A caça por proxies residenciais "limpos" para carding
Uma análise da Flare sobre 2.889 postagens em fóruns criminosos mostra que proxies residenciais isolados já não bastam para burlar antifraude: fraudadores agora combinam IPs com histórico limpo a navegadores antidetecção, perfis de dispositivo e dados de cobrança coerentes para parecer um cliente legítimo. O material serve como alerta direto para times de risco sobre quais sinais de consistência (e inconsistência) observar.
A empresa de inteligência de ameaças Flare analisou quase três mil postagens em fóruns de cibercrime e chegou a uma conclusão relevante para quem defende sistemas de pagamento: o proxy residencial, sozinho, deixou de ser a "bala de prata" que os fraudadores usavam para mascarar sua origem geográfica em compras com cartão clonado (carding).
Por dentro, o mercado criminoso evoluiu de "qualquer IP residencial" para IPs com histórico de reputação limpo, e mesmo esses precisam ser combinados com outras camadas: navegadores antidetecção que falsificam fingerprints (resolução de tela, fontes instaladas, plugins), perfis de dispositivo consistentes entre sessões e dados de cobrança e fuso horário coerentes com a geolocalização do IP. A lógica dos criminosos, segundo a própria pesquisa, é que "um proxy perfeito ainda falha se o perfil do navegador expuser informações contraditórias" — ou seja, o antifraude moderno já cruza múltiplos sinais, não só o IP.
O artigo também mostra as dores do lado criminoso: IPs residenciais "limpos" perdem a reputação rapidamente após uso abusivo, e boa parte dos provedores de proxy já bloqueia proativamente o acesso a serviços financeiros, obrigando fraudadores a buscar pools de proxy "compatíveis com finanças" em mercados secundários — um atrito real que encarece a operação de carding em escala.
Para instituições financeiras e e-commerces, a lição prática é não confiar isoladamente em nenhum sinal, tratando o IP residencial com ceticismo por padrão. O caminho recomendado é avaliação holística: cruzar dispositivo, conta, fingerprint e histórico transacional, e priorizar a detecção de padrões anômalos como criação repetida de identidades a partir do mesmo dispositivo ou mudanças geográficas abruptas entre sessões — sinais que sobrevivem mesmo quando o IP, isoladamente, parece limpo.