Lo hiciste todo bien. Sacaste las direcciones IP sospechosas de tus términos de búsqueda y de tu analítica, las añadiste a tu lista de exclusión, quizá incluso chocaste con el tope de 500 direcciones de Google, y los clics basura y los leads falsos siguieron llegando. No es un error tuyo. El motivo tiene nombre: los proxies residenciales. Canalizan el fraude de clics a través de direcciones IP domésticas reales, asignadas por proveedores de internet, idénticas a las de tus mejores clientes, lo que significa que una lista de bloqueo estática no puede verlas. El bloqueo de IPs sigue siendo necesario, pero por sí solo no detecta el fraude que pasa por proxies. Esta guía explica el mecanismo, por qué las listas de bloqueo están estructuralmente en desventaja y qué añaden la detección por dispositivo y la detección conductual.
La lista de bloqueo que creaste el mes pasado ya está obsoleta
La mayoría de las listas de exclusión se construyen igual: detectas una dirección sospechosa en los informes, la añades y repites. Eso funciona contra el tráfico de centros de datos, que se aloja en redes de hosting que puedes reconocer y bloquear. Funciona bastante peor contra el tráfico que pasa por conexiones residenciales idénticas a las de usuarios auténticos.
La conclusión honesta a la que la mayoría de los anunciantes llegan por las malas: una lista de IPs malas es una instantánea de un objetivo que ya se ha movido. Para cuando has identificado y excluido una dirección, el operador del fraude ya está en otra. La solución no es una lista más grande; es otra capa de detección.
Qué es realmente un proxy residencial
Un proxy residencial canaliza el tráfico a través de la conexión a internet de un consumidor real. La IP de salida pertenece a un hogar o a una pequeña empresa con una línea normal de banda ancha o móvil, no a un proveedor de alojamiento. Los operadores construyen estas redes integrando SDK en apps móviles gratuitas, extensiones de navegador y VPN “gratuitas” que revenden en silencio el ancho de banda del usuario, a menudo sin un consentimiento real.
Ese detalle lo es todo. Cuando un clic fraudulento sale de un proxy residencial, llega con la reputación de IP fiable de una conexión doméstica real. No aparece en ninguna lista de bloqueo de centros de datos, porque no es un centro de datos. Y bloquearlo sin más es peligroso: detrás de ese mismo rango de IPs hay clientes reales que quieres conservar. El tráfico de centros de datos y de VPN es relativamente fácil de puntuar; el tráfico de proxies residenciales está diseñado específicamente para burlar las comprobaciones que lo detectan. Nuestra guía sobre el tráfico de bots en Google Ads trata el lado automatizado del mismo problema.
La prueba de 2026: el desmantelamiento de IPIDEA por parte de Google
No es teoría. El 29 de enero de 2026, el Threat Intelligence Group de Google anunció que había desarticulado IPIDEA, una de las mayores redes de proxies residenciales del mundo. La escala es la noticia: la red se alimentaba de SDK ocultos en más de 600 apps, contaba con unos 7400 servidores y más de 3000 hashes de archivos de Windows únicos, y se vendía bajo un conjunto de marcas de proxy y VPN presentadas como independientes. En un solo periodo de siete días de ese mes, Google observó más de 550 grupos de amenazas distintos usando nodos de salida de IPIDEA.
La propia explicación de Google sobre por qué este tráfico es tan difícil de frenar parece una acusación contra el bloqueo de IPs: “Al canalizar el tráfico a través de un conjunto de dispositivos de consumo de todo el mundo, los atacantes pueden enmascarar su actividad maliciosa secuestrando estas direcciones IP”.
La lección para los anunciantes tiene que ver con el modelo, no con una red concreta. Google dice que los SDK dan a los operadores “los millones de dispositivos que necesitan”, y otros conjuntos de proxies residenciales siguen funcionando después de cualquier desmantelamiento. A nivel de IP se ven igual que los usuarios reales, y ninguna lista de exclusión estática puede seguir el ritmo de un conjunto de ese tamaño.
