JC Rueda
Ciberseguridad · Aviso

Red de la Oficina Ejecutiva del Presidente de EE. UU. (AS2650) · Tráfico de proxies residenciales saliendo de su red

Una empresa de inteligencia de amenazas asegura que alguien de fuera puede «alquilar» direcciones IP de la Casa Blanca a través de servicios comerciales de proxy, probablemente por un programa instalado en un equipo de su red.

Publicado Lectura 8 min Ref. Sin CVE CVSS —

Resumen

La firma Layer3 Intel afirma que, entre el 5 de octubre y el 3 de noviembre de 2026, 28 servicios comerciales de proxy residencial sacaron tráfico de terceros 236 veces a través de seis direcciones IP del AS2650, la red registrada a nombre de la Oficina Ejecutiva del Presidente de EE. UU. Los servicios Spur y Synthient coinciden con esa clasificación, y Synthient lo vincula al SDK de Infatica en equipos con Windows 11. No se ha identificado ningún dispositivo ni persona, no consta que nadie accediera a sistemas internos y la Casa Blanca no ha hecho declaraciones. No hay CVE ni parche: es un problema de higiene de los equipos que se conectan a la red.

Materias: proxies residenciales, seguridad de redes, sector público, SDK de monetización, software potencialmente no deseado, inteligencia de amenazas, Estados Unidos

Imagine que alguien pudiera pagar unos céntimos por gigabyte para navegar por Internet como si estuviera conectado desde la Casa Blanca. Según la empresa de inteligencia de amenazas Layer3 Intel, eso ha sido posible durante al menos un mes. Sus sondas comprobaron que 28 servicios comerciales de «proxy residencial» enviaban tráfico de sus clientes a través de la red de la Oficina Ejecutiva del Presidente de EE. UU. No es una vulnerabilidad con CVE ni hay parche que aplicar. Es un recordatorio, incómodo y muy gráfico, de lo que ocurre cuando un programa aparentemente inofensivo convierte un equipo de la red en una puerta de salida que cualquiera puede alquilar.

Descripción

Qué se ha detectado

Un proxy es un intermediario: quien lo usa envía su tráfico a través de él, y el destino ve la dirección IP (la «matrícula» de Internet) del intermediario, no la suya. Un proxy residencial usa como intermediarios conexiones de particulares, empresas u organismos reales, no servidores de un centro de datos. Por eso el tráfico parece legítimo y es más difícil de bloquear. Hay proveedores comerciales que venden ese acceso y consiguen los «nodos de salida» de varias formas: programas que el usuario instala a cambio de algo (VPN gratuitas, aplicaciones «gratis»), SDK (bibliotecas de código que los desarrolladores integran en sus aplicaciones para monetizarlas) o, directamente, dispositivos infectados.

Según Layer3 Intel, recogido por KrebsOnSecurity y RuntimeWire:

  • Red afectada: el AS2650. Un AS (sistema autónomo) es el bloque de direcciones y rutas que una organización anuncia en Internet, y este está registrado a nombre de la Executive Office of the President.
  • Periodo: del 5 de octubre al 3 de noviembre de 2026 (30 días).
  • Volumen: 236 salidas de tráfico por seis direcciones IP distintas, con actividad en 26 de los 30 días.
  • Proveedores: 28 servicios distintos de proxy residencial podían sacar tráfico por esa red. El único nombrado públicamente es Infatica.
  • Patrón horario: la actividad se concentra por la tarde-noche (hora del Este de EE. UU.). Aproximadamente la mitad cae entre las 17:00 y la medianoche, y casi no hay actividad de madrugada. Krebs habla de «la mayoría», RuntimeWire de «aproximadamente la mitad».

Qué está confirmado y qué no

  • Observado por Layer3: las salidas de tráfico por direcciones IP del AS2650. Layer3 afirma que Spur y Synthient, dos servicios independientes de detección de proxies, clasifican también esas direcciones como salidas de proxy residencial.
  • Atribuido por Synthient (en X, citado por Krebs): la actividad se debe a varias instalaciones de Infatica en equipos con Windows 11. No hemos podido verificarlo en la fuente original.
  • Inferencia de Layer3, no hecho probado: que hay un SDK de proxy instalado en algún equipo y que el patrón horario apunta a una persona y no a una red Wi-Fi de invitados. La propia firma advierte: «Nuestros datos muestran las salidas, no el dispositivo ni la persona que hay detrás».
  • No consta: qué dispositivo o aplicación es, si está en un segmento de la red de personal, de prensa o de invitados, ni que ningún cliente del proxy haya llegado a sistemas internos. RuntimeWire subraya que el informe no demuestra ese acceso.

No hay versiones afectadas ni corregidas porque no se trata de un fallo de software concreto, ni tampoco CWE aplicable. El riesgo afecta, en general, a cualquier red en la que se conecte un equipo con software de proxy residencial.

Mecánica

Cómo se descubrió

Layer3 contrata acceso a servicios de proxy residencial, como haría cualquier cliente, y envía peticiones a través de ellos hacia sus propios servidores. Así registra desde qué direcciones IP «sale» cada servicio. Según la empresa, no buscaba esta red: «Lo detectamos por casualidad, simplemente solicitando acceso global rotatorio a través de estos servicios». Al cruzar las IP de salida con el registro de sistemas autónomos, aparecieron direcciones del AS2650.

