威胁猎人观察发现，过半新增风险 IP 一周后就不再活跃，IP 名单晚一周更新，三分之一的风险 IP 就会漏网。
我们梳理了 2026 年 9 月 27 日至 10 月 25 日被黑灰产用作代理出口、或出现其他风险行为的 IP：约 4,900 万个 IPv4 涉及风险，四分之三位于家庭宽带，国内风险 IP 中 89% 是劫持共用代理。风险 IP 来得快、去得也快，依赖静态名单的防守会持续落后。
核心发现
规模：2026 年 9 月 27 日至 10 月 25 日，约 4,900 万个 IPv4 地址出现过风险行为，占全球可路由 IPv4 地址的 1.3%。其中八成是代理 IP，两成是劫持共用代理。
流动快：新增的风险 IP 中，32% 只出现一天，一周后仍活跃的不到一半。近 30 天出现过风险行为的 IP，近一半在最近一周已不再活跃。
名单时效：IP 名单晚 1 天更新，拦截覆盖率就从 84% 下降近 5 个百分点；晚一周降至 67%，晚两周只剩 61%。即便当天更新，每天仍有约 16% 的风险 IP 是近 7 天首次出现。
头部集中：活跃 15 天以上的风险 IP 只占 14%，却贡献了六成以上的风险活动，其中约四分之一是数据中心 IP。
国内以劫持共用代理为主：国内风险 IP 中，89% 是劫持共用代理，即正常用户的家庭网络被代理平台利用；境外风险 IP 则以代理 IP 为主。
境外风险 IP 的周活跃规模走高：10 月下旬，境外风险 IP 的周活跃规模较 9 月底上升约 30%，国内变化不大。
01
约 4,900 万个 IPv4 涉及风险，四分之三在家庭宽带
威胁猎人观察发现，约 4,900 万个 IPv4 地址出现过风险行为，占全球可路由 IPv4 的 1.3%，相当于每 75 个公网地址中就有 1 个。
80%是代理IP，即被黑灰产用作代理出口的地址。
22% 是劫持共用代理，指的是正常用户的设备被植入代理程序后，其网络被代理平台转卖，正常用户与黑灰产共用同一个 IP。
秒拨等其他类型合计不足 1%。
（少数 IP 同时属于两类，因此各类占比相加略超 100%。）
从地域看，境外占 75%，国内占 25%。境外风险 IP 分散在 116 个国家和地区，巴西、印度、美国最多；按区域看，拉美、欧洲和南亚居前。
风险研判：数据中心 IP 只占 6%。按机房 IP 段拦截的传统做法，只能覆盖很小一部分风险 IP；绝大多数风险 IP 混在普通家庭和手机用户的网络里。
02
快进快出：过半新增风险 IP 一周后不再活跃
新增风险 IP 存续时间很短，一半在 5 天左右后就不再出现。观察期内出现过风险行为的 IP，近一半在最近一周已不再活跃。
风险研判：封禁一个新增风险 IP，有效期大约一周。家庭宽带地址会被运营商重新分配给正常用户，长期封禁容易误伤后来的使用者；直接拿近一个月的历史名单做拦截，名单里近一半的 IP 最近一周已不再活跃。
03
名单晚一天更新，就多漏一截
IP 名单的拦截覆盖率随更新延迟快速下降：当天更新能覆盖 84% 的当天活跃风险 IP，晚一周只剩 67%。
风险研判：名单最好实时更新，至少按天更新，越慢漏得越多。当天新增的那部分风险 IP 此前从未出现，任何名单都无法提前收录，只能依靠实时风险评估识别。
04
14% 的长期活跃 IP，贡献了六成以上的风险活动
风险 IP 分成两类：长期活跃的少数，和短暂出现的多数。
威胁猎人研究发现，观察期 29 天中活跃 15 天以上的风险 IP 只占 14%，却贡献了 63% 的风险活动。
最活跃的 10% 风险 IP，贡献了 62% 的风险活动。
