Por qué las listas de IPs no ven la mitad del fraude de clics

Lo hiciste todo bien. Sacaste las direcciones IP sospechosas de tus términos de búsqueda y de tu analítica, las añadiste a tu lista de exclusión, quizá incluso chocaste con el tope de 500 direcciones de Google, y los clics basura y los leads falsos siguieron llegando. No es un error tuyo. El motivo tiene nombre: los proxies residenciales. Canalizan el fraude de clics a través de direcciones IP domésticas reales, asignadas por proveedores de internet, idénticas a las de tus mejores clientes, lo que significa que una lista de bloqueo estática no puede verlas. El bloqueo de IPs sigue siendo necesario, pero ahora solo detecta aproximadamente la mitad del problema. Esta guía explica el mecanismo, por qué las listas de bloqueo están estructuralmente en desventaja y qué añaden la detección por dispositivo y la detección conductual.

La lista de bloqueo que creaste el mes pasado ya está obsoleta

Dos datos de 2026 enmarcan todo el problema. Primero, el tráfico automatizado ya supone el 53% de todo el tráfico web, y el humano ha bajado al 47%, según el Bad Bot Report 2026 de Imperva. Segundo, una parte grande y creciente de ese tráfico malo ya no viene de centros de datos que puedas reconocer y bloquear; viene de conexiones residenciales idénticas a las de usuarios auténticos.

La conclusión honesta a la que la mayoría de los anunciantes llegan por las malas: una lista de IPs malas es una instantánea de un objetivo que ya se ha movido. Para cuando has identificado y excluido una dirección, el operador del fraude ya está en otra. La solución no es una lista más grande; es otra capa de detección.

Qué es realmente un proxy residencial

Un proxy residencial canaliza el tráfico a través de la conexión a internet de un consumidor real. La IP de salida pertenece a un hogar o a una pequeña empresa con una línea normal de banda ancha o móvil, no a un proveedor de alojamiento. Los operadores construyen estas redes integrando SDK en apps móviles gratuitas, extensiones de navegador y VPN “gratuitas” que revenden en silencio el ancho de banda del usuario, a menudo sin un consentimiento real.

Ese detalle lo es todo. Cuando un clic fraudulento sale de un proxy residencial, llega con la reputación de IP fiable de una conexión doméstica real. No aparece en ninguna lista de bloqueo de centros de datos, porque no es un centro de datos. Y bloquearlo sin más es peligroso: detrás de ese mismo rango de IPs hay clientes reales que quieres conservar. El tráfico de centros de datos y de VPN es relativamente fácil de puntuar; el tráfico de proxies residenciales está diseñado específicamente para burlar las comprobaciones que lo detectan.

La prueba de 2026: el desmantelamiento de IPIDEA por parte de Google

No es teoría. El 29 de enero de 2026, el Threat Intelligence Group de Google anunció que había desarticulado IPIDEA, una de las mayores redes de proxies residenciales del mundo. La escala es la noticia: la red se alimentaba de SDK ocultos en más de 600 apps de Android, contaba con unos 7400 servidores y más de 3000 hashes de archivos de Windows únicos, y se comercializaba bajo 13 marcas de proxy/VPN presentadas como independientes. En un solo periodo de siete días de ese mes, Google observó más de 550 grupos de amenazas distintos usando nodos de salida de IPIDEA.

La propia explicación de Google sobre por qué este tráfico es tan difícil de frenar parece una acusación contra el bloqueo de IPs: “Al canalizar el tráfico a través de un conjunto de dispositivos de consumo de todo el mundo, los atacantes pueden enmascarar su actividad maliciosa secuestrando estas direcciones IP”. Los solapamientos entre nodos de salida dificultan incluso la propia atribución.

Y esta es la parte del tráfico malo procedente de proveedores de internet residenciales que los investigadores independientes no dejan de medir: Imperva atribuyó aproximadamente una cuarta parte del tráfico de bots maliciosos a proveedores de internet residenciales en su informe de 2024 y detectó que el 21% de los ataques de bots usaban proxies residenciales en 2025. Incluso después de un desmantelamiento del tamaño de IPIDEA, el conjunto que sobrevive es demasiado grande (y demasiado indistinguible de los usuarios reales) como para que una lista de exclusión estática pueda seguirle el ritmo.

Por qué las listas de bloqueo estáticas están estructuralmente en desventaja

Hay tres razones concretas por las que una lista de IPs no puede ganar esta batalla:

• Rotación. Las redes de proxies residenciales van rotando entre millones de IPs de salida distintas. Una defensa que funciona enumerando direcciones malas está jugando una partida que matemáticamente no puede terminar.
• Los topes fijos de Google. Google Ads te permite excluir hasta 500 direcciones IP por campaña y exige que incluyas todas las versiones de una dirección (tanto IPv4 como IPv6). Quinientas plazas contra millones de IPs rotativas no es una competición.
• Huecos de cobertura. Según la misma documentación de Google, las exclusiones de IP a nivel de campaña “no están disponibles para las campañas de vídeo, de hoteles, de aplicaciones, de Performance Max ni de Display inteligente”. Las exclusiones a nivel de cuenta sí llegan a Performance Max, pero siguen sujetas al mismo límite por campaña y al mismo problema de rotación.

Cabe destacar que el filtrado de tráfico inválido de Google menciona explícitamente el tráfico de centros de datos como una categoría que examina. Los proxies residenciales existen precisamente para que el tráfico no se parezca a eso.

