Twoje IP a ich działania i ruch

Instalujesz aplikację, która oferuje nagrodę, funkcję premium lub może trochę pieniędzy w zamian za udostępnienie części nieużywanej przepustowości internetowej. Brzmi niegroźnie. Twoje połączenie i tak przez większość czasu pozostaje bezczynne.

To, co może być mniej oczywiste, to co taka umowa oznacza w praktyce. Ruch generowany przez kogoś innego może opuścić internet przez Twoje domowe połączenie, używając Twojego rezydencjalnego adresu IP. Dla strony internetowej odbierającej ten ruch może wyglądać, jakby żądanie pochodziło od Ciebie. A jeśli ten ruch jest złośliwy lub ma charakter nadużycia, to Twój domowy adres IP od teraz będzie z nim kojarzony.

Wprowadzenie

Na tym polega podstawowa idea rezydencjalnego serwera proxy. Firmy używają ich do zupełnie legalnych celów – od monitorowania cen i weryfikacji reklam po web scraping i zbieranie danych dla sztucznej inteligencji. Jednak model ten opiera się na czymś, co łatwo przeoczyć: każdy sprzedawany rezydencjalny adres IP musi należeć do prawdziwego połączenia gdzieś na świecie.

Chcieliśmy przyjrzeć się tej stronie rynku. Ile komputerów, które chronimy, faktycznie uruchamia oprogramowanie powiązane z sieciami rezydencjalnych serwerów proxy? Gdzie się znajdują? Którzy dostawcy mają największy zasięg? Czy te sieci rezydencjalnych serwerów proxy są nadużywane? I czy ludzie faktycznie rozumieją, na co się zgadzają?

KLUCZOWE WNIOSKI

• Między styczniem a połową września 2026 r. zablokowaliśmy 20,8 miliona ataków powiązanych z ekosystemami rezydencjalnych serwerów proxy. Phishing był najczęstszą kategorią zagrożeń – 5,15 miliona zablokowanych ataków, a następnie 1,26 miliona związanych z malvertisingiem.
• Geografia złośliwej aktywności nie jest prostym odzwierciedleniem geografii instalacji rezydencjalnych serwerów proxy. Stany Zjednoczone zajęły jedynie 10. miejsce w naszym wrześniowym zestawieniu aktywnego oprogramowania rezydencjalnych serwerów proxy (ok. 56 000 użytkowników), ale 4. miejsce pod względem zablokowanej złośliwej aktywności – ponad 1,1 miliona ataków.
• Zaobserwowany przez nas zasięg rezydencjalnych serwerów proxy jest silnie skoncentrowany. Bright Data, Hola i NetNut odpowiadają za około 94% aktywnego zasięgu dostawców w naszej telemetrii systemu Windows, choć ich rozkłady geograficzne znacznie się różnią.
• Nie istnieje jeden profil zagrożeń dla rezydencjalnych serwerów proxy. Niektóre ekosystemy dostawców zdominowane są przez phishing i malvertising, podczas gdy inne wykazują znacznie silniejsze powiązania z dropperami, infekcjami plików, robakami lub trojanami.
• Większość amerykańskich konsumentów nie rozumie, czym są rezydencjalne serwery proxy. Jedynie 8,8% respondentów poprawnie zidentyfikowało, jak działają, podczas gdy 17,2% stwierdziło, że aktualnie używa aplikacji nagradzającej za udostępnienie nieużywanej przepustowości. Po wyjaśnieniu działania, 76,5% stwierdziło, że obawiałoby się, gdyby osoby trzecie kierowały ruch przez ich domowe połączenie.

