Herramientas de reputación IP para fraude y bots
El lunes por la mañana, revisa los registros del fin de semana y encuentra cientos de cuentas nuevas creadas desde un grupo reducido de direcciones. Algunas de esas mismas direcciones también intentaron iniciar sesión en cuentas existentes. Un colega ya las consultó en un sitio gratuito: una aparece reportada muchas veces, otra es una salida de Tor y sobre una tercera no hay información. Las cuentas están en una cola y los intentos de inicio de sesión, en otra, pero las direcciones los conectan. Usted debe decidir qué implican esas respuestas para el próximo registro o inicio de sesión. ¿Dónde se toma esa decisión?
Una sola fuente de reputación IP no responde todas las preguntas
Los resultados de las consultas a las direcciones de la cola del fin de semana responden preguntas distintas. Hicimos las consultas el 22 de octubre de 2026. De las 50 direcciones reportadas por ataques a servidores en las 48 horas anteriores, 42 no aparecían en Barracuda ni en Project Honey Pot. Las cinco direcciones a las que AbuseIPDB asignó una puntuación de 100 tampoco aparecían en ninguna de las dos.
| Muestra | Cantidad | Barracuda | Honey Pot | Ambas | Ninguna |
|---|---|---|---|---|---|
| Salidas de Tor | 50 | 3 | 26 | 3 | 24 |
| Atacantes recientes | 50 | 7 | 5 | 4 | 42 |
| AbuseIPDB 100 | 5 | 0 | 0 | 0 | 5 |
Un servicio que nunca ha visto una dirección no puede descartarla como riesgo. Las listas se basan en sensores distintos, así que la decisión debe considerar información de más de una fuente.
Elija las fuentes según la actividad que observan
Elija una fuente según el tipo de abuso que detecta. AbuseIPDB reúne reportes sobre ataques a servidores y aplicaciones web. Las trampas de Project Honey Pot recopilan información sobre visitantes como quienes envían spam en comentarios y quienes recolectan direcciones. Barracuda’s Reputation Block List es una lista de correo electrónico. Blocklist.de registra las direcciones reportadas por atacar los servidores de sus miembros en las 48 horas anteriores.
La actividad de estas fuentes ayuda a entender los resultados de coincidencia. Project Honey Pot identificó 26 de las 50 salidas de Tor de nuestra muestra y cinco de los 50 atacantes de servidores reportados recientemente. Su red de trampas aporta información sobre la actividad que estas capturan.
Los servicios ofrecen distintos tipos de información y distintas formas de consultarlos:
| Servicio | Qué detecta | Datos consultados | Consulta | Costo |
|---|---|---|---|---|
| AbuseIPDB | Informes de operadores de servidores sobre ataques a servidores y aplicaciones web | Puntuación de confianza de 0 a 100, tipo de uso, indicador de Tor, cantidad de informes | API web con una clave | Gratis para 1,000 consultas al día, planes de $25 y $99 al mes |
| Project Honey Pot | Páginas trampa y direcciones de correo trampa en los sitios web de sus miembros | Tipo de visitante, puntuación de amenaza de 0 a 255, días desde la última visita | Consulta DNS con una clave de acceso | No publicado en las páginas consultadas |
| Barracuda BRBL | Correo que reciben sus sistemas | En la lista o no | Consulta DNS | No confirmado, sus páginas rechazaron nuestras solicitudes de acceso |
| blocklist.de | Ataques a los servidores de sus miembros en las últimas 48 horas | En la lista o no | Lista descargable, actualizada cada 30 minutos | No verificado |
| minFraud | Transacciones de más de 7,000 empresas | Puntuación de riesgo de la transacción, riesgo de IP, indicadores de anonimato y alojamiento | API web con una cuenta y una clave de licencia | De $0.005 a $0.020 por consulta |
| MaxMind Anonymous IP | Direcciones de VPN, alojamiento, proxy público, proxy residencial y nodos de salida de Tor | Un indicador por tipo | Archivo consultado en su propio servidor | Precio bajo consulta |
La puntuación de confianza de AbuseIPDB se basa en reportes de usuarios. AbuseIPDB indica que el peso de los reportes disminuye con el tiempo. La consulta http:BL de Project Honey Pot devuelve el tipo de visitante, la puntuación de amenaza y los días desde la última vez que se detectó. La base de datos Anonymous IP de MaxMind identifica tipos de red, y minFraud calcula una puntuación de riesgo para las transacciones de pago.
Distinga el tipo de red de la actividad reportada
Use el tipo de red y la actividad reportada como datos distintos. Una salida de Tor, una VPN, la red de un operador móvil o la de una oficina pueden compartir el tráfico de muchas personas. Los servidores en la nube y las conexiones residenciales pueden cambiar de dueño. Un reporte informa sobre la actividad asociada a una dirección, mientras que la etiqueta de red describe el tipo de conexión.
Nuestras consultas muestran la diferencia. Project Honey Pot clasificó el DNS público de Google como “Bad Web Host” y el DNS público de Cloudflare como “Search Engine”. AbuseIPDB asignó cero a ambas direcciones y las incluyó en su lista de permitidos. Estas etiquetas describen las direcciones y los datos de los servicios, no la intención de quien realiza una solicitud en particular.
