Des chercheurs de Layer3 Intel ont observé des sorties de trafic émanant de services de proxys résidentiels via AS2650, le réseau associé au Bureau du Président. Cette découverte, rendue publique via leur observatoire, montre que des connexions de proxys ont traversé le réseau de la Maison Blanche entre le 5 octobre et le 3 novembre.

Le service de proxy résidentiel permet à des utilisateurs de faire transiter leur trafic par des appareils quotidiens, faisant croire à l’origine de la connexion celle de l’appareil hôte. Durant cette période de presque un mois, les pipelines d’énumération de proxys ont quitté ce réseau 236 fois, provenant de six adresses différentes sur 26 jours. Pour confirmer le phénomène, les adresses ont été croisées avec d’autres outils de détection, dont Spur et Synthient.

Cette activité n’était pas ciblée ; les chercheurs l’ont interceptée fortuitement lors d’une requête d’accès mondial rotatif. Layer3 Intel confirme que cet accès est public, ouvert à quiconque règle quelques dollars pour utiliser le service.

Le profil de l’activité et les risques de botnets

L’analyse temporelle des connexions apporte une nuance sérieuse à cette observation. Environ la moitié du trafic se situe entre 17 heures et minuit, heure de l’Est, et très peu d’activité est enregistrée tôt le matin. Ce schéma suggère, selon les chercheurs, la présence d’une personne, et non d’un simple réseau Wi-Fi public. Cette personne aurait un appareil infecté par un SDK de proxy, permettant à son dispositif de servir de point de sortie anonyme.

Cette vulnérabilité n’est pas nouvelle. Synthient a documenté dans sa recherche sur le botnet Kimwolf comment il a pu atteindre au moins deux millions d’appareils, principalement des téléphones Android, en exploitant des réseaux de proxys résidentiels. Le botnet utilisait des services de proxy pour atteindre des services ADB exposés. Si le SDK utilisé sur le réseau de la Maison Blanche comportait une faille similaire, n’importe quel acheteur de proxys pourrait potentiellement atteindre des systèmes internes.

Synthient a d’ailleurs rapporté, peu après, que des appareils fonctionnant sous Windows 10 et Windows 11 étaient en communication avec des fournisseurs de proxys connus, notamment via des applications de streaming qui embarquent des SDK de proxy.

La portée mondiale des proxys résidentiels

L’observatoire de Layer3 Intel révèle que les proxys résidentiels ont désormais une portée véritablement planétaire, allant bien au-delà des infrastructures gouvernementales ou des centres urbains. Les territoires les plus isolés sont touchés.

Saint Helena, Ascension et Tristan da Cunha, qui abrite l’île habitée la plus éloignée du monde, a vu apparaître 413 adresses avec plus de 32 000 observations, réparties entre Starlink et l’opérateur local Sure Saint Helena. Les chercheurs ont également capté trois observations en Antarctique, toutes provenant d’une adresse Cloudflare WARP pointant vers la station McMurdo.

D’autres zones comme Pitcairn, Norfolk Island, Svalbard, les îles Chagos, Tokelau et la Géorgie du Sud montrent également des traces d’activité. Layer3 Intel conclut que les proxys ont infecté « chaque coin du monde ».

Les limites de l’observation technique

Layer3 Intel insiste sur le fait que ses données ne permettent d’identifier ni l’appareil ni l’individu derrière le trafic. La firme explique : « Nos données montrent les sorties, pas l’appareil ou la personne derrière elles. »

Malgré cette limitation, la découverte met en lumière la fragilité croissante des dispositifs connectés. Le risque, selon les chercheurs, est que des appareils connectés à des réseaux protégés deviennent, sans le savoir, des relais pour des activités malveillantes issues du marché des proxys. La question demeure : les fournisseurs de services de proxy vont-ils renforcer leurs protections contre l’exploitation de leurs SDK, ou les acteurs de la menace continueront-ils d’exploiter cette dépendance du monde numérique aux points de sortie résidentiels ?

Sources

• Residential Proxies Detected on White House Network, layer3intel.com
• A Broken System Fueling Botnets | Synthient, synthient.com
• White House Network Appears in Global Residential Proxy Traffic, Security Affairs, 6 novembre 2026
• Residential proxy traffic caught leaving the White House network, Help Net Security, 6 novembre 2026