Risques des proxies ouverts pour les sites web : pourquoi ils concentrent autant de trafic abusif

L’attrait des proxies ouverts pour les acteurs malveillants

Les proxies ouverts posent, par nature, un vrai défi aux équipes chargées de la sécurité des sites web. Ce ne sont pas de simples relais anonymes : ils sont souvent compromis, mal configurés ou volontairement laissés accessibles pour faciliter toutes sortes d’abus. Pour les ingénieurs réseau qui protègent des actifs web, comprendre pourquoi ces proxies reviennent si souvent dans le trafic d’attaque est indispensable pour bâtir une défense efficace.

Au fond, un proxy ouvert offre à l’attaquant une couche de brouillage. Il lui permet de faire partir son trafic depuis une adresse IP qui n’est pas directement rattachée à sa propre infrastructure. Résultat : l’attribution devient plus difficile, l’analyse forensic prend plus de temps, et les blocages IP classiques perdent en efficacité, puisque l’adresse source change fréquemment ou appartient à un tiers qui n’a rien demandé.

Que désigne réellement un "proxy ouvert" dans un contexte d’abus ?

Le terme "proxy ouvert" évoque souvent un proxy SOCKS ou HTTP volontairement mal configuré. Dans le trafic abusif, la réalité est plus large. On y retrouve notamment :

• Appareils compromis : Des terminaux résidentiels ou professionnels infectés par un malware, transformés à leur insu en nœuds proxy. Il peut s’agir de proxies HTTP/SOCKS, voire de serveurs VPN. Ce trafic est particulièrement délicat à distinguer d’un trafic utilisateur légitime, car il provient souvent d’adresses IP résidentielles.
• Serveurs mal configurés : Des environnements de développement ou de test, souvent hébergés dans le cloud, laissés par erreur avec des services proxy accessibles. Ils proviennent généralement de plages IP de datacenter.
• Infrastructures anciennes ou non maintenues : Des services obsolètes, non patchés, faciles à détourner.
• Services de "proxy gratuit" : Des services présentés comme gratuits et ouverts au public, avec l’idée explicite — ou à peine voilée — qu’ils serviront à contourner des contrôles.

Cette diversité explique pourquoi la détection des proxies ouverts ne peut pas reposer sur une seule technique. Elle exige plutôt de croiser plusieurs signaux.

Les signaux techniques qui révèlent l’usage d’un proxy ouvert

La détection des proxies ouverts s’appuie sur l’analyse de différentes caractéristiques d’adresse IP et de schémas de comportement. Aucun signal n’est infaillible à lui seul, mais leur combinaison renforce nettement la détection.

1. Géolocalisation IP et type de réseau

Le type de réseau est l’un des premiers signaux à examiner. Les utilisateurs légitimes se connectent généralement depuis des adresses IP résidentielles ou mobiles. Les proxies ouverts, eux, proviennent fréquemment de :

• Plages IP de datacenter : De nombreux proxies publics ou compromis sont hébergés chez des fournisseurs cloud (AWS, Azure, Google Cloud, DigitalOcean, OVH, etc.) ou dans des infrastructures de colocation classiques. Ces plages IP sont bien documentées et se distinguent nettement de celles des fournisseurs d’accès internet grand public.
• Incohérences entre géolocalisation et fournisseur d’accès : Un utilisateur qui se connecte depuis une IP géolocalisée dans un datacenter situé dans un pays incohérent avec son origine attendue — par exemple un utilisateur connu à Paris qui apparaît soudainement depuis un datacenter OVH au Canada — mérite une attention particulière.

2. Autonomous System Number (ASN) et informations d’hébergement

L’ASN identifie l’opérateur du réseau. Une part importante du trafic malveillant provient d’ASN connus pour héberger un volume élevé d’activités abusives. En particulier :

• ASN de fournisseurs cloud : Comme indiqué plus haut, de nombreux proxies ouverts s’appuient sur des infrastructures cloud. Le trafic issu de ces ASN doit être examiné de près, surtout si le service consulté n’est pas une API conçue pour des échanges serveur à serveur.
• ASN associés à du "bulletproof hosting" : Certains ASN traînent une réputation de laxisme en matière de traitement des abus. Ils attirent des acteurs malveillants qui y hébergent des serveurs C2, des sites de phishing ou des infrastructures de proxy.

3. Noms d’hôte rDNS et métadonnées IP

Les enregistrements Reverse DNS (rDNS) peuvent apporter un contexte précieux. Ils ne sont pas toujours présents ni parfaitement configurés, mais certains motifs inhabituels sont révélateurs :

• Noms d’hôte génériques ou par défaut : ec2-xx-xx-xx-xx.compute-1.amazonaws.com, vps-xxxx.server-provider.com, ou des IP sans enregistrement rDNS sont fréquents pour des proxies hébergés en datacenter. Les IP résidentielles légitimes disposent souvent de rDNS plus spécifiques, attribués par le fournisseur d’accès.
• Décalage entre rDNS et usage attendu : Une IP appartenant à un grand fournisseur d’accès grand public, mais dont le rDNS suggère un usage serveur, peut indiquer une compromission.
• Association à un score de risque : Les plateformes d’intelligence IP, qui s’appuient sur de larges volumes de données, attribuent souvent des scores de risque aux adresses IP selon leur historique, leur type de réseau et leurs métadonnées associées. Un score élevé constitue un indicateur fort d’abus potentiel, souvent corrélé à une activité de proxy ou de bot.