En el inicio de sesión, la información del dispositivo obtenida mediante la huella digital del navegador aporta otra perspectiva sobre la solicitud.
Combine fuentes de consulta y pondere los reportes según su antigüedad
Consulte juntas, en una misma etapa de decisión, las fuentes necesarias para una solicitud. Se ejecutan al mismo tiempo y la etapa espera la respuesta más lenta. Puede guardar una respuesta correcta en una caché de su organización durante un plazo definido, por ejemplo, un día. Las solicitudes posteriores pueden reutilizarla y las reglas pueden consultar su antigüedad. Los errores se devuelven a la decisión, no se guardan.
Use una fuente paga cuando la información específica que aporta pueda cambiar la acción. En el pago, minFraud evalúa la transacción y considera, entre otros datos, la IP, el correo electrónico, las direcciones de facturación y envío, el prefijo del emisor de la tarjeta y el pedido. Si importa el tipo de red de una dirección, la base de datos Anonymous IP proporciona indicadores a partir de un archivo consultado en su servidor. Si la información disponible ya conduce a la misma acción, otra respuesta paga suma un costo, pero no cambia la decisión.
Dé más peso a la actividad reciente que a la antigua. http:BL devuelve los días transcurridos desde la última vez que detectó una dirección, y AbuseIPDB indica que el peso de sus reportes disminuye con el tiempo. Al decidir cuánto peso darle a una inclusión en una lista, considere la antigüedad que informa cada fuente.
Defina qué ocurre cuando falla una consulta
Envíe las consultas fallidas, rechazadas o vencidas por tiempo de espera a una regla para resultados desconocidos. Si falta una respuesta, la decisión tiene información incierta, por lo que no debe tratarla como un resultado limpio por defecto.
El aviso de Spamhaus sobre los resolutores públicos explica que 127.255.255.254 es la respuesta de rechazo cuando una consulta llega mediante un resolutor público no autorizado. Para esas consultas, use su Data Query Service gratuito con una clave. En nuestras pruebas, las consultas mediante el resolutor de Cloudflare devolvieron ese código de rechazo específico. Las consultas mediante el resolutor de Google devolvieron una respuesta de inclusión en la lista o ningún registro. La respuesta sin registro era igual a la de una dirección que no aparecía en la lista.
Elija el resultado desconocido según el tipo de falla y la solicitud. Vuelva a intentar la consulta si la falla es temporal, la solicitud puede esperar dentro del tiempo de espera de la fuente y otro intento podría aportar información útil. Envíe un rechazo a la regla de resultados desconocidos y corrija el resolutor o el método de consulta. Si el resto de la información indica un riesgo bajo, permita que la solicitud continúe y registre el resultado desconocido. Si otros datos generan preocupación, solicite una verificación o envíela a revisión. En una tabla de decisión, un valor faltante puede interpretarse como cero, por lo que debe definir explícitamente qué ocurre si falta una respuesta.
Elija el nivel de fricción según el contexto y la información combinada
Para la cola del lunes, un reporte por sí solo debería influir en el próximo paso según el resto de la solicitud. Solicite una verificación para un registro con muchos reportes, considere el resultado de Tor como información sobre la red y contrástelo con la solicitud. Si no hay resultados para una dirección, aplique la regla de resultados desconocidos y use los demás datos disponibles para decidir si la persona puede continuar, necesita una verificación o requiere revisión. En el caso de inicios de sesión vinculados, considere como información propia los intentos repetidos en su tráfico.
Varias fuentes coincidentes y un patrón de ataque recurrente pueden justificar una revisión o la retención temporal de desembolsos. Aplique un bloqueo perimetral solo a una dirección que no pueda atender a clientes legítimos y cuente con evidencia propia que confirme el ataque. Agregue al atacante confirmado a su propia lista de bloqueo con una fecha de vencimiento. Para una dirección compartida o reasignada, elija un período de revisión más breve. Amplíe o renueve la entrada solo si hay evidencia nueva que lo justifique.
Al momento del pago, envíe la IP como parte de la transacción a minFraud y consulte el riesgo de IP y los indicadores de anonimato junto al puntaje de la transacción. En una respuesta de Insights probada, una IP de salida de Tor tenía un riesgo de IP de 22.5 y el pedido, que por lo demás no presentaba problemas, obtuvo un puntaje de 7.61. En otro pedido probado, apareció un factor de IP anónima y la transacción obtuvo un puntaje de 3.08. El umbral de aceptación del ejemplo de MaxMind era 5, por lo que el pedido se aceptó según el puntaje, aunque el factor seguía disponible para la regla. El puntaje de transacción de minFraud complementa las demás evidencias del pedido.
Para los registros y los inicios de sesión que esperan en la cola del lunes, use la información disponible para elegir una acción para cada solicitud:
- Elija las fuentes según la actividad que observan: AbuseIPDB para reportes de ataques a servidores y aplicaciones web, Project Honey Pot para tipos de visitantes como quienes envían spam en comentarios y quienes recolectan direcciones, una lista de correo como Barracuda para la reputación del correo, blocklist.de para ataques a los servidores de sus miembros, la base de datos Anonymous IP de MaxMind para el tipo de red y minFraud para transacciones de pago.