Zaczęliśmy od maszyn

Nasza telemetria instalacji zidentyfikowała oprogramowanie powiązane z 18 dostawcami rezydencjalnych serwerów proxy na aktywnych systemach Windows, które chronimy. Pierwszą rzeczą, która rzuciła się w oczy, była koncentracja. Bright Data, którego klientami są m.in. NBCUniversal, Deloitte i McDonald’s, miał zdecydowanie największy zasięg – szacunkowo 1,47 miliona aktywnych użytkowników w naszym wrześniowym zestawieniu. Hola uplasowała się na drugim miejscu z ok. 664 000, a NetNut z ok. 474 000. Po tej trójce liczby szybko spadają: Honeygain miał ok. 68 000 aktywnych użytkowników, a Infatica ok. 56 000 – żaden inny dostawca w naszym aktualnym zestawieniu nie przekroczył 11 000.

Łącznie Bright Data, Hola i NetNut stanowią około 94% połączonego zasięgu dostawców, który zaobserwowaliśmy.

Geografia jest równie interesująca. Indie miały największy łączny zasięg rezydencjalnych serwerów proxy w naszym zestawieniu – ok. 294 000 aktywnych użytkowników. Wietnam znalazł się na drugim miejscu z ok. 177 000, Ukraina z 132 000, Brazylia z 131 000, a Filipiny z 97 000. Stany Zjednoczone zajęły dziesiąte miejsce z ok. 56 000.

Poszczególni dostawcy charakteryzują się bardzo zróżnicowanym rozmieszczeniem geograficznym. Bright Data była obecna w 153 krajach i terytoriach, przy czym największe skupiska użytkowników odnotowano w Indiach, Wietnamie i Brazylii. Również w przypadku Hola na czele znalazły się Indie i Wietnam. Sytuacja w przypadku NetNut wyglądała zupełnie inaczej: na Ukrainie odnotowano około 60 000 aktywnych użytkowników korzystających z tego oprogramowania, a na drugim miejscu znalazły się Indie z liczbą około 34 000. Honeygain był najsilniejszy w Brazylii i na Filipinach, natomiast Infatica dominowała na Ukrainie i w Indiach. Dostawcy serwerów proxy dla użytkowników prywatnych mogą sprzedawać dostęp do globalnej puli, ale przepustowość poszczególnych sieci nie jest rozłożona w ten sam sposób.

Windows to tylko część obrazu

Nasza telemetria celowo koncentruje się na identyfikowalnych aplikacjach działających w systemie Windows, które są powiązane z sieciami rezydencjalnych serwerów proxy. Nie próbuje mierzyć SDK proxy osadzonych w innych aplikacjach ani urządzeń z systemem Android, telewizorów Smart TV, routerów ani innego sprzętu podłączonego do sieci. Zasięg opisany w niniejszym raporcie należy zatem traktować jako tę część ekosystemu, którą możemy konsekwentnie mierzyć, a nie jako jego całkowity rozmiar.

Ten szerszy ekosystem nie jest tylko teorią. W 2026 roku badacze z firmy Spur przeanalizowali ponad 6 000 aplikacji przeznaczonych dla telewizorów smart z systemami LG webOS i Samsung Tizen i stwierdzili, że w około jednej trzeciej z nich znalazły się zestawy SDK do obsługi serwerów proxy domowych. Firmy LG i Samsung podjęły następnie działania mające na celu ograniczenie dostępu lub usunięcie aplikacji zawierających funkcje serwerów proxy domowych ze swoich platform telewizyjnych.

Łączność mobilna rozszerza ten ekosystem poza aplikacje dla systemu Windows omówione w niniejszym badaniu. Infrastrukturę serwerów proxy domowych i mobilnych można również zbudować przy użyciu kart SIM i zestawów modemów komórkowych, zapewniających adresy IP z sieci komórkowych zamiast stacjonarnych połączeń szerokopasmowych. Istnieją również bardziej zaawansowane sposoby pozyskiwania dodatkowych, użytecznych adresów z łączności mobilnej, ale jest to obszar, który chcielibyśmy zbadać oddzielnie przed wyciągnięciem wniosków.