4. Analyse comportementale et schémas de connexion

Au-delà des caractéristiques statiques d’une IP, le comportement dynamique est déterminant :

• Rotation rapide des IP : Un attaquant utilisant un botnet de proxies ouverts change souvent d’adresse IP très fréquemment, parfois à chaque requête ou toutes les quelques requêtes. Ce comportement peut être détecté en analysant, sur une courte fenêtre de temps, les changements d’IP source pour une même session ou un même user agent.
• Volume ou fréquence de connexions anormalement élevés : Une seule IP de proxy ouvert peut générer un nombre de requêtes bien supérieur à celui d’un utilisateur résidentiel classique. C’est souvent le signe d’un botnet ou d’une opération de scraping.
• En-têtes HTTP inhabituels : L’absence d’en-têtes attendus d’un navigateur, un ordre incohérent des en-têtes ou la présence d’en-têtes propres aux proxies (X-Forwarded-For, Via, Client-IP) peuvent signaler l’usage d’un proxy. X-Forwarded-For est légitime dans le cadre de load balancers, mais sa présence directe depuis une IP non approuvée est un signal d’alerte.

5. Nœuds de sortie TOR et listes de proxies connus

Les nœuds de sortie TOR constituent une catégorie particulière de proxy ouvert utilisée pour l’anonymat. Ils sont largement documentés, et maintenir une liste à jour des IP de sortie TOR actives fait partie des fondamentaux d’une intelligence IP solide. Il existe aussi des listes publiques et commerciales de proxies ouverts connus. Elles sont utiles, mais doivent être rafraîchies en permanence, car beaucoup de proxies ont une durée de vie très courte.

Les principaux abus facilités par les proxies ouverts

Les proxies ouverts sont devenus l’un des socles techniques de nombreuses attaques automatisées et activités malveillantes visant les sites web :

• Credential stuffing : Les attaquants testent de grands volumes de couples identifiant/mot de passe volés sur des formulaires de connexion. Les proxies leur permettent de répartir ces requêtes sur de nombreuses IP afin de contourner les limites de débit et les blocages par adresse IP.
• Account Takeover (ATO) : Proche du credential stuffing, cette attaque cible souvent des comptes précis à forte valeur. Les proxies servent là encore à éviter d’être repéré trop vite.
• Web scraping et vol de contenu : Des concurrents ou courtiers en données utilisent des proxies pour extraire systématiquement des contenus publics — ou parfois restreints —, des prix, des catalogues produits ou des articles, souvent en violation des conditions d’utilisation ou du droit d’auteur.
• Denial of Service (DoS) et amplification Distributed Denial of Service (DDoS) : Même s’ils ne sont pas le seul levier utilisé, les appareils compromis faisant office de proxies peuvent intégrer des botnets plus larges mobilisés dans des attaques DoS.
• Création frauduleuse de comptes : Création de faux comptes pour spammer, diffuser des malwares ou abuser d’offres promotionnelles. Les proxies compliquent le rattachement de ces comptes à un même acteur malveillant.
• Diffusion de spam et de liens de phishing : Les proxies servent à publier des commentaires indésirables, alimenter des forums ou envoyer des e-mails de phishing depuis des serveurs compromis, tout en masquant l’origine réelle.

Pourquoi une intelligence IP robuste devient indispensable

Face à l’évolution constante des infrastructures de proxies ouverts, les listes noires statiques ne suffisent plus. Une défense efficace nécessite une intelligence IP dynamique, en temps réel, capable de corréler plusieurs signaux.

Une API d’intelligence IP comme celle proposée par Guarda sur guarda.net agrège et analyse chaque jour des milliards de points de données. Elle identifie les types de réseau — datacenter, résidentiel, mobile —, détecte les VPN et les nœuds de sortie TOR, évalue les plages d’hébergement et attribue à chaque IP un score de risque granulaire. Cette approche globale aide les systèmes à distinguer le trafic utilisateur légitime des abus sophistiqués reposant sur des proxies.

En combinant l’intelligence IP avec d’autres contrôles de sécurité — CAPTCHAs, analyse comportementale, règles WAF, entre autres —, les ingénieurs réseau peuvent réduire fortement l’impact du trafic issu de proxies ouverts sur leurs propriétés web. Pour évaluer immédiatement une adresse IP, l’outil gratuit de recherche IP est disponible depuis la page d’accueil de guarda.net.