Détecter les VPN, proxys et Tor : la menace cachée du trafic anonymisé

Lorsqu'une connexion arrive sur votre application dissimulée derrière un VPN, un serveur proxy ou le réseau Tor, vous faites face à un problème immédiat : vous ne pouvez pas voir qui se trouve réellement de l'autre côté. Dans la plupart des scénarios de fraude, cette ambiguïté est précisément l'objectif recherché.

Les réseaux d'anonymisation répondent à des usages légitimes. Les journalistes qui protègent leurs sources, les militants dans des régimes répressifs, les lanceurs d'alerte et les personnes soucieuses de leur vie privée ont toutes de bonnes raisons de masquer leur véritable adresse IP. Mais ces mêmes réseaux constituent l'infrastructure de prédilection des opérateurs de credential stuffing, des fraudeurs, des exploitants de scrapers et des attaquants en quête de vulnérabilités.

Savoir détecter les couches d'anonymisation — et exploiter ce signal avec discernement — est une capacité fondamentale pour toute équipe sécurité qui gère le risque aux frontières d'authentification et de transaction.

L'écosystème de l'anonymisation

Les outils utilisés par les attaquants pour masquer leur identité forment un écosystème en couches, chacune avec ses caractéristiques propres et ses difficultés de détection.

Les services VPN

Les services VPN commerciaux acheminent le trafic via des points de sortie répartis géographiquement, masquant l'IP réelle de l'utilisateur par une adresse issue du pool du fournisseur. Du point de vue de l'application, la connexion semble provenir d'un datacenter VPN plutôt que du FAI de l'utilisateur.

Le trafic VPN est relativement simple à détecter, car les fournisseurs maintiennent des plages d'IP stables et limitées. Les bases de renseignement suivent les allocations d'ASN, les registres de propriété d'IP et les schémas comportementaux associés aux fournisseurs connus. La plupart des services VPN commerciaux opèrent depuis des ASN de datacenter, faciles à distinguer des plages résidentielles des FAI.

La difficulté tient au fait que l'usage du VPN se généralise chez les particuliers attentifs à leur vie privée. Bloquer massivement le trafic VPN revient à écarter des utilisateurs légitimes qui maintiennent une connexion VPN pour leur propre sécurité.

Les proxys résidentiels

Les réseaux de proxys résidentiels représentent une menace plus sophistiquée. Plutôt que de transiter par une infrastructure de datacenter, ces réseaux utilisent des adresses IP attribuées par des FAI résidentiels — les mêmes blocs que ceux des abonnés internet particuliers. Le trafic sort de ce qui ressemble à une connexion domestique, dans n'importe quelle ville du monde.

Ces réseaux se construisent en agrégeant la bande passante de millions d'appareils exécutant un logiciel proxy, souvent embarqué dans des applications gratuites ou des extensions de navigateur que les utilisateurs installent sans mesurer ce qu'ils autorisent. Du point de vue de la détection, les proxys résidentiels se fondent dans le trafic grand public normal, ce qui les rend nettement plus difficiles à identifier.

Les proxys de datacenter

Les proxys de datacenter transitent par les infrastructures de fournisseurs cloud et des hébergeurs dédiés. Ils sont rapides, bon marché et hautement scalables, ce qui en fait l'outil dominant des attaques automatisées à fort volume comme le credential stuffing et le scraping web.

La détection y est relativement fiable : les plages d'IP de datacenter sont bien documentées. Les grands fournisseurs comme AWS, Azure, GCP, DigitalOcean et Vultr publient la liste de leurs plages d'IP. Les flux de renseignement tiers agrègent et enrichissent ces listes pour y inclure les hébergeurs plus modestes et les bulletproof hosters.

Les nœuds de sortie Tor

Le réseau Tor achemine le trafic à travers plusieurs relais opérés par des volontaires avant de le faire sortir par l'un des milliers de nœuds de sortie répartis dans le monde. Le projet Tor publie une liste complète et fréquemment mise à jour des adresses IP des nœuds de sortie, ce qui rend la détection fiable mais imparfaite — la liste évoluant en continu et de nouveaux nœuds étant ajoutés régulièrement.