To, co obserwujemy w systemie Windows, nie jest zatem całym ekosystemem serwerów proxy domowych. Jest to jedynie jedno z okien, przez które można na niego spojrzeć.

Następnie pojawiło się pytanie dotyczące bezpieczeństwa: co przepływa przez te sieci?

Obecność złośliwego ruchu nie oznacza, że dostawca serwerów proxy dla użytkowników indywidualnych ponosi odpowiedzialność za tę aktywność. Legalna infrastruktura jest rutynowo wykorzystywana przez osoby o złych zamiarach, a większe sieci w naturalny sposób stwarzają więcej możliwości nadużyć. Nasze dane pokazują to, co zaobserwowaliśmy i zablokowaliśmy w tych sieciach, a nie to, że sami dostawcy generowali tę aktywność lub świadomie ją umożliwiali.

Mapowanie oprogramowania mówi nam, skąd pochodzi część zasobów rezydencjalnych serwerów proxy, ale nie mówi nam, w jaki sposób sieci są wykorzystywane. Przyjrzeliśmy się złośliwemu ruchowi, który nasze zabezpieczenia blokowały od dostawców rezydencjalnych serwerów proxy objętych badaniem, między styczniem a połową września 2026 roku.

Łącznie zablokowano 20,8 mln odrębnych ataków. Sam Bright Data był powiązany z 17,3 mln z nich, dotykając 771 159 chronionych użytkowników. To około 83% wszystkich zablokowanych ataków na poziomie dostawców w tym zestawie danych. Honeygain był wyraźnie na drugim miejscu, a NetNut był powiązany z 789 668 atakami.

Liczby te nie stanowią rankingu określającego, który dostawca jest „najbardziej niebezpieczny”. Większa sieć ma więcej okazji do pojawienia się w danych telemetrycznych, a migawka instalacji oraz dane dotyczące ataków obejmują różne okresy.

Nawet w obrębie grupy użytkowników, których dotyczy problem, częstotliwość powtarzania się ataków znacznie się różni. W badanym okresie firma Bright Data odnotowała średnio około 22,5 różnych zablokowanych ataków na każdego chronionego użytkownika, Honeygain – około 24,7, a Tuxler – około 29,8.

Phishing prowadzi ogółem, ale mix zagrożeń jest zróżnicowany

Gdy grupujemy zablokowaną aktywność według rodzaju zagrożenia, phishing jest najczęstszą kategorią – pojawia się w ponad 5,15 miliona obserwacji ataków w kategoriach dostawców. Malvertising zajmuje drugie miejsce z ok. 1,26 miliona, następnie trojany z ok. 667 000.

Kategorie te nakładają się na siebie. Jedno złośliwe zdarzenie może wyzwolić więcej niż jedną klasyfikację.

Bright Data odpowiada za większość wolumenu phishingu w wartościach bezwzględnych. Hola i NetNut wyglądają zupełnie inaczej. Wiodącymi kategoriami Holi były robaki, trojany i infektory plików. W przypadku NetNut droppery dotknęły ok. 88 700 chronionych użytkowników, a infektory plików ok. 76 700, podczas gdy phishing był stosunkowo ograniczony.

Honeygain i Tuxler wykazują podobną częstotliwość występowania ataków phishingowych i innych zagrożeń internetowych. Ataki phishingowe dotknęły około 33 600 użytkowników Honeygain, czyli blisko dwie trzecie chronionej przez tę firmę populacji, podczas gdy Tuxler wykrył ataki phishingowe u ponad 15 000 spośród 19 184 chronionych użytkowników, co stanowi około 80%.

