La red de la Casa Blanca también sale a internet por proxies residenciales
236 salidas de servicios de proxy residencial atravesaron la red de la Casa Blanca en apenas 30 días. Lo detectó por azar el Residential Proxy Observatory que Layer3 Intel lanzó esa misma semana, y la conclusión es incómoda para cualquier founder: si una red con los estándares de seguridad del Ejecutivo estadounidense tiene dispositivos infectados, la de tu oficina (o la de tu casa) puede tenerlos también, y nadie del equipo lo notaría.
¿Qué encontró exactamente el observatorio de Layer3 Intel?
Entre el 5 de octubre y el 3 de noviembre, el pipeline de enumeración de Layer3 Intel salió por la red de la Casa Blanca 236 veces distintas, desde 6 direcciones IP, en 26 de los 30 días del período. El dato que más pesa: 28 servicios de proxy residencial diferentes lograron salir por esa misma red.
Esas direcciones pertenecen al AS2650, un bloque registrado a nombre de la Executive Office of the President, la agencia federal que aloja la red de la Casa Blanca. Para descartar un falso positivo, el equipo cruzó las IP con Spur y Synthient, dos servicios independientes de detección: las páginas públicas de contexto de ambas identifican esas direcciones como salidas de proxy residencial.
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →El acceso no exige nada sofisticado: cualquier persona puede registrarse en un servicio de proxy residencial público, pagar unos pocos dólares y enviar tráfico a través de él. Los investigadores aclaran que no apuntaron al objetivo: pidieron acceso rotativo global y la red apareció entre los resultados.
¿Por qué el patrón horario es la parte más reveladora?
Cerca de la mitad de la actividad se concentra entre las 5 de la tarde y la medianoche, hora del Este, y casi no hay movimiento en la madrugada. Ese patrón sugiere una persona y no una red de invitados con uso intensivo: alguien que trabaja hasta tarde en esa red y cuyo dispositivo tiene un SDK de proxy instalado.
Los datos del observatorio muestran las salidas, no el dispositivo ni la persona detrás de ellas. Pero la inferencia es razonable y es exactamente la que debería preocupar a un CTO: el nodo no está en el perímetro, está dentro del dispositivo de alguien con acceso legítimo.
¿Qué es un proxy residencial y por qué es un riesgo para tu startup?
Un proxy residencial vende acceso a dispositivos domésticos reales para que el tráfico del cliente parezca salir desde esa red. Según explica TechTimes, la lógica comercial es simple: las IP asignadas por operadores de internet arrastran una reputación alta en los sistemas antifraude y antibot, mientras que las IP de datacenter se bloquean o se examinan de inmediato.
Por eso el mismo tipo de tráfico que un equipo de growth usa para verificar anuncios o monitorear precios puede servir, con la misma infraestructura, para lanzar ataques de password spraying: cuando cada intento llega desde un hogar distinto, el límite por IP deja de funcionar, como detalla el mismo medio.
La investigación de Synthient citada por Layer3 Intel ya documentó que los SDK de proxy mal asegurados permiten acceso a redes internas y movimiento lateral entre equipos. Si el SDK presente en una red tiene esa falla, cualquiera que compre acceso a proxy puede usarlo para llegar a sistemas internos.
¿Cómo termina el software malicioso dentro de esos dispositivos?
KrebsOnSecurity documentó el caso de Kimwolf, un botnet que llegó a más de 2 millones de dispositivos en todo el mundo y que creció justamente al túnelizar de vuelta por redes de proxy residencial hacia la red local de cada endpoint.
El vector más común no es un hackeo dirigido: son apps y juegos móviles que incluyen el componente proxy, y sobre todo Android TV boxes sin certificar que se venden en marketplaces grandes. También marcos de fotos digitales conectados. El software que convierte la conexión en nodo proxy suele venir preinstalado o se dispara cuando el usuario instala una tienda de apps no oficial para acceder a contenido pirateado.
Según KrebsOnSecurity, IPIDEA (descrito como la mayor red de proxy residencial del mundo, con acceso publicitado a más de 100 millones de endpoints) tenía más de dos tercios de sus dispositivos expuestos operando en Android sin autenticación alguna. El 30 de diciembre, Synthient dijo que seguía unas 2 millones de direcciones de IPIDEA explotadas por Kimwolf en la semana previa, de acuerdo con la misma cobertura.