Le trafic Tor mérite le plus haut niveau de vigilance dans la plupart des contextes applicatifs. La gestion légitime d'un compte passe rarement par Tor, alors que le carding, le credential stuffing et la fraude sur les places de marché du dark web y recourent presque systématiquement.

Pourquoi les attaquants s'appuient sur l'anonymisation

La raison opérationnelle de l'usage des proxys et des VPN dans les attaques est simple : les défenses fondées sur l'IP sont omniprésentes, et les contourner suppose de déguiser la véritable source du trafic.

La limitation de débit, le verrouillage de compte et le blocage géographique s'appuient tous sur l'adresse IP comme signal clé. En faisant transiter leurs attaques par une infrastructure de proxys, les attaquants font apparaître chaque requête comme provenant d'une adresse IP différente et « propre ». Un bot de credential stuffing qui tourne sur un pool de 100 000 proxys résidentiels pose un problème de détection fondamentalement différent de celui de la même attaque menée depuis une source unique.

Au-delà de l'évasion, l'infrastructure de proxys permet aux attaquants de simuler une présence géographique. Tester des numéros de carte bancaire volés contre des services régionaux, créer des comptes frauduleux qui semblent originaires du pays d'implantation du service, ou contourner des contrôles d'accès géographiques : autant d'opérations qui bénéficient d'une sélection précise du proxy.

Comment fonctionne la détection

Une détection fiable de l'anonymisation combine plusieurs sources de données et plusieurs signaux.

L'analyse IP-vers-ASN

Chaque adresse IP appartient à un numéro de système autonome (ASN) — un identifiant attribué aux organisations qui gèrent le routage d'un groupe d'adresses IP. Les données ASN révèlent qui contrôle techniquement un bloc d'adresses donné : un FAI résidentiel, un datacenter, un opérateur mobile, un fournisseur de VPN ou un réseau d'entreprise.

La classification ASN constitue la couche fondamentale de la détection de proxys. Les connexions issues d'ASN associés à des fournisseurs de VPN connus, à des opérateurs de datacenter ou à des services de proxy déclenchent immédiatement un score de risque élevé, indépendamment de tout autre signal.

Les historiques d'abus

Au-delà de la classification, les flux de renseignement suivent le comportement historique : quelles adresses IP ont été observées en train de participer à des attaques, d'envoyer du spam, de conduire des transactions frauduleuses ou d'apparaître dans des campagnes de credential stuffing. Une adresse IP appartenant à un ASN de datacenter légitime mais signalée à plusieurs reprises pour abus présente un risque très différent de celui d'une connexion résidentielle vierge.

Le balayage de ports et la détection de proxys ouverts

Les serveurs proxy ouverts exposent des ports caractéristiques (3128, 8080, 1080) et répondent de façon prévisible aux requêtes de sondage. Les services de scan actif maintiennent des bases d'IP identifiées comme exécutant un logiciel proxy, ce qui permet une classification en temps réel sans dépendre uniquement des données ASN.

Les listes de nœuds de sortie Tor

Le projet Tor et plusieurs services tiers maintiennent des listes à jour des IP des nœuds de sortie actifs. Le recoupement des IP des connexions entrantes avec ces listes offre une détection Tor fiable. La principale limite est la fraîcheur des listes — les nœuds de sortie changent fréquemment — ce qui impose des mises à jour régulières pour préserver la précision.

Les signaux comportementaux

Au-delà de la classification d'IP, l'analyse comportementale apporte une capacité de détection supplémentaire. Les réseaux de proxys résidentiels produisent des schémas inhabituels : des connexions qui font tourner rapidement les IP au sein d'un même ASN, des sessions sans état persistant (aucun cookie renvoyé lors des requêtes suivantes) et des user agents incohérents avec le type d'appareil déclaré.

Un scoring de risque opérationnel

Une détection d'anonymisation efficace ne produit pas une décision binaire autoriser/bloquer. Elle alimente plutôt un signal de risque qui se combine à d'autres éléments de contexte pour déclencher la réponse appropriée.