Sytuacja w przypadku Hola i NetNut wygląda zupełnie inaczej. Najczęściej wykrywanymi typami zagrożeń w Hola były robaki, trojany i programy infekujące pliki, które dotknęły odpowiednio około 54 000, 50 000 i 45 000 chronionych użytkowników. W przypadku NetNut programy typu dropper dotknęły około 88 700 chronionych użytkowników, a programy infekujące pliki około 76 700, podczas gdy ataki phishingowe były stosunkowo rzadkie. Microleaves/Shifter również wykazał profil silnie zorientowany na pliki, na czele z programami infekującymi pliki, dropperami i oprogramowaniem reklamowym.

Ta różnorodność jest jednym z bardziej przydatnych wniosków płynących z danych. „Nadużywanie serwerów proxy domowych” jest często omawiane jako pojedyncza kategoria, ale ruch, który blokujemy, nie wydaje się jednorodny. Różne ekosystemy dostawców wiążą się ze znacznie różniącymi się kombinacjami phishingu, oszustw i złośliwego oprogramowania.

Gdzie blokowaliśmy ataki

Indie odnotowały największą liczbę zablokowanych ataków powiązanych z ekosystemami rezydencjalnych serwerów proxy w naszych danych na poziomie krajowym – ok. 1,76 miliona. Brazylia uplasowała się na drugim miejscu z ok. 1,50 miliona, Wietnam z 1,32 miliona, Stany Zjednoczone z 1,14 miliona, a Francja z niespełna 990 000.

Stany Zjednoczone i Francja szczególnie się wyróżniają. USA zajęły jedynie 10. miejsce w naszym wrześniowym zestawieniu aktywnych instalacji rezydencjalnych serwerów proxy, ale 4. miejsce pod względem zablokowanej złośliwej aktywności. Francja wykazuje podobny wzorzec – stosunkowo skromny zasięg instalacji, ale prawie milion zablokowanych ataków. Jednym z wyjaśnień jest to, że rezydencjalne adresy IP na rynkach zachodnich są szczególnie przydatne dla atakujących próbujących wtopić się w konsumentów lub usługi, które atakują.

Jednym z wyjaśnień jest to, że prywatne adresy IP na rynkach zachodnich są szczególnie przydatne dla atakujących, którzy próbują wtopić się w grupę konsumentów lub usług, na które atakują. Ruch pochodzący na przykład z prywatnego adresu IP w Stanach Zjednoczonych może wydawać się mniej podejrzany dla amerykańskiej usługi niż to samo żądanie pochodzące z odległego regionu geograficznego lub centrum danych.

STUDIUM PRZYPADKU: NETNUT

Co pozostaje po zakłóceniu sieci

NetNut zasługuje na osobne omówienie, ponieważ wydarzenia z 2026 roku zmieniły status samej sieci. NetNut jest spółką zależną Alarum Technologies, spółki notowanej na giełdach Nasdaq i w Tel Awiwie. 2 lipca firma Alarum poinformowała, że FBI przejęło domeny powiązane z NetNut. Następnie przejęto kolejne domeny, doszło do zakłóceń w działaniu usług, a firma Alarum ogłosiła później tymczasowe wstrzymanie ruchu przez dotknięte incydentem usługi sieciowe na czas prowadzenia dochodzenia w tej sprawie.

Grupa Google Threat Intelligence, która podjęła działania we współpracy z FBI, firmą Lumen i innymi podmiotami, opisała NetNut jako sieć proxy domową, znaną również pod nazwą Popa. Google oszacowało, że sieć ta obejmuje co najmniej dwa miliony urządzeń na całym świecie, i stwierdziło, że w ciągu jednego tygodnia czerwca zaobserwowało 316 odrębnych klastrów zagrożeń korzystających z węzłów wyjściowych podejrzanych o przynależność do NetNut, w tym grupy cyberprzestępcze i szpiegowskie. Google stwierdziło również, że ma duże przekonanie, iż wiele marek serwerów proxy dla użytkowników indywidualnych korzystało z sieci NetNut pod własną marką.

