Rischi degli open proxy per i siti web: perché pesano così tanto nel traffico malevolo

Il fascino degli open proxy per gli attori malevoli

Gli open proxy rappresentano, per loro natura, una sfida concreta per la sicurezza dei siti web. Non sono semplici relay anonimi: molto spesso sono dispositivi compromessi, servizi configurati male o infrastrutture lasciate volutamente aperte per favorire attività abusive. Per chi gestisce reti, applicazioni e asset digitali, capire perché gli open proxy compaiano così spesso nel traffico d’attacco è essenziale per costruire difese efficaci.

In termini pratici, un open proxy offre all’attaccante uno strato di offuscamento. Gli consente di generare traffico da un indirizzo IP che non è direttamente riconducibile alla sua infrastruttura. Questo complica l’attribuzione, rallenta le analisi forensi e rende meno incisivo il blocco tradizionale basato su IP, perché l’indirizzo sorgente cambia di frequente o appartiene a una terza parte inconsapevole.

Che cosa si intende per open proxy in un contesto di abuso?

Quando si parla di open proxy si pensa spesso a un proxy SOCKS o HTTP configurato in modo errato. Nel traffico malevolo, però, il fenomeno è molto più ampio. Può includere:

• Dispositivi compromessi: dispositivi residenziali o aziendali infettati da malware e trasformati in nodi proxy inconsapevoli. Possono operare come proxy HTTP/SOCKS o persino come server VPN. Questo traffico è particolarmente difficile da distinguere da quello legittimo, proprio perché proviene da IP residenziali.
• Server configurati male: ambienti di sviluppo o test, spesso ospitati in cloud, lasciati per errore con servizi proxy accessibili pubblicamente. In genere provengono da range IP di datacenter.
• Infrastrutture vecchie o non mantenute: servizi obsoleti, non aggiornati, facili da sfruttare o riconfigurare.
• Servizi free proxy intenzionali: servizi pubblicizzati come gratuiti e aperti, spesso con l’aspettativa esplicita o implicita che vengano usati per aggirare controlli e restrizioni.

Questa varietà di origini significa che il rilevamento degli open proxy non può basarsi su un’unica tecnica. Serve piuttosto una combinazione di segnali.

I segnali tecnici che indicano l’uso di open proxy

Individuare un open proxy significa analizzare caratteristiche dell’indirizzo IP e pattern comportamentali. Nessun segnale, da solo, è infallibile; la loro correlazione, però, rafforza in modo significativo la capacità di rilevamento.

1. Geolocalizzazione IP e tipo di rete

Uno dei primi segnali da osservare è il tipo di rete. Gli utenti legittimi si collegano di norma da indirizzi IP residenziali o mobili. Gli open proxy, invece, provengono spesso da:

• Range IP di datacenter: molti proxy pubblici o compromessi risiedono presso provider cloud come AWS, Azure, Google Cloud, DigitalOcean, OVH e altri, oppure in infrastrutture di colocation tradizionali. Questi range sono ben documentati e si distinguono dagli ISP consumer.
• Disallineamenti tra geolocalizzazione e ISP: un utente che dovrebbe collegarsi da una certa area geografica e appare improvvisamente da un datacenter in un altro Paese merita attenzione. Per esempio, un utente noto di Parigi che accede da un datacenter OVH in Canada.

2. Autonomous System Number (ASN) e informazioni di hosting

L’ASN identifica l’operatore di rete. Una parte consistente del traffico malevolo arriva da ASN noti per ospitare volumi elevati di attività abusive. In particolare:

• ASN di provider cloud: come già visto, molti open proxy si trovano su infrastrutture cloud. Il traffico proveniente da questi ASN va valutato con attenzione, soprattutto se il servizio raggiunto non è una API pensata per comunicazioni server-to-server.
• ASN associati a bulletproof hosting: alcuni ASN hanno una reputazione legata a policy permissive sugli abusi e attirano operatori malevoli che ospitano server C2, siti di phishing e infrastrutture proxy.

