przez serwery proxy domowe, które dotknęły 572 000 unikalnych użytkowników z naszej bazy.
Nie jest to pomiar całego rynku serwerów proxy domowych. Odzwierciedla to, co obserwujemy w naszych danych telemetrycznych: złośliwy ruch, wykrycia i powiązaną aktywność mającą wpływ na chronionych użytkowników. Rzeczywisty zasięg jest znacznie większy, ponieważ sieci serwerów proxy typu residential obejmują główne platformy konsumenckie oraz wiele urządzeń pozostających poza naszym zasięgiem.
Działalność ta ma charakter globalny, ale koncentruje się w mniejszej grupie krajów. Na czele z dużym przewagą plasują się Indie, z około 83 000 dotkniętych użytkowników, a za nimi Wietnam z 61 000 i Brazylia z 39 000. Filipiny (23 000), Polska (18 000), Indonezja (18 000) i Tajlandia (14 000) tworzą drugą grupę, a Egipt, Hiszpania, Ukraina, Argentyna, Meksyk i Włochy mają po 10 000 do 13 000 użytkowników. Rozkład w Azji Południowej i Południowo-Wschodniej, Ameryce Łacińskiej oraz Europie Wschodniej i Południowej odzwierciedla obszary, w których aplikacje-nośniki tego oprogramowania są najczęściej instalowane.
Ten rozkład geograficzny prawdopodobnie wynika z połączenia czynników takich jak dystrybucja aplikacji, lokalne wzorce instalacji, zainteresowanie użytkowników aplikacjami oferującymi bezpłatny lub płatny dostęp do przepustowości oraz ekonomika odsprzedaży przepustowości. Nie należy go traktować jako prostego rankingu miejsc, z których pochodzi nadużycie serwerów proxy przez użytkowników indywidualnych.
Poniższy wykres przedstawia podział zagrożeń, które zaobserwowaliśmy w ruchu związanym z serwerami proxy. Dominują dwie kategorie: phishing i złośliwe reklamy. Za nimi znajduje się długa lista oszustw skierowanych do konsumentów, w tym oszustwa w sklepach internetowych, oszustwa ogólne, oszustwa finansowe oraz fałszywe strony z samouczkami, a także bezpośrednie złośliwe oprogramowanie, takie jak trojany i inny złośliwy ruch.
W zaobserwowanym przez nas złośliwym ruchu proxy dominują oszustwa i złośliwe oprogramowanie. Dla konsumentów istotne jest nie tylko to, że ich połączenie może być wykorzystywane przez kogoś innego. Chodzi o to, że w przypadku nadużycia adres IP ich gospodarstwa domowego może stać się adresem zwrotnym.
Co mogą zrobić konsumenci
Większość osób nie rozpozna komponentu proxy domowego po nazwie. Istnieją jednak praktyczne sygnały ostrzegawcze.
Sprawdź „darmowe” sieci VPN, aplikacje proxy, aplikacje do współdzielenia przepustowości oraz narzędzia od nieznanych wydawców. Sprawdź, czy w ich warunkach użytkowania pojawiają się wzmianki o współdzieleniu przepustowości, sieciach peer-to-peer, routingu ruchu lub uczestnictwie w sieci. Jeśli aplikacja oferuje wynagrodzenie za pozostawienie urządzenia w trybie online, załóż, że Twoje połączenie może być odsprzedawane, chyba że dostawca dokładnie wyjaśni, w jaki sposób ruch jest weryfikowany i kto może kupić dostęp.
Na telefonach i komputerach usuwaj aplikacje, których nie rozpoznajesz lub z których już nie korzystasz. Na routerach domowych sprawdź listę podłączonych urządzeń i poszukaj nieznanych pozycji. Jeśli Twój dostawca usług internetowych wysyła powiadomienia o nadużyciach, strony internetowe zaczynają Cię blokować lub Twój domowy adres IP nagle nie przechodzi kontroli pod kątem oszustw, jednym z możliwych wyjaśnień jest obecność komponentu proxy.
Oprogramowanie zabezpieczające może również pomóc w wykrywaniu niechcianych klientów proxy, dołączonych komponentów i powiązanej złośliwej aktywności. Nie powinno to jednak być dla konsumentów zgadywanką. Oprogramowanie, które zamienia domowe połączenie w komercyjny węzeł wyjściowy, powinno być jasno oznaczone i łatwe do usunięcia.
Wniosek
W przypadku proxy domowych połączenie użytkownika staje się infrastrukturą dla cudzego biznesu.
Problem nie polega na tym, że technologia serwerów proxy domowych istnieje. Ma ona uzasadnione zastosowania. Problem polega na tym, czy ludzie wiedzą, kiedy ich urządzenia są jej częścią, czy rozumieją, jaki rodzaj ruchu może przepływać przez ich połączenie, oraz czy mają rzeczywistą możliwość rezygnacji.
Rozwiązaniem nie jest udawanie, że konsumenci przeczytają każdą umowę licencyjną (EULA). Oprogramowanie to powinno być jasno nazwane, wyraźnie wyeksponowane i łatwe do usunięcia, zanim domowe połączenie stanie się infrastrukturą kogoś innego.
Źródło zdjęć: depositphotos.com
Materiał przygotowany przez CORE - Norton, Avast i AVG w Polsce