Nastąpiły konsekwencje prawne i korporacyjne. Firma Alarum poinformowała o postępowaniach w Izraelu oraz o pozwie zbiorowym wniesionym w stanie New Jersey w USA. Firma oświadczyła, że analizuje te postępowania wraz ze swoimi doradcami prawnymi i zamierza energicznie się bronić. Zarzuty w tych postępowaniach są jedynie domysłami, a nie ustalonymi faktami.

Nasze dane telemetryczne wnoszą do tej historii inny element. W pierwszej połowie września, około dwa miesiące po akcji organów ścigania, nadal obserwowaliśmy oprogramowanie powiązane z NetNut na około 474 000 aktywnych systemach Windows. Jednocześnie nie zaobserwowaliśmy odpowiadającego temu ruchu proxy NetNut z tych instalacji. Jest to zgodne z lipcowym oświadczeniem firmy Alarum, że ruch przez usługi, których to dotyczyło, został wstrzymany.

Innymi słowy, ślady oprogramowania pozostały, ale aktywność proxy ustała. Domeny można szybko przejąć; oprogramowanie rozproszone na setkach tysięcy komputerów nie znika wraz z nimi.

Pewność siebie jest znacznie wyższa niż zrozumienie

W świetle tych danych telemetrycznych wyniki naszej ankiety przeprowadzonej w Stanach Zjednoczonych stają się szczególnie wymowne. W lipcu 2026 roku zapytaliśmy 1000 dorosłych osób, co wiedzą na temat serwerów proxy typu residential i współdzielenia przepustowości. Na pierwszy rzut oka poziom świadomości nie wyglądał źle: 13,9% respondentów stwierdziło, że rozumie, czym są serwery proxy typu residential i jak działają, a kolejne 13,2% przyznało, że ma o tym podstawowe pojęcie. Łącznie 27,1% respondentów uważało, że w pewnym stopniu rozumie tę technologię.

Następnie sprawdziliśmy tę wiedzę. Spośród respondentów, którzy twierdzili, że rozumieją, czym są serwery proxy typu residential, tylko 32,3% wybrało prawidłowe wyjaśnienie: że serwer proxy typu residential pozwala innym osobom lub firmom kierować ruch internetowy przez domowe łącze internetowe prawdziwego użytkownika. W całej próbie oznacza to, że zaledwie 8,8% dorosłych Amerykanów zarówno twierdziło, że w pewnym stopniu rozumie tę kwestię, jak i wybrało prawidłową definicję.

Terminologia może być niejasna, ale model biznesowy jest bardziej znany. Około 17,2% respondentów stwierdziło, że obecnie korzysta z aplikacji oferującej nagrody, pieniądze, funkcje premium lub bezpłatny dostęp w zamian za udostępnianie niewykorzystanej przepustowości internetowej, a kolejne 12,2% przyznało, że korzystało z takiej aplikacji w przeszłości. Ankieta nie miała na celu ustalenia, czy te konkretne aplikacje były częścią sieci serwerów proxy typu residential, ale różnica jest uderzająca: prawie dwukrotnie więcej respondentów stwierdziło, że obecnie korzysta z aplikacji do udostępniania przepustowości, niż tych, którzy potrafili poprawnie wyjaśnić, jak działa serwer proxy typu residential.

Ta rozbieżność staje się bardziej widoczna, gdy opisujemy to zjawisko językiem potocznym, a nie terminologią branżową. Tylko 25,1% respondentów spodziewało się, że „udostępnianie niewykorzystanej przepustowości” oznacza, iż inne osoby lub firmy mogą uzyskiwać dostęp do stron internetowych za pośrednictwem ich domowego adresu IP, podczas gdy 26,0% zrozumiało, że ich urządzenie może być postrzegane przez strony internetowe jako źródło aktywności internetowej innej osoby. Prawie jedna trzecia, czyli 31,6%, stwierdziła, że nie wie, co oznacza to wyrażenie.