Une connexion issue d'une IP de proxy résidentiel, sans historique d'abus, sans schéma comportemental anormal et avec une session normale, peut être évaluée comme un risque modéré — suffisant pour exiger un CAPTCHA, mais pas pour bloquer d'emblée. La même IP tentant une connexion sur un compte qui ne s'est jamais authentifié depuis une infrastructure de proxy, immédiatement après une anomalie géographique, doit déclencher une authentification renforcée immédiate, voire un blocage.

Les principaux facteurs contextuels qui amplifient les signaux de risque liés aux proxys sont :

• La valeur de la transaction : le traitement d'un paiement justifie une vigilance supérieure à un simple accès à du contenu en lecture seule
• L'ancienneté du compte : les comptes récents qui s'authentifient immédiatement depuis une infrastructure de proxy présentent des taux de fraude de base plus élevés
• Le type d'action : la création de compte, la réinitialisation de mot de passe et la modification d'un moyen de paiement sont des actions à haut risque, indépendamment de l'usage d'un proxy
• La vélocité : plusieurs actions en succession rapide depuis des IP d'origine proxy trahissent une automatisation

Mettre en œuvre la détection de proxys dans votre stack

Pour les équipes qui intègrent la détection de proxys dans leur couche d'authentification ou de prévention de la fraude, la mise en œuvre suit un schéma constant :

En bordure de réseau, évaluez l'IP source contre des flux de threat intelligence en temps réel avant l'exécution de tout code applicatif. C'est là que les plages datacenter et Tor connues peuvent être traitées avec un impact minimal sur la latence.

Au niveau applicatif, enrichissez le signal réseau avec des données comportementales et de session. Une connexion issue d'une plage VPN qui présente des marqueurs de session persistants (cookies renvoyés, empreinte d'appareil connue) appelle un traitement différent de celui d'une connexion proxy toute neuve et sans historique.

Au point de décision, évaluez le risque de façon globale. L'API d'intelligence IP d'ismalicious.com renvoie la classification proxy, l'historique d'abus et le score de risque en un seul appel à faible latence, permettant aux applications de décider en ligne sans maintenir d'infrastructure de renseignement locale.

Gérer l'arbitrage avec la vie privée

Toute discussion sur la détection de proxys doit reconnaître les usages légitimes de la navigation anonymisée. Bloquer l'intégralité du trafic proxy, VPN et Tor exclut les utilisateurs soucieux de leur vie privée, les militants et les personnes situées dans des régions soumises à des restrictions réseau.

La réponse appropriée dépend du contexte applicatif. Pour des transactions financières à haut risque, bloquer le trafic Tor est une base raisonnable et largement admise. Pour des applications web généralistes, traiter le trafic proxy comme un risque élevé nécessitant une vérification supplémentaire — plutôt que comme un motif de blocage automatique — préserve l'accès tout en relevant le niveau d'effort exigé des fraudeurs.

Communiquer clairement lorsqu'un accès est bloqué (« Nous avons détecté un proxy anonymisant. Merci de vous connecter directement ou de contacter le support. ») aide à distinguer un contrôle de sécurité d'une discrimination arbitraire et réduit la friction pour les cas limites légitimes.

Conclusion

Le trafic anonymisé n'est pas malveillant par nature, mais il est très nettement surreprésenté dans les scénarios de fraude, de prise de contrôle de compte, de scraping et d'abus, au regard de sa part dans le trafic légitime. Pour la plupart des applications porteuses de transactions, traiter les connexions proxy et VPN avec une vigilance accrue constitue une posture de sécurité proportionnée et fondée sur les faits.

La combinaison de la classification d'IP, des données historiques d'abus et des signaux comportementaux offre une base fiable pour le scoring de risque. Appliquée dans le cadre d'une défense en profondeur — en alimentant une authentification renforcée, des mécanismes de challenge ou une surveillance accrue plutôt que des blocages brutaux —, la détection de proxys réduit sensiblement la surface d'attaque tout en préservant l'accès pour les cas limites légitimes.