10月风险IP洞察：过半新增风险IP一周内消失

核心发现（2026年9月27日 – 10月25日监测期）

在 29 天观察期内，威胁猎人累计捕获约 4,900 万个 出现黑灰产代理转发或业务欺诈行为的 IPv4 地址（占全球可路由 IPv4 的 1.3%，其中 77% 位于家庭宽带、10% 位于移动网络、机房仅占 6%）。围绕防守策略最容易踩坑的 4 个实操盲区，本次监测揭示了以下反直觉结论：

• 半衰期约 5 天，30 天历史黑名单近半失效：新增风险 IP 中 32% 仅出现 1 天，约 5 天后过半不再活跃（第 7 天留存 42.3%）。由于家庭宽带地址会被运营商动态重分配给普通家庭，超过 7–14 天的长期封禁不仅防不住早已换池的攻击者，反而会误伤后续接盘的正常用户。
• 名单晚 1 天漏近 5%，晚一周漏掉三分之一：7 日滚动名单当天更新可覆盖 84.2% 的当日活跃风险 IP；更新延迟 1 天即降至 79.5%，延迟 7 天降至 67.1%，延迟 14 天仅剩 61.3%。即便做到每日更新，每天仍有 15.8% 的活跃风险 IP 在此前 7 天从未出现，必须由请求级实时评分兜底。
• 14% 常驻顽固源打 63% 风险量，与 32% 单日闪现源两极分化：风险 IP 并非均质群体——活跃 15 天以上的 14% 长期 IP 贡献了 63% 的风险活动（其中 24% 为数据中心 IP、95% 在末周