Por qué las listas de bloqueo estáticas están estructuralmente en desventaja
Hay tres razones concretas por las que una lista de IPs no puede ganar esta batalla:
- Rotación. Las redes de proxies residenciales se nutren de enormes conjuntos de dispositivos de consumo y cambian de IP de salida constantemente. Una defensa que funciona enumerando direcciones malas está jugando una partida que matemáticamente no puede terminar.
- Los topes fijos de Google. Google Ads te permite excluir hasta 500 direcciones IP por campaña y exige que incluyas todas las versiones de una dirección que quieras excluir. Quinientas plazas contra un conjunto rotativo de IPs domésticas no es una competición.
- Huecos de cobertura. Según la misma documentación de Google, las exclusiones de IP a nivel de campaña “no están disponibles para las campañas de vídeo, de hoteles, de aplicaciones, de Performance Max ni de Display inteligente”. Las exclusiones a nivel de cuenta se aplican a toda la cuenta, incluida Performance Max, pero siguen siendo una lista de direcciones con el mismo problema de rotación.
La página de tráfico no válido de Google describe filtros automáticos que buscan interacciones que no coinciden con el comportamiento humano normal. Los proxies residenciales están hechos para que el lado de red de un clic parezca el de un usuario doméstico corriente, de modo que solo el dispositivo y la sesión pueden delatar el fraude.
GIVT frente a SIVT: el estándar que explica por qué las listas se quedan cortas
El sector publicitario ya tiene un lenguaje para esto. El estándar de tráfico inválido del Media Rating Council lo divide en dos niveles. El tráfico inválido general (GIVT) es el que se “identifica mediante medios de filtrado rutinarios, ejecutados mediante la aplicación de listas u otras comprobaciones de parámetros estandarizados”: bots conocidos, rastreadores y listas de IPs malas. El tráfico inválido sofisticado (SIVT) abarca “situaciones más difíciles de detectar que requieren analítica avanzada, corroboración o coordinación desde múltiples puntos, una intervención humana significativa, etc.”
El fraude de clics con proxies residenciales y el impulsado por malware es SIVT por definición. Una lista de bloqueo es, según la propia redacción del estándar, un filtrado “mediante la aplicación de listas”, una herramienta de GIVT. Es, por categoría, el instrumento equivocado para el SIVT. Esa es la razón precisa, según el estándar del sector, por la que el bloqueo de IPs solo detecta una parte de tu tráfico inválido.
El punto ciego de las conversiones que ignoran las listas de bloqueo
Hay un segundo fallo incluso cuando un clic sí se filtra. La página de tráfico no válido de Google indica que, como captas los leads en tu propio sitio web y en tu CRM, “los bots o los usuarios pueden seguir enviando formularios aunque Google identifique la interacción con el anuncio como no válida”. La misma página dice que Google “elimina algunas conversiones no válidas si proceden de tráfico no válido”, que no son todas. Y la definición de clics no válidos de Google señala que, cuando un clic lleva a una conversión y después se filtra, “Google elimina el clic no válido de las métricas de la campaña, pero la conversión válida permanece”. Google cuenta esa conversión como válida, pero si el clic que hay detrás era fraude, el formulario enviado también puede ser basura. Acaba en tus datos de conversión y alimenta Smart Bidding y Performance Max. La solución fiable es frenar más clics fraudulentos antes de que lleguen a tu formulario, y una lista de IPs conocidas solo lo consigue con las direcciones que ya has detectado.
Qué añaden la detección por dispositivo y la conductual a las listas de IPs
Si no puedes fiarte de la IP, detectas al actor. Tres capas sobreviven a una IP residencial rotativa:
-
Huella digital del dispositivo. Una identidad derivada, construida a partir de atributos de hardware, software y red, que vuelve a identificar al mismo visitante aunque borre las cookies, use la navegación privada o tenga IPs nuevas. Cuando el fraude llega desde una IP residencial rotativa que nunca aparecería en una lista de bloqueo, ClickFortify puntúa cada clic con más de 100 puntos de datos de dispositivo, red y comportamiento, no solo con la reputación de la IP. Su huella digital vuelve a identificar a un visitante fraudulento aunque cambie la IP de salida.