No es un fenómeno nuevo. KrebsOnSecurity recuerda que 911S5 Proxy operó entre 2014 y 2022 y que el Departamento del Tesoro de Estados Unidos sancionó en julio de 2024 a sus supuestos creadores. Y en julio de 2025 Google demandó a 25 acusados no identificados del ecosistema BadBox 2.0, un botnet que la compañía describió con más de diez millones de dispositivos de streaming Android no autorizados.
¿Qué significa esto para tu startup?
El hallazgo en la red de la Casa Blanca no es una anécdota de gobierno: es el recordatorio de que la seguridad de tu infraestructura depende de dispositivos que nunca auditaste. Tres acciones concretas:
- Inventaría todo lo que se conecta a tu red. TV boxes, marcos digitales, cámaras y routers de proveedores dudosos son los nodos favoritos. Antes de comprar hardware de streaming, verifica que el modelo esté en la lista oficial de fabricantes certificados de Android TV: una diferencia de precio sospechosa suele venir con sistema operativo sin certificar y sin protecciones.
- Aísla a los invitados y a lo que no controlas. Una red Wi-Fi de invitados bien configurada deja navegar pero no permite hablar con carpetas compartidas, impresoras ni servidores internos. Es la mitigación más barata que existe y la que casi nadie activa.
- Verifica tu propia IP y mantén activa la defensa del dispositivo. Existen herramientas públicas, incluida la de Synthient, que indican si una dirección pública fue observada funcionando como nodo de proxy. En Android, Google Play Protect ya está configurado para desactivar apps que contienen código de proxy malicioso y para bloquear instalaciones futuras.
Para los equipos que compran servicios de proxy para scraping o verificación de anuncios, la lectura es doble: auditen a sus proveedores y asuman que una parte de esos nodos corre en dispositivos ajenos sin consentimiento real.
¿Por qué un takedown no resuelve el problema?
En junio de 2026, Google (junto con el FBI, Lumen Technologies, la Shadowserver Foundation y la división de investigaciones criminales del IRS) desmanteló NetNut, una red de proxy residencial operada por Alarum Technologies, que cotiza en el Nasdaq con el ticker ALAR. Según TechTimes, la operación alcanzó un botnet con cerca de 2 millones de dispositivos de consumo y, en una sola semana de junio, Google observó 316 clusters de amenazas distintos usando nodos de salida de NetNut.
El problema es que el mercado se recompone. El mismo medio recuerda que, tras la disrupción de IPIDEA por parte de Google en enero de 2026, la investigación de Bitsight encontró que la infraestructura sucesora recuperó los niveles de dispositivos previos en un solo día: los operadores que pierden capacidad la compran a un competidor y se convierten en revendedores.
El frente judicial avanza en paralelo. BleepingComputer reportó la detención de Jacob Butler, acusado en Estados Unidos de operar el botnet KimWolf, usado en más de 25.000 ataques con picos de casi 30 terabits por segundo y pérdidas superiores al millón de dólares para algunas víctimas.
Incluso los lugares más remotos entran en el mapa. Layer3 Intel registró 413 direcciones y más de 32.000 observaciones en Saint Helena, Ascension y Tristan da Cunha, el territorio del Atlántico Sur que incluye la isla habitada más remota del mundo, repartidas entre Starlink y la operadora local Sure Saint Helena. También detectó 3 observaciones en la Antártida, todas desde una dirección de Cloudflare WARP que apunta a la base McMurdo Station, además de actividad en Pitcairn, la isla Norfolk, Svalbard, las Malvinas, las islas Chagos, Tokelau y Georgia del Sur.
Conclusión
La red de la Casa Blanca no cayó por un ataque dirigido: la alcanzó un mercado de acceso que opera a escala global y cuesta unos pocos dólares. Para un founder, la lección no es mirar de reojo al vecino, sino asumir que la frontera de tu red termina donde termina la lista de dispositivos en los que confías, y que esa lista casi siempre es más larga de lo que crees.
Layer3 Intel es explícito en que observó salidas, no dispositivos ni personas: no hay datos verificables sobre el equipo específico involucrado en la red de la Casa Blanca más allá de lo publicado.
Fuentes
- Residential Proxies Detected on White House Network (fuente original)
- The Kimwolf Botnet is Stalking Your Local Network
- FBI and Google Disrupt NetNut Botnet That Rented 2 Million Home Devices to Spies
- US and Canada arrest and charge suspected Kimwolf botnet admin
¿Y esto cómo se aplica en tu negocio?
Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.
👥 Quiero el Kit →