Kiedy zapytaliśmy, jak bardzo ludzie byliby zaniepokojeni, gdyby aplikacja pozwalała stronom trzecim kierować ruch internetowy przez ich domowe łącze, 76,5% stwierdziło, że byliby bardzo lub dość zaniepokojeni. W tej grupie 55,5% obawiało się, że ich domowy adres IP zostanie powiązany z podejrzaną lub nielegalną działalnością, 51,5% martwiło się o prywatność, a 41,1% o zablokowanie kont lub usług z powodu podejrzanego ruchu, który wydawałby się pochodzić z ich adresu IP.

Te obawy ściśle pokrywają się z powodem, dla którego proxy domowe są w ogóle przydatne. Ruch sieciowy przejmuje cechy i reputację zwykłego połączenia konsumenckiego. Dla legalnych klientów może to umożliwić gromadzenie danych na dużą skalę lub testy geograficzne. Dla atakującego ta sama właściwość może utrudnić odróżnienie złośliwej aktywności od normalnego ruchu domowego. Nasze dane telemetryczne nie wskazują, czy połączenie konkretnego respondenta ankiety zostało wykorzystane w ten sposób, ale 20,8 miliona zablokowanych przez nas ataków pokazuje, że złośliwe wykorzystanie infrastruktury serwerów proxy domowych nie jest bynajmniej tylko teorią.

Na pytanie, czy zainstalowaliby aplikację, która pozwalałaby stronom trzecim kierować ruch przez ich domowe połączenie w zamian za niewielką nagrodę lub bezpłatny dostęp, 53,4% odpowiedziało „nie”. Kolejne 26,7% odpowiedziało „być może”, o ile aplikacja jasno wyjaśniałaby, jak działa, a 20,0% stwierdziło, że na pewno by to zrobiło. Badanie obejmuje wyłącznie dorosłych mieszkańców Stanów Zjednoczonych, więc tych odsetek nie należy ekstrapolować na skalę globalną, ale podkreślają one podstawowy problem komunikacyjny: „dzielenie się niewykorzystaną przepustowością” brzmi zupełnie inaczej niż „zezwolenie, by ruch kogoś innego opuszczał internet przez Twój domowy adres IP”.

Zgoda, umowy i obietnice

Usługi proxy domowe mają legalnych klientów, a niektórzy konsumenci świadomie decydują się na wymianę przepustowości na pieniądze, nagrody lub bezpłatne usługi. Sam fakt obecności oprogramowania proxy domowego na komputerze, a nawet złośliwego ruchu w sieci dostawcy, nie stanowi dowodu na to, że dostawca wprowadził użytkowników w błąd lub nie egzekwował swoich zasad.

Zgoda to kwestia znacznie bardziej złożona niż zaznaczenie pola wyboru. W grę mogą wchodzić: klient korzystający z serwera proxy, dostawca serwera proxy, twórca aplikacji osadzający zestaw SDK, konsument, którego urządzenie udostępnia domowy adres IP, oraz dostawca usług internetowych, z którego połączenia ostatecznie się korzysta. Każda z tych relacji może wiązać się z innymi zobowiązaniami i ograniczeniami.

Niektóre umowy z dostawcami usług internetowych dla użytkowników domowych wyraźnie ograniczają na przykład tego rodzaju współdzielenie. Obecne warunki usługi Fios firmy Verizon stanowią, że abonenci nie mogą odsprzedawać, ponownie udostępniać ani wynajmować usługi, ani pozwalać na korzystanie z niej osobom trzecim poza zwykłym korzystaniem z gościnnej sieci Wi-Fi, a także informują klientów, że to oni są odpowiedzialni za wyłączenie funkcji podłączonych urządzeń, które naruszałyby te warunki. Nie oznacza to, że oprogramowanie proxy dla użytkowników domowych automatycznie narusza umowę z dostawcą usług internetowych; warunki różnią się w zależności od dostawcy, kraju i usługi. Wskazuje to jednak, że kliknięcie przez konsumenta na ekranie zgody w aplikacji może nie być jedyną umową, która ma znaczenie.