- Consulte juntas, en una misma etapa de decisión, las fuentes necesarias para una solicitud. Guarde las respuestas correctas que se repiten durante un plazo definido, por ejemplo, un día, y pague otra consulta solo si la información podría cambiar la acción.
- Considere el tipo de red —como Tor, VPN, alojamiento o un servicio compartido— por separado de la actividad reportada.
- Use el dato de http:BL sobre los días desde la última vez que se detectó la dirección para ponderar su inclusión en la lista. Considere la puntuación de AbuseIPDB junto con la disminución de peso de los reportes que indica el servicio.
- Envíe las consultas fallidas, rechazadas y vencidas por tiempo de espera a una regla de resultados desconocidos. Vuelva a intentar las fallas temporales si la solicitud puede esperar y otro intento podría servir. Si una consulta es rechazada, corrija el método. Solicite una verificación o revisión si el resto de la información genera preocupación.
- Elija el nivel de fricción según la información combinada y el contexto de la solicitud: solicite una verificación o revisión para las solicitudes que generan preocupación. Reserve el bloqueo perimetral para una dirección que no pueda atender a clientes legítimos y cuyo ataque confirme la información propia.
- Incluya a los atacantes confirmados en su propia lista de bloqueo y fije el vencimiento según la dirección y el tiempo durante el cual se espera que la información siga siendo útil. Revise antes las direcciones compartidas o reasignadas y renueve una inclusión solo cuando la respalde información reciente.
- En el pago, envíe la IP a minFraud como parte de la transacción y consulte el riesgo IP y los indicadores de anonimato junto a la puntuación de la transacción.
Preguntas sobre las consultas de reputación IP
¿Qué herramientas permiten detectar y bloquear direcciones IP maliciosas en tiempo real?
Use servicios adecuados para la actividad que necesita detectar y combine sus respuestas en la decisión. AbuseIPDB cubre reportes de ataques a servidores y aplicaciones web. Project Honey Pot informa tipos de visitantes, como quienes envían spam en comentarios y quienes recolectan direcciones. Las listas de correo como Barracuda ofrecen información sobre la reputación del correo. La base de datos Anonymous IP de MaxMind describe el tipo de red y minFraud calcula una puntuación de riesgo para las transacciones. Elija las fuentes que se ajusten a su tráfico y defina el nivel de fricción según la información combinada.
¿Existe una alternativa gratuita a AbuseIPDB?
AbuseIPDB ofrece un plan gratuito con 1,000 consultas y reportes al día. http:BL de Project Honey Pot y blocklist.de son fuentes alternativas para otros tipos de actividad. Elija la fuente que corresponda a la actividad que observa y confirme sus condiciones antes de incorporarla a las consultas de sus servicios.
¿Debe bloquearse toda dirección IP incluida en una lista de bloqueo?
No. La inclusión en una lista aporta información sobre una dirección, pero las direcciones compartidas o reasignadas pueden transportar el tráfico de otras personas. Use esa información para elegir un nivel de fricción proporcional. Reserve el bloqueo perimetral para una dirección que no pueda atender a clientes legítimos y cuyo ataque confirme la información propia.
¿Cuánto tarda una consulta de reputación IP durante un inicio de sesión o un pago?
Cuando se consultan varias fuentes al mismo tiempo, la decisión espera la respuesta más lenta. En nuestras pruebas registradas, las consultas de Barracuda mediante DNS-over-HTTPS tuvieron tiempos medianos de 146 a 157 ms. La página pública de Project Honey Pot tuvo tiempos medianos de 279 a 394 ms, y está pensada para lectura, no para consultas durante una decisión. El tiempo real en su inicio de sesión o pago depende de las fuentes que consulte y de sus tiempos de respuesta. Cuando corresponda, reutilice respuestas guardadas y defina un tiempo de espera.
¿Por qué una consulta a Spamhaus devuelve 127.255.255.254?
Spamhaus usa esa respuesta para rechazar consultas a través de resolutores públicos no autorizados. Use su Data Query Service gratuito con una clave y envíe el rechazo a una regla de resultados desconocidos.
¿Qué aporta MaxMind a las transacciones con tarjeta?
minFraud calcula el riesgo de la transacción y considera la IP junto con datos como el correo electrónico, las direcciones de facturación y envío, el prefijo del emisor de la tarjeta y el pedido. Su respuesta incluye el riesgo IP y, en las respuestas de Insights que probamos, información sobre alojamiento, anonimato y salidas de Tor. Consulte esos datos junto a la puntuación de la transacción.
¿Durante cuánto tiempo son precisos los datos de reputación IP?
Depende de la fuente y de la actividad. http:BL informa cuántos días han pasado desde la última vez que detectó la dirección, y AbuseIPDB indica que el peso de sus reportes disminuye con el tiempo. Dé más peso a una inclusión detectada en las últimas semanas que a otra cuya última detección fue hace años. En nuestras consultas a Project Honey Pot encontramos ejemplos de ambas.