GIVT frente a SIVT: el estándar que demuestra que es “solo la mitad”

El sector publicitario ya tiene un lenguaje para esto. El IAB y el Media Rating Council dividen el tráfico inválido en dos niveles. El tráfico inválido general (GIVT) es el que se “identifica mediante medios de filtrado rutinarios y basados en listas”: bots conocidos, rastreadores y listas de IPs malas. El tráfico inválido sofisticado (SIVT) es “más difícil de detectar” y requiere “analítica avanzada, corroboración desde múltiples puntos y/o una intervención humana significativa”.

El fraude de clics con proxies residenciales y el impulsado por malware es SIVT por definición. Una lista de bloqueo es, según la propia redacción del estándar, un medio de filtrado basado en listas, una herramienta de GIVT. Es, por categoría, el instrumento equivocado para la mitad del problema que más importa. Esa es la razón precisa, según el estándar del sector, por la que el bloqueo de IPs solo detecta una parte de tu tráfico inválido. Para hacerte una idea de lo grande que es esa parte, los datos de referencia de Pixalate del primer trimestre de 2025 situaron las tasas de tráfico inválido en el 18% en la web de ordenador y móvil y en el 31% en las apps móviles.

El punto ciego de las conversiones que ignoran las listas de bloqueo

Hay un segundo fallo incluso cuando un clic sí se filtra. Google indica que, cuando un clic se considera inválido y se elimina, puede que la conversión atribuida a ese clic no se elimine. Así, una acción fraudulenta puede sobrevivir al filtrado de clics y acabar igualmente en tus datos de conversión, donde alimenta Smart Bidding y Performance Max y enseña al algoritmo a gastar más persiguiendo justo las audiencias y ubicaciones que producen basura. Las defensas a nivel de IP no hacen nada contra esto. Es una capa completamente aparte.

Qué añaden la detección por dispositivo y la conductual: la otra mitad

Si no puedes fiarte de la IP, detectas al actor. Tres capas sobreviven a una IP residencial rotativa:

1. Huella digital del dispositivo. Una identidad derivada, construida a partir de atributos de hardware, software y red, sin almacenar nada en el dispositivo, que vuelve a identificar al mismo visitante aunque borre las cookies, use la navegación privada o tenga IPs nuevas. Cuando el fraude llega desde una IP residencial rotativa que nunca aparecería en una lista de bloqueo, ClickFortify lo puntúa según señales de dispositivo y de comportamiento además de la reputación de la IP, así que detecta al mismo actor incluso después de que cambie la IP. Su huella digital construye una identidad que sobrevive al borrado de cookies y vuelve a identificar a un visitante fraudulento a través de cientos de IPs de salida residenciales distintas.

2. Señales de comportamiento. Las personas reales mueven el ratón, se desplazan, dudan y navegan de formas humanas y desordenadas. Los clientes automatizados no, y las herramientas de navegador sin interfaz como Selenium, Puppeteer y Playwright dejan huellas de automatización detectables. Analizando el comportamiento posterior al clic (tiempo de permanencia, profundidad de desplazamiento, flujo de navegación y esos indicios de automatización), ClickFortify señala los clics que superan una comprobación de reputación de IP pero se comportan como bots.

3. Corroboración entre señales. Los indicios más fuertes vienen de las contradicciones. Una IP residencial con una huella digital de dispositivo propia de un centro de datos; una zona horaria o un idioma del navegador que no coinciden con la geolocalización de la IP; latencias y tiempos que delatan un enrutamiento a través de proxy por otro país. ClickFortify contrasta las señales de IP con las de dispositivo y la coherencia geográfica, así que una sesión con discrepancias se pone de manifiesto en lugar de darse por buena. La detección de proxies, centros de datos y VPN sigue importando aquí: no como veredicto por sí sola, sino como una entrada ponderada entre muchas.

Cómo ClickFortify superpone la defensa en Google, PMax y Meta

Unir estas capas es el verdadero trabajo, y tiene que respetar las limitaciones de cada plataforma:

• Google Search y Display. ClickFortify excluye automáticamente en tiempo real las IPs fraudulentas confirmadas y gestiona la lista de exclusión de forma dinámica frente al tope de Google de 500 IPs por campaña, para que una lista finita no se desperdicie en direcciones caducadas mientras las nuevas quedan sin bloquear.
• Performance Max. Como las exclusiones a nivel de campaña no pueden tocar PMax, ClickFortify aplica exclusiones a nivel de cuenta más detección conductual fuera de la plataforma, para que el gasto en PMax no quede indefenso frente al tráfico de proxies.
• Conversiones y Smart Bidding. Como un clic filtrado puede seguir dejando una conversión contaminante, ClickFortify añade filtrado a nivel de conversión y de CAPI para que las conversiones generadas por el fraude no entrenen a Smart Bidding para perseguir basura.
• Meta. Donde las IPs de cliente sin procesar no se pueden excluir en absoluto, ClickFortify envía a los visitantes que identifica como fraudulentos a exclusiones de Custom Audiences y al filtrado de CAPI, extendiendo la protección conductual a una plataforma sin controles de IP nativos.

La conclusión

Mantén tus exclusiones de IP; son una primera capa necesaria y frenan el tráfico poco sofisticado y basado en listas que los estándares llaman GIVT. Pero entiende lo que no pueden hacer. La mitad cara y persistente del fraude de clics viaja ahora por conexiones residenciales reales que rotan más rápido de lo que cualquier lista puede seguir, se cuela entre las comprobaciones de centros de datos y contamina tus datos de conversión incluso cuando el clic se detecta. Detectar esa mitad exige identificar al actor (por dispositivo y comportamiento), no la dirección. Ese enfoque por capas, aplicado de forma coherente en Search, Performance Max y Meta, es la diferencia entre una lista de bloqueo que queda obsoleta en una semana y una protección que sigue al fraude venga de la IP que venga.