Hace unos días un equipo de investigadores hizo una prueba trivial: compraron acceso a un servicio de proxies residenciales, unos dólares nada más, y pidieron IP rotativas al azar. Entre las salidas que les asignó el rotador apareció una que no debía aparecer: la red reservada para la Oficina Ejecutiva del Presidente de Estados Unidos. No una vez. 236 salidas desde la red oficial de la Casa Blanca en 30 días, a través de 28 servicios de proxy distintos, la mayoría concentradas entre las 17:00 y la medianoche.
Qué es un proxy residencial, en dos líneas
El negocio es simple: una empresa te paga (o te mete un SDK en una app gratis) para que tu computador o teléfono preste su dirección IP, y un cliente desconocido navega pareciendo tú. Para cualquier sitio web, el tráfico se ve como si viniera de tu casa, tu oficina o, en este caso, de la red más famosa del mundo. El detalle incómodo: el dueño del aparato casi nunca sabe que está al arriendo.
En la Casa Blanca el servicio detectado fue Infatica, un programa que se instala con apps gratuitas de escritorio y móvil. Su fundador no es un desconocido: su empresa de hosting fue donde vivieron seis de las ocho IP que usó la inteligencia rusa para atacar sistemas electorales en 2016. Y el precio de mercado lo resumió bien un investigador entrevistado por Krebs: sesenta centavos de dólar el gigabyte, sin verificación de identidad. Por menos de un dólar entras a redes que cuestan millones fortificar.
El problema no es la Casa Blanca: es tu red
Ojo, esto no es exótico. El mismo análisis que detectó el caso encontró proxies residenciales operando dentro de casi 300 redes de gobierno, 318 compañías de servicios públicos, 166 de salud y 141 de banca. Una firma de bloqueo de dominios reportó que el 65% de sus clientes consultaba dominios relacionados con estos servicios. Es decir: en la red donde tú trabajas o administras, probablemente hay aparatos vendiendo su IP ahora mismo.
Yo administro una flota de VPS y hace años mantengo seguridad por lista blanca: ufw, fail2ban, y las IP de confianza actualizadas a mano (incluida mi IP móvil, que cambia cada cierto tiempo y me obliga a actualizar todo). La lección de esta historia de la Casa Blanca me duele en ese punto exacto: la dirección IP no es una identidad. Una IP que tú marcaste como confiable puede estar compartida, sin que nadie lo sepa, con desconocidos que pagan sesenta centavos el gigabyte. Si un sistema interno de tu empresa confía en sesiones por IP residencial, un atacante con un dólar puede aparecer como un empleado legítimo.
Qué haría yo esta semana
Tres cosas concretas. Primero, filtrado de salida: no basta con controlar quién entra, hay que revisar a qué se conectan tus equipos y bloquear los destinos conocidos de redes de proxy. Segundo, desconfiar de cualquier app gratuita que use ancho de banda raro en horarios insólitos; un SDK de proxy genera patrones fáciles de ver en un gráfico de tráfico. Y tercero, dejar de tratar la IP como credencial: la autenticación real es por identidad y criptografía, no por dirección. Los ataques a sistemas electorales usaron hosting barato en 2016 y hoy la misma lógica funciona invertida: el aparato del funcionario es el hosting.
Pagar una fortaleza en firewalls y después regalar la salida por sesenta centavos el gigabyte es, siendo honestos, una weá. Y está pasando en todas partes, no solo en la red más vigilada del planeta.
Fuente: Want to Rent an Internet Address at the White House?, de Krebs on Security.
Fuente de inspiración: Want to Rent an Internet Address at the White House?