3. Hostname rDNS e metadati IP

I record Reverse DNS (rDNS) possono offrire un contesto prezioso. Non sono sempre presenti né sempre configurati correttamente, ma alcuni pattern ricorrenti sono indicativi:

• Hostname generici o di default: nomi come ec2-xx-xx-xx-xx.compute-1.amazonaws.com, vps-xxxx.server-provider.com, oppure IP senza record rDNS, sono comuni nei proxy ospitati in datacenter. Gli IP residenziali legittimi tendono invece ad avere rDNS assegnati dall’ISP e più coerenti con l’utenza consumer.
• Incoerenza tra rDNS e uso atteso: un IP appartenente a un grande ISP consumer ma con un rDNS che suggerisce l’uso come server può indicare una compromissione.
• Associazione a un risk score: le piattaforme di IP intelligence attribuiscono spesso un punteggio di rischio agli IP, basandosi su storico, tipo di rete e metadati collegati. Un risk score elevato è un forte indicatore di possibile abuso e spesso correla con attività proxy o bot.

4. Analisi comportamentale e pattern di connessione

Oltre alle caratteristiche statiche dell’IP, il comportamento dinamico è decisivo:

• Rotazione rapida degli IP: un attaccante che usa una botnet di open proxy tende a cambiare IP frequentemente, talvolta a ogni richiesta o dopo poche richieste. Il fenomeno si rileva analizzando i cambi di IP sorgente in finestre temporali brevi, a parità di sessione o user agent.
• Volume o frequenza di connessione anomali: un singolo IP open proxy può generare molte più richieste rispetto a un normale utente residenziale, segnale tipico di botnet o attività di scraping.
• Header HTTP insoliti: assenza di header standard dei browser, ordine incoerente degli header o presenza di header tipici dei proxy, come X-Forwarded-For, Via, Client-IP, possono suggerire l’uso di proxy. X-Forwarded-For è legittimo nei load balancer, ma se arriva direttamente da un IP non fidato è un campanello d’allarme.

5. Nodi di uscita TOR e liste di proxy noti

I nodi di uscita TOR sono una forma specifica di open proxy usata per l’anonimato. Sono ampiamente documentati e mantenere una lista aggiornata degli IP di uscita attivi è una componente fondamentale di una buona IP intelligence. Lo stesso vale per le liste pubbliche e commerciali di open proxy noti. Sono utili, ma richiedono aggiornamenti continui: molti proxy hanno vita breve e cambiano rapidamente.

I principali abusi resi possibili dagli open proxy

Gli open proxy sono alla base di molte attività automatizzate e malevole contro i siti web:

• Credential stuffing: gli attaccanti provano grandi elenchi di coppie username/password rubate sui form di login. I proxy permettono di distribuire le richieste su molti IP, aggirando rate limit e blocchi basati su indirizzo IP.
• Account Takeover (ATO): simile al credential stuffing, ma spesso mirato ad account specifici e di maggior valore. Anche in questo caso i proxy aiutano a evitare il rilevamento.
• Web scraping e furto di contenuti: concorrenti o data broker usano proxy per estrarre sistematicamente contenuti pubblici, o talvolta riservati, dati di prezzo, cataloghi prodotto o articoli, spesso violando termini di servizio o copyright.
• Denial of Service (DoS) e amplificazione Distributed Denial of Service (DDoS): pur non essendo l’unico metodo, i dispositivi compromessi che agiscono da proxy possono far parte di botnet più ampie usate per attacchi DoS.
• Creazione fraudolenta di account: apertura di account falsi per spam, distribuzione di malware o abuso di promozioni. I proxy rendono più difficile collegare questi account a un unico soggetto malevolo.
• Distribuzione di spam e link di phishing: i proxy vengono usati per pubblicare commenti spam, messaggi nei forum o inviare email di phishing da server compromessi, nascondendo la vera origine dell’attività.

Perché serve una IP intelligence solida

Data la continua evoluzione delle infrastrutture open proxy, affidarsi solo a blacklist statiche non basta più. Una difesa efficace richiede IP intelligence dinamica, in tempo reale, capace di correlare segnali diversi.

Una API di IP intelligence come quella offerta da Guarda su guarda.net aggrega e analizza ogni giorno miliardi di data point, identifica il tipo di rete — datacenter, residenziale, mobile — rileva VPN e nodi di uscita TOR, valuta i range di hosting e assegna a ogni IP un risk score granulare. Questo approccio permette ai sistemi di distinguere meglio il traffico legittimo dagli abusi più sofisticati basati su proxy.

Combinando la IP intelligence con altri controlli di sicurezza, come CAPTCHA, analisi comportamentale e regole WAF, i team di rete e sicurezza possono ridurre in modo significativo l’impatto del traffico da open proxy sui propri asset web. Per una valutazione immediata di un IP, è possibile usare lo strumento gratuito di IP lookup disponibile nella homepage di guarda.net.