-
Señales de comportamiento. Las personas reales mueven el ratón, se desplazan, dudan y navegan de formas humanas y desordenadas. Los clientes automatizados no, y las herramientas de navegador sin interfaz como Selenium, Puppeteer y Playwright dejan huellas de automatización detectables. Analizando el comportamiento posterior al clic (tiempo de permanencia, profundidad de desplazamiento, flujo de navegación y esos indicios de automatización), ClickFortify señala los clics que superan una comprobación de reputación de IP pero se comportan como bots.
-
Corroboración entre señales. Los indicios más fuertes vienen de las contradicciones. Una IP residencial con una huella digital de dispositivo propia de un centro de datos; una zona horaria o un idioma del navegador que no coinciden con la geolocalización de la IP; unos tiempos de conexión que sugieren que el tráfico se está retransmitiendo a través de otro país. ClickFortify puntúa cada clic con más de 100 puntos de datos de dispositivo, red y comportamiento, así que una sesión cuyas señales se contradicen se pone de manifiesto en lugar de darse por buena. La detección de proxies, centros de datos y VPN sigue importando aquí: no como veredicto por sí sola, sino como una entrada ponderada entre muchas.
Cómo ClickFortify superpone la defensa en Google, PMax y Meta
Unir estas capas es el verdadero trabajo, y tiene que respetar las limitaciones de cada plataforma:
- Google Search y Display. Para la protección contra el fraude de clics en Google Ads, ClickFortify puntúa cada clic con más de 100 puntos de datos de dispositivo, red y comportamiento en tiempo real y excluye automáticamente las IPs no válidas mediante las listas de exclusión de IPs de Google Ads, con un rastro de evidencias de cada bloqueo. Google limita las exclusiones de IP por campaña a 500 direcciones, y por eso el bloqueo basado solo en listas se queda corto y la puntuación de cada clic importa.
- Performance Max. Google dice que las exclusiones de IP a nivel de campaña no están disponibles para Performance Max, mientras que las exclusiones de IP a nivel de cuenta se aplican a toda la cuenta, incluida Performance Max. Por eso la protección basada en IPs en PMax pasa por las exclusiones a nivel de cuenta.
- Datos de conversión. Como los bots pueden seguir enviando formularios después de que Google marque la interacción, el objetivo en Google Ads es que lleguen menos clics fraudulentos a tus formularios. Ahí ClickFortify trabaja a nivel de clic y de IP, de modo que llega menos basura a tus datos de conversión. No edita ni elimina conversiones dentro de Google Ads.
- Meta. Meta no tiene bloqueo de IPs, así que ClickFortify puntúa cada visita a la landing y actúa a través de los controles que Meta sí ofrece. Puede desactivar Audience Network en los conjuntos de anuncios donde se detecta fraude (opcional por cuenta publicitaria) y enviar a la lista de bloqueo de Meta los editores que bloqueas. Cuando el proxy de CAPI está activado, las conversiones se contrastan con la puntuación de fraude del visitante, y los eventos marcados se descartan o se etiquetan antes de que lleguen a Meta.
La conclusión
Mantén tus exclusiones de IP; son una primera capa necesaria y frenan el tráfico poco sofisticado y basado en listas que los estándares llaman GIVT. Pero entiende lo que no pueden hacer. El fraude de clics que pasa por proxies viaja por conexiones residenciales reales que rotan más rápido de lo que cualquier lista puede seguir, se cuela entre las comprobaciones de centros de datos y contamina tus datos de conversión incluso cuando el clic se detecta. Detectarlo exige identificar al actor (por dispositivo y comportamiento), no la dirección. Ese enfoque por capas, aplicado de forma coherente en Search, Performance Max y Meta, es la diferencia entre una lista de bloqueo que queda obsoleta en una semana y una protección que sigue al fraude venga de la IP que venga.