Cómo funciona un nodo de proxy residencial

  1. Un equipo de la red (portátil, móvil, televisor inteligente, decodificador…) ejecuta un programa o SDK de proxy. Puede venir integrado en una aplicación gratuita, en una VPN «gratis» o en un dispositivo de dudosa procedencia, o haber llegado como malware.
  2. Ese programa abre una conexión saliente hacia la infraestructura del proveedor y queda a la espera de órdenes. Como la conexión es saliente, no requiere abrir puertos en el cortafuegos.
  3. Un cliente del proveedor, del que muchas veces no se comprueba la identidad (sin KYC, «conozca a su cliente»), paga por usar IP residenciales. Su tráfico se encamina a través del equipo y sale a Internet con la IP pública de la organización.
  4. Para el sitio web de destino, la petición viene de la red de la organización: en este caso, de una dirección registrada a la Casa Blanca.

Riesgos reales, sin exagerar

  • Reputación y atribución: cualquier actividad del cliente del proxy (fraude, scraping masivo, ataques de fuerza bruta contra contraseñas) aparecerá en los registros de terceros con la IP de la organización.
  • Exposición de la red interna: no consta en este caso, pero en 2025-2026 se documentó un fallo en decenas de servicios de proxy que permitía a sus clientes sondear la red local del nodo de salida. Synthient mostró que se había usado para tomar el control de dispositivos internos, y los proveedores lo corrigieron en enero de 2026 (según Krebs). Un nodo de proxy dentro de una red sensible es, por tanto, algo más que un problema de imagen.
  • Indicio de higiene deficiente: el software que instala estos SDK suele ser no deseado o de origen dudoso. Su presencia sugiere que se pueden instalar aplicaciones sin control en equipos conectados a la red.

El fenómeno no es exclusivo de la Casa Blanca. Spur afirmó en enero de 2026 haber encontrado proxies residenciales en casi 300 redes gubernamentales, e Infoblox señala que el 65 % de sus clientes consultaba dominios relacionados con proxies residenciales (ambos datos, según Krebs).

Respuesta del creador

Casa Blanca y autoridades

Según KrebsOnSecurity, la Casa Blanca no respondió de inmediato a su solicitud de comentarios. A la fecha de este aviso (5 de noviembre de 2026) no consta ninguna declaración pública de la Casa Blanca, de la Oficina Ejecutiva del Presidente, de CISA ni del FBI sobre este caso.

Layer3 Intel

Su fundador, Sergiy Usatyuk, declaró a RuntimeWire que la empresa no publicará las direcciones IP por la sensibilidad del hallazgo y que no ha notificado a nadie. Sí guarda copia de los registros brutos y se ofrece a compartirlos con las agencias competentes a través de su formulario de contacto. En la comunidad técnica (debate en Hacker News) hubo críticas razonables: la atribución se basa en a quién pertenece el rango de IP, no en una ubicación física comprobada, y la red podría ser, por ejemplo, de invitados o de prensa.

Infatica y otros proveedores

No consta respuesta de Infatica ni de los otros 27 servicios. Krebs recuerda en su artículo vínculos empresariales previos del fundador de Infatica. Es información de contexto, no forma parte del hallazgo de Layer3, y no permite atribuir el uso concreto de estas salidas a nadie.

Guía oficial aplicable

Aunque no se refiere a este caso, el FBI publicó en marzo de 2026 un aviso (I-031226-PSA) sobre redes de proxy residencial. Advierte de que las VPN gratuitas y los dispositivos inteligentes comprometidos pueden incorporar equipos a estas redes sin consentimiento claro, y recomienda bloquear las IP y dominios conocidos de estos servicios.

Parches y mitigaciones

No hay parche: hay higiene

No existe CVE, versión afectada ni actualización que lo corrija. Corregirlo corresponde al operador de la red, y solo él puede vincular las salidas observadas con un equipo concreto: cruzando registros DHCP y NAT (qué equipo interno usaba cada IP pública en cada momento), inventario de dispositivos, asociaciones Wi-Fi y telemetría de los equipos.

Qué puede hacer hoy cualquier organización

  • Comprobar sus propias IP públicas en servicios de reputación que detectan proxies residenciales (Spur, Synthient, IPinfo u otros). Ojo: comprobar «mi IP» desde el navegador solo dice si usted navega a través de un proxy, no si alguien sale por su red.
  • Bloquear y vigilar en el perímetro (DNS y cortafuegos) los dominios y la infraestructura conocida de proveedores de proxy residencial y de sus SDK, como recomienda el FBI.
  • Controlar el software instalado: retirar privilegios de administrador innecesarios, usar listas de aplicaciones permitidas y prohibir VPN gratuitas y aplicaciones de «compartir ancho de banda a cambio de dinero».
  • Separar redes: invitados, dispositivos IoT (televisores, proyectores, marcos digitales, decodificadores) y equipos personales, siempre en segmentos aislados de la red corporativa. Así, un nodo de proxy no puede ver sistemas internos.
  • Revisar los dispositivos «baratos» o «desbloqueados» (cajas de streaming, Android TV sin certificar), una fuente habitual de estos programas según el FBI.
  • Buscar patrones anómalos en la telemetría: conexiones persistentes salientes hacia infraestructuras de proxy o volúmenes de tráfico inusuales en horario no laboral.

Lectura jurídica

Que un tercero desconocido pueda actuar en Internet con la IP de su organización tiene consecuencias prácticas: la actividad ilícita de ese tercero quedará asociada en registros ajenos a su dirección. Para las entidades sujetas a obligaciones de gestión de riesgos (por ejemplo, el Esquema Nacional de Seguridad o la normativa que transpone NIS2), detectar y documentar este tipo de software forma parte de la diligencia debida. Si además hubiera indicios de acceso a datos personales a través del nodo, habría que valorar la notificación de brecha prevista en el RGPD. En este caso concreto no consta tal acceso.

Fuentes