而长期活跃的风险 IP 中，数据中心 IP 占 24%，另外两类只有 2% 和 4%。
仅出现一天的风险 IP，81% 位于境外，以家庭宽带和移动网络为主。
风险研判：长期活跃的 IP 适合纳入名单直接拦截，名单对它们有效。仅出现一天的 IP，名单来不及收录，只能依靠实时风险评估。
05
国内风险 IP 近九成是劫持共用代理
国内风险 IP 约占全部的 25%，其中 89% 是劫持共用代理。国内多数风险 IP 的背后，是被代理平台利用的普通家庭网络，正常用户和黑灰产共用同一个 IP。
以家庭宽带为主：劫持共用代理中，93% 位于家庭宽带。
分散在三大运营商：国内风险 IP 中，中国电信占 38%，中国移动占 28%，中国联通占 27%，没有集中在某一家。
活跃周期略短：观察期内出现过的劫持共用代理，最近一周仍活跃的占 45%，其他风险 IP 为 57%。
其余约 11%：以云厂商机房和企业专线上的代理 IP 为主。
而境外风险IP的情况截然不同：境外风险 IP 以代理 IP 为主，劫持共用代理不到 0.1%。在威胁猎人的监测范围内，劫持共用代理几乎全部出现在国内网络中。
风险研判：国内业务遇到风险 IP，多数情况下对面是一个被利用的真实用户网络。直接封禁会误伤真实用户，更稳妥的做法是以二次验证代替拦截，并结合设备、账号等信号综合判断。
06
境外风险 IP10月持续走高
威胁猎人观察发现，10 月下旬，境外风险 IP 的周活跃规模比 9 月底高出约 30%，且逐周上升；国内先升后落，末周比首周高约 10%，涨幅明显小于境外。
这一变化是否会延续，需要结合 11 月的数据继续观察。
风险研判：出海业务面对的风险 IP 主要分布在拉美、欧洲、南亚和中东，巴西、印度、美国最多，规模仍在扩大。来自这些地区的注册、登录和交易请求，建议对家庭宽带和移动网络 IP 做实时风险评估。
07
防护建议：让 IP 判定跟上风险的变化
过半新增风险 IP 一周内就不再活跃，靠定期更新的静态名单，防守会一直慢一步。我们建议：
名单最好实时更新，至少按天更新：晚 1 天更新，覆盖率就下降约 5 个百分点；晚一周，三分之一的风险 IP 会漏网。
为封禁设置有效期：新增风险 IP 过半在一周内不再活跃，家庭宽带地址还会被重新分配给正常用户。封禁建议设置 7–14 天有效期，到期复核。
用实时评估覆盖新增 IP：每天约 16% 的风险 IP 是近 7 天首次出现，再及时的名单也无法提前收录。
分类处置：长期活跃的风险 IP（含数据中心 IP）可纳入名单直接拦截；短暂出现的 IP 交给实时评估。
国内场景以验证代替封禁：国内风险 IP 近九成是劫持共用代理，背后多是真实用户。建议以二次验证为主，并结合设备、账号信号判断。
出海业务关注重点地区：境外风险 IP 以巴西、印度、美国最多，分布在拉美、欧洲、南亚和中东等地，且 10 月规模持续走高。
威胁猎人IP 风险情报
威胁猎人持续监测全球风险 IP 的出现与消失，提供实时 IP 风险评估，帮助业务按 IP 当下的风险状态做判断，而不是依赖过期的名单。
威胁猎人（Threat Hunter）成立于 2017 年，核心团队来自腾讯安全，拥有超 10 年黑产攻防实战经验。围绕企业业务安全场景，构建了覆盖风险数据画像、反欺诈情报、数据泄露监测、钓鱼仿冒监测、业务安全蓝军、API 安全等多个产品与服务体系，帮助企业提前识别潜在风险，减少欺诈损失。
威胁猎人产品体系全景图
专注黑灰产情报和反欺诈技术研究
如您的企业也有类似问题
请咨询威胁猎人安全专家
感谢阅读
热门跟贴