Branża składa również szersze obietnice dotyczące etycznego pozyskiwania danych, świadomej zgody, weryfikacji klientów oraz zapobiegania nadużyciom. Obietnice te w coraz większym stopniu stają się mierzalne, a nie czysto retoryczne. W lipcu Organizacja ds. Standardów Testowania Oprogramowania Antywirusowego (AMTSO) opublikowała projekt ram dotyczących testowania wyraźnych i dorozumianych obietnic składanych przez aplikacje i usługi. Projekt przeszedł już publiczną weryfikację i czeka na ostateczne zatwierdzenie.

Proxy domowe są jednym z przykładów zawartych w projekcie. Omówiono w nim konkretnie testowanie deklaracji dotyczących pozyskiwania zasobów i zgody, zapobiegania nadużyciom i niewłaściwemu wykorzystaniu, ochrony punktu końcowego konsumenta oraz faktu, że płacący klient korzystający z proxy nie jest tą samą osobą, co konsument, którego urządzenie lub połączenie jest wykorzystywane. Firma Gen uczestniczyła w grupie roboczej, która opracowała ten projekt.

Nasze badania nie stanowią testu zgodności z tymi ramami, a sama obecność złośliwej aktywności nie jest dowodem na to, że dostawca złamał obietnicę. Nasze dane pokazują jednak, dlaczego obietnice te zasługują na dokładną analizę. Gdy firma opiera się na milionach adresów IP domowych i sprzedaje dostęp stronom trzecim, pytania o to, skąd pochodzą te punkty końcowe, na co zgodzili się użytkownicy i jakie mechanizmy kontroli zostały wdrożone, stanowią część modelu bezpieczeństwa, a nie tylko elementu marketingu.

Zaufanie nie wystarczy

Proxy domowe nie znikną. Jeśli już, to popyt na nie prawdopodobnie wzrośnie, ponieważ firmy zajmujące się sztuczną inteligencją, przedsiębiorstwa danych i zautomatyzowane agenty potrzebują więcej sposobów na uzyskanie dostępu do publicznej sieci na dużą skalę, bez konieczności kierowania każdego żądania z centrum danych.

To sprawia, że kwestie związane z tymi sieciami stają się coraz ważniejsze, a nie mniej istotne.
Dostawca proxy domowych może twierdzić, że jego punkty końcowe pochodzą z etycznych źródeł, że użytkownicy wyrazili zgodę, że klienci są weryfikowani, a nadużycia są kontrolowane. Są to rozsądne obietnice. Jednak gdy sieć obejmuje miliony urządzeń i obsługuje ruch na taką skalę, obietnice te powinny stać się również deklaracjami, które można poddać niezależnej weryfikacji.

Nasze dane nie wskazują, że sieci proxy domowych są z natury złośliwe. Pokazują one coś bardziej przydatnego: legalna infrastruktura może nadal przenosić znaczną ilość złośliwej aktywności, profil zagrożeń może się ogromnie różnić w zależności od sieci, a osoby dostarczające połączenia domowe często rozumieją tę technologię znacznie gorzej niż otaczająca ich branża.

To nakłada obowiązki na obie strony rynku.

Klienci kupujący dostęp domowy powinni zwracać uwagę na to, skąd pochodzą te adresy IP i jakie mechanizmy kontroli istnieją w sieci, z której korzystają. Dostawcy powinni być w stanie wykazać, w jaki sposób pozyskiwane są punkty końcowe, na co zgodzili się użytkownicy, w jaki sposób wykrywane są nadużycia oraz co się dzieje, gdy te mechanizmy zawiodą. Konsumenci powinni natomiast zostać poinformowani, w języku, który faktycznie rozumieją, co oznacza, gdy aplikacja prosi ich o „udostępnienie niewykorzystanej przepustowości”.

Branża serwerów proxy dla klientów indywidualnych od lat ułatwia zakup dostępu do cudzego adresu IP.

Kolejnym wyzwaniem jest udowodnienie, że wszystkie zaangażowane strony rozumieją i mogą ufać temu, co dzieje się po sprzedaży tego dostępu.

Metodologia

Telemetria instalacji

Firma Gen Threat Labs opracowała system telemetryczny służący do identyfikacji oprogramowania systemu Windows powiązanego z wybranymi komercyjnymi dostawcami serwerów proxy dla użytkowników domowych. Dane dotyczące instalacji wykorzystane w niniejszym badaniu obejmują aktywne systemy zaobserwowane w okresie od 1 do 15 września 2026 r.

Liczby podane w artykule to populacje aktywnych użytkowników uzyskane na podstawie telemetrii Gen. Aby komputer pojawił się w statystykach, musiał być aktywny i podłączony do sieci w okresie obserwacji. Liczby użytkowników w widokach dostawców, ścieżek oprogramowania i krajów wykorzystanych w analizie są deduplikowane w ramach tych widoków.

Dane dotyczące instalacji odzwierciedlają populację użytkowników systemu Windows monitorowaną przez Gen. Nie należy ich interpretować jako spisu wszystkich punktów końcowych serwerów proxy domowych na całym świecie ani jako miary udziału w rynku komercyjnym.

Ujawnienie informacji: Gen korzysta z infrastruktury serwerów proxy i przeglądarek firmy Bright Data w niektórych usługach związanych z prywatnością i reputacją. Firma Bright Data nie brała udziału w niniejszym badaniu, a jego wyniki opierają się na danych telemetrycznych i wykryciach bezpieczeństwa firmy Gen Threat Labs.

Złośliwy ruch

Analiza złośliwego ruchu obejmuje okres od stycznia do połowy września 2026 r. i koncentruje się na atakach związanych z dostawcami serwerów proxy dla użytkowników indywidualnych uwzględnionych w badaniu.

Użytkownicy chronieni to unikalni użytkownicy, w przypadku których Gen zablokował co najmniej jeden atak powiązany z danym dostawcą. Zablokowane ataki są deduplikowane na poziomie zdarzeń złośliwych, więc wielokrotne wykrycia wywołane tym samym zdarzeniem nie zawyżają łącznej liczby na poziomie dostawcy.

W przypadku analizy geograficznej złośliwej aktywności kraj odnosi się do lokalizacji węzła wyjściowego proxy domowego.

Załącznik: Kluczowe dane telemetryczne

W niniejszym załączniku termin „telemetria instalacji” odnosi się do użytkowników systemu Windows korzystających z ochrony Gen, na których urządzeniach w okresie badań zaobserwowaliśmy oprogramowanie powiązane z dostawcami serwerów proxy dla użytkowników domowych. Dane te nie stanowią liczb użytkowników ani instalacji zgłoszonych przez dostawców.

A. Największe zasięgi dostawców rezydencjalnych serwerów proxy

B. Kraje z największym łącznym zasięgiem rezydencjalnych serwerów proxy

C. Wiodące kraje instalacji według dostawcy

D. Zablokowane ataki według ekosystemu dostawcy (Top 5)

Na całkowitą liczbę ataków wpływa wielkość sieci i nie należy jej traktować jako rankingu ryzyka związanego z danym dostawcą.

E. Najczęstsze klasyfikacje zagrożeń

F. Wiodące typy zagrożeń według ekosystemu dostawcy

Typy są uporządkowane według liczby chronionych użytkowników przypisanych do każdej klasyfikacji.

G. Kraje z największą liczbą zablokowanych ataków

Podziel się z nami swoją opinią! Zostaw komentarz!

Materiał przygotowany przez CORE - Norton, Avast i AVG w Polsce