Investigadores de Layer3 Intel descubrieron que 28 servicios de proxy residenciales estaban alquilando direcciones de la red de la Casa Blanca. Esto permitía que cualquier persona, con solo unos pocos dólares, pudiera enviar tráfico web a través de ellas. Dicha actividad fue detectada entre el 5 de octubre y el 3 de noviembre de 2026 mediante la herramienta Residential Proxy Observatory.

Investigadores de Layer3 Intel descubrieron que 28 servicios de proxy residenciales alquilan direcciones en la red de la Casa Blanca. Cualquier persona con unos pocos dólares podría enviar tráfico web a través de ellas. La actividad se registró desde el 5 de octubre hasta el 3 de noviembre de 2026.

El equipo detectó la actividad mientras navegaba por su nuevo Observatorio de Proxies Residenciales, una herramienta que muestra la actividad de proxies e internet oculta en todo el mundo. El tráfico provenía del AS2650, un bloque de red registrado a nombre de la Oficina Ejecutiva del Presidente. En 30 días, las herramientas del equipo salieron a través de esta red 236 veces. Las salidas provinieron de 6 direcciones durante 26 de los 30 días.

Layer3 Intel no tenía como objetivo esta red. Simplemente solicitó a los servicios de proxy un acceso global rotativo, y las direcciones de la Casa Blanca aparecieron por sí solas. Spur y Synthient, otras dos firmas de detección de proxies, también enumeran estas direcciones como salidas de proxy. Esto hace que sea improbable que se trate de un error puntual.

IP de la red de la Casa Blanca en alquiler

Un proxy residencial envía el tráfico web a través de una conexión real de hogar u oficina, por lo que el tráfico parece provenir de un usuario común. Muchos propietarios de dispositivos nunca aceptan esto. El software oculto en una aplicación o en un dispositivo barato puede vender ancho de banda sin que el propietario lo sepa. Debido a que las direcciones parecen normales, las listas de bloqueo simples a menudo no logran detectarlas.

Casi la mitad de la actividad ocurrió entre las 5 p.m. y la medianoche, hora del Este, y casi nada sucedió temprano por la mañana. Layer3 Intel dice que esto parece ser una sola persona en la red por la noche, y no una configuración de Wi-Fi pública para invitados. La causa más probable es un dispositivo personal que contiene un kit de software de proxy. Los datos muestran solo las salidas; no muestran qué dispositivo o persona está detrás de ellas.

El riesgo es que un kit de proxy débil puede dar a personas externas un camino hacia el interior de una red. Investigaciones anteriores de Synthient sobre la botnet Kimwolf muestran cómo sucede esto. Kimwolf alcanzó más de 2 millones de dispositivos, principalmente cajas Android con un servicio de depuración abierto, moviéndose a través de redes de proxies residenciales. En ese caso, los atacantes llegaron a dispositivos en redes domésticas privadas que deberían haber estado fuera de su alcance.

Este no es un patrón nuevo. Ya se ha cubierto cómo Kimwolf infectó 2 millones de dispositivos y los convirtió en nodos proxy. También se informó que Google interrumpió la red de proxies IPIDEA, que dependía de kits de software ocultos dentro de aplicaciones comunes. Investigaciones posteriores descubrieron que casi la mitad de las aplicaciones en televisores LG y Samsung contenían código de proxy.

El riesgo también llega al lugar de trabajo. Un informe sobre una aplicación de uso compartido de ancho de banda mostró que un solo dispositivo de empleado inscrito podría dar a personas externas una forma de llegar a la página de gestión de un router.

La Casa Blanca no fue la única sorpresa. Layer3 Intel registró 413 direcciones y más de 32,000 observaciones en Santa Elena, Ascensión y Tristán de Acuña.

También vio tres observaciones en la Antártida, todas desde una dirección de Cloudflare WARP vinculada a la Estación McMurdo. Recuentos menores provinieron de Pitcairn, la Isla Norfolk y Svalbard. Las Malvinas (388 direcciones), las Islas Chagos (43), Tokelau (21) y Georgia del Sur (7) también mostraron actividad.

Layer3 Intel dice que ha guardado los registros originales y los compartirá con las agencias pertinentes. Tú y tus equipos de red pueden tomar medidas sencillas ahora: pueden revisar los registros de DNS en busca de dominios de proxy conocidos y revisar las aplicaciones y complementos del navegador en los dispositivos de trabajo para buscar código de proxy. También deberían mantener los televisores y otros dispositivos Android de bajo costo fuera de las redes sensibles, y desactivar el servicio de depuración de Android donde no sea necesario.

Fuentes:
https://cybersecuritynews.com/white-house-network-ip-for-rent/