Przez lata obowiązywała cicha umowa między firmami a systemami bezpieczeństwa: ruch z „porządnego" adresu IP przepuszczamy, a z podejrzanego — blokujemy. Ta umowa właśnie przestała obowiązywać. Napastnicy nauczyli się kupować dostęp do właściwej strony tej granicy i robią to hurtowo, korzystając z adresów IP należących do zwykłych domów. Dla właściciela sklepu, gabinetu czy lokalnej firmy oznacza to jedno: obrona, na której nieświadomie polegałeś, ma dziś dziury, przez które przechodzi ruch nie do odróżnienia od Twoich prawdziwych klientów. Reputacja adresu IP wciąż działa — tyle że przestała cokolwiek gwarantować.
Każde urządzenie w sieci ma adres IP, a systemy bezpieczeństwa od lat przypisywały tym adresom „oceny wiarygodności". Połączenie z centrum danych, anonimowego VPN-a czy sieci Tor dostawało niską ocenę i lądowało w blokadzie lub przed dodatkową weryfikacją. Połączenie z adresu przydzielonego zwykłemu gospodarstwu domowemu przez dostawcę internetu traktowano jako wiarygodne. Na tym skrócie opierały się mechanizmy antyfraudowe, zabezpieczenia logowania i systemy oceny opinii.
Najważniejsze jest jednak to, czego reputacja IP nigdy nie mierzyła: intencji. Mierzyła wyłącznie skąd przychodzi połączenie, zakładając po cichu, że dom oznacza człowieka, a serwerownia — automat. Przez lata to założenie się sprawdzało, bo przestępcy działali z tanich serwerów VPS i hostingów, które łatwo było rozpoznać i odciąć. Cała obrona stała więc na jednym założeniu — a każde założenie, na którym opiera się bezpieczeństwo, prędzej czy później staje się celem.
Napastnicy przestali walczyć z filtrem i zaczęli go obchodzić. Służą do tego sieci residential proxy, czyli usługi kierujące ruch przez prawdziwe, domowe adresy IP. Sama technologia nie jest nielegalna — korzystają z niej firmy do analizy cen konkurencji, weryfikacji reklam w różnych krajach czy testów bezpieczeństwa prowadzonych za zgodą właściciela systemu. Problem w tym, że dokładnie ta cecha, która czyni domowy adres IP wiarygodnym dla legalnego biznesu, czyni go bezcennym dla przestępcy.
Skalę tego zjawiska dobrze pokazała lipcowa 2026 roku operacja Google i FBI przeciwko sieci NetNut. Śledczy oszacowali tę jedną sieć na co najmniej dwa miliony zainfekowanych urządzeń — w większości telewizorów Smart TV i przystawek streamingowych — których właściciele nie mieli pojęcia, że ich sprzęt przepuszcza cudzy, często przestępczy ruch. W ciągu zaledwie jednego tygodnia zaobserwowano ponad trzysta odrębnych grup przestępczych i szpiegowskich korzystających z tej samej infrastruktury, by ukryć swój prawdziwy adres IP.
I tu druga niewygodna prawda: NetNut był jednym z wielu. Rozbicie jednej sieci nie kończy problemu, bo operatorzy odsprzedają sobie nawzajem dostęp do tej samej puli adresów pod różnymi markami. Domowy adres IP stał się dla atakującego zwykłym towarem, który kupuje się na godziny — a filtr, który przez lata odsiewał „podejrzane serwerownie", po prostu go nie widzi.
To nie jest abstrakcyjny temat dla działów IT wielkich korporacji. Kiedy atak przychodzi z domowego adresu IP, uderza w te same miejsca, w których zarabiasz.
Po pierwsze — logowania. Ataki typu credential stuffing i password spraying, w których automaty testują tysiące skradzionych haseł, przechodzą przez domowe adresy i omijają blokady „nietypowej lokalizacji". Po drugie — pieniądze na reklamie: kliki botów z wiarygodnych IP palą budżet, a raporty pokazują ruch, którego nie da się łatwo zakwestionować. Po trzecie — nadużycia promocji i fałszywe konta zakładane masowo z adresów wyglądających na prawdziwych klientów.
Po czwarte, i dla wielu firm najboleśniej — opinie. Farmy fałszywych recenzji korzystają dokładnie z tych samych sieci, by publikować oceny z adresów wyglądających na lokalne. To dlatego fałszywa negatywna opinia sprawia wrażenie autentycznej, pochodzi „z Twojej okolicy" i jest tak trudna do zakwestionowania — a w praktyce tak trudno usunąć fałszywe opinie z Google. Ten sam mechanizm, który psuje statystyki logowań, uderza też w Twoją reputację w wyszukiwarce.
Skoro nie możesz dłużej pytać „skąd przychodzi ruch", zacznij pytać „jak się zachowuje". Sygnały, które warto obserwować, nie leżą w samym adresie, lecz we wzorcach:
Ostatni punkt jest najcenniejszy. Prawdziwy klient nie zmienia dostawcy internetu co kilka minut, zachowując identyczną konfigurację przeglądarki. Ruch przechodzący przez residential proxy — owszem. To właśnie takie korelacje, a nie ocena pojedynczego adresu, coraz częściej odróżniają człowieka od automatu.
Nie potrzebujesz działu bezpieczeństwa, żeby zamknąć najgroźniejsze luki. Potrzebujesz zmiany podejścia.
Czy blokowanie adresów IP jest już całkiem bezużyteczne?Nie — nadal odsiewa najbardziej prymitywny ruch i warto je utrzymać. Przestało jednak wystarczać jako główna linia obrony, bo najgroźniejsze ataki przychodzą dziś z adresów, których żadna czarna lista nie obejmuje.
Skąd napastnicy biorą prawdziwe, domowe adresy IP?Z urządzeń zwykłych ludzi — telewizorów Smart TV, przystawek streamingowych, telefonów i tabletów zainfekowanych przez fabrycznie wgrane komponenty, fałszywe aplikacje albo programy obiecujące zarobek za udostępnienie łącza. Właściciel najczęściej nie ma o tym pojęcia.
Czy fałszywe opinie naprawdę idą przez residential proxy?Tak. To jedna z głównych przyczyn, dla których fałszywe recenzje wyglądają na publikowane „z okolicy" i tak trudno je odróżnić od prawdziwych oraz usunąć.
Reputacja adresu IP była skuteczną tarczą, dopóki była tania, a napastnicy siedzieli po jej złej stronie. Dziś kupili sobie miejsce po stronie właściwej — i to zmienia reguły gry. Przewagę zyskują firmy, które przestają pytać „skąd przychodzi ruch", a zaczynają pytać „jak się zachowuje": to one przestają tracić konta, budżet reklamowy i reputację na ataki, których stare filtry po prostu nie widzą. Reszta dowie się o problemie dopiero wtedy, gdy zobaczy jego skutki w statystykach — albo w opiniach o własnej firmie.
