「住宅代理」成駭客攻擊新趨勢：能偽造到受害者所在區，企業的地理位置登入規則近乎失效
在資安領域若想要偵測網路上的惡意行為，監控各種訊號和數據是必要工作。舉例來說，透過 VPN 進行存取的使用者，以往就被視為危險訊號，但隨著 VPN 的應用變得越來越普及，事情也變得不再簡單。
如今的網路世界不僅有適用於各種情境的 VPN，還有另一種工具也能隱藏攻擊者的真實 IP 位址，那就是「住宅代理（Residential Proxy）」，雖然它確實具備正當用途，但近來卻越來越常跟不法行為掛鉤。
簡單來說，住宅代理會透過真實裝置，例如消費者家中的智慧電視或路由器轉發流量，將帶有惡意的非法流量偽裝成合法；例如當使用者安裝免費 VPN服務或可疑的瀏覽器擴充功能後，經常就會於不知不覺間成為住宅代理節點，讓攻擊者得以盜用身分、建立假帳號或大規模擷取資料。
繞過雙因素驗證，國家級駭客也在用
不久之前 Google 宣布瓦解了全球最大的住宅代理伺服器網路 IPIDEA，並發現全世界有超過 550 個獨立威脅團體，正在使用 IPIDEA 所提供的出口節點，進行各種非法網路活動，這些不法份子亦包括來自中國、北韓、伊朗和俄羅斯的國家級駭客。
然而理應保持私密、專屬的住宅代理網路，為什麼會成為駭客拿來偽裝流量的目標呢？資安公司 Fingerprint 執行長 Dan Pinto 分析，關鍵之一在於住宅代理有機會讓駭客繞過雙因素驗證（2FA）功能。
舉例來說，某家企業因為擔心消費者每次登入網站時，皆要重新填寫一次 2FA 認證碼而覺得麻煩，導致服務使用意願降低，因此在後台設定了一項規則，那就是只要曾經成功登錄過一次，那麼當未來使用者想再次登錄時，只要其地理位置跟過去的地理位置紀錄相符，那就不必再輸入一次 2FA 認證碼。
普遍而言，駭客無法透過偽造 IP 位址而跳過 2FA 驗證步驟，所以前述網站的設定表面上十分合理，但若有心份子刻意運用住宅代理網路，那麼駭客就能擁有偽造 IP 位址的能力，讓他們的流量與身分長得跟合法使用者相同。
Dan Pinto 指出，假設駭客取得了遭外洩的使用者帳號與密碼清單，同時清單中包含了 IP 位址，這時不法份子就可以利用 IP 反查地理位置，再透過住宅代理伺服器，將自身發動攻擊的網路，切換到跟受害者相同的地區。
Dan Pinto 強調，這種利用住宅代理網路進行攻擊的手段，將影響企業身分認證系統、存取管理平台，甚至是消費者常用的零售商網站與網路銀行。
精確度比 VPN 更高，身分偽裝更準確
美國聯邦調查局（FBI）近來發布警告，詳細說明了犯罪份子利用住宅代理伺服器進行攻擊的多種情境，包括繞過購買限制與接管帳戶等，這種情況令各企業資訊部門在公司系統中，普遍採用的「基於使用者地理位置的登入安全規則」，如今已變得近乎無效。
同樣是將網路流量套上一層合法代理，那麼為什麼 VPN 應用卻沒有出現像住宅代理一樣的攻擊手段呢？Dan Pinto 解釋，最大差異在於精確度。
Dan Pinto 舉例，在過去 VPN 剛剛問世時，無論是使用者或駭客，基本上都無法指定，要將網路連上哪個國家、哪個地區的節點，多數 VPN 工具只會隨機為使用者分配國內或鄰近地區的某個位置。
後來，雖然 VPN 服務開始允許使用者選擇節點伺服器，但選項中最多只會細分到國家，或者是某座城市，而且只要 VPN 服務商在特定地區缺乏節點或資料中心，那麼駭客也無法將流量套上來自某個特定位置的外衣，同時更難以達到繞過 2FA 規則的地理位置精確度。
隱藏於海量正常 IP 中，企業難以辨識
但是住宅代理節點就不一樣了。由於直接以住宅、家庭中的連網裝置為節點跟跳板，跟過往的 VPN 服務相比，其地理位置的精確度更高，覆蓋率也更廣，甚至可以精細到某一座城市的某一個區。
此時，攻擊者便可以利用住宅代理功能，將自己的網路位置，設定於跟受害者同樣的地區，接著嘗試登入受害者的網路帳戶，而不會觸發額外的驗證檢查。
除此之外，住宅代理也可以讓不法份子的 IP 位址，看起來像是來自全球任何地方的隨機家用 IP 位址。
由於多數企業旗下的網路服務，通常不會特地去紀錄，來自某個小區域的住宅 IP 位址，究竟存取過平台多少次，所以不是只有大致分類，就是根本難以追溯，導致許多表面上看似乾淨的 IP 位址，實際卻可能隱藏大量不法活動。
防範依然有方法，關鍵在情資組合
即便如此，Dan Pinto 表示，企業想要區分住宅代理所造成的惡意流量，也並非完全沒有方法。他舉例，企業伺服器可以去檢查使用者的網路時區，是否跟裝置時區不相符，或者網路請求的回應速度是否跟光速相同。
另外像 WebRTC 等特定流量，可能就不會經過住宅代理，但 HTTP 要求卻會經過，藉由對比、分析相較於 IP 更細緻的訊號情資，即可抓出非法的住宅代理伺服器與惡意流量。
Dan Pinto 認為，企業若能夠將所有正確的情資訊號，以適當的組合加以分析，便可有效判斷使用者的流量，是否經過了住宅代理節點，這對於打擊偽裝使用者身分登錄、機器人偵測、假帳號或其他類型不法行為都非常重要。
採用裝置智慧，兼顧資安與便利性
總歸來說，每家企業、金融機構、SaaS 供應商和 IT 部門，面向消費者與員工的身分認證系統，通常都有嚴格的規則，但住宅代理所暴露出來的資安風險，正巧說明這種基於使用者地理位置的規則，已經變得過時且不安全。
在這種情況下 Dan Pinto 建議，企業若想減輕安全方面的困擾，就必須摒棄基於靜態 IP 的規則，轉而採用具備「裝置智慧（Device Intelligence）」的新方法，著重於偵測可疑的瀏覽器異常行為及虛擬機器等訊號。
市面上擁有裝置智慧技術的資安業者，亦能協助企業迅速調整並偵測相關風險訊號，其速度也遠比企業重新擬定登入規則來得快，亦可讓企業營運者更專注於當下業務，在安全與使用者便利性之間取得平衡。
【推薦閱讀】
◆ 【DataDome 2026 報告】惡意 Bot 增速超越人類 9 倍：逾六成網站防護掛零，僅 2.4% 具備完整防禦力
◆ 當惡意軟體學會開會決策：Cisco 釋出 CAIRN 追蹤框架，揭 AI 自動化攻擊新威脅
◆ 【零信任程式碼】企業資安別問能不能攔截，先問這段程式碼該不該被允許執行
＊本文開放合作夥伴轉載，參考資料：Forbes、FBI，首圖來源：Pixabay
（責任編輯：鄒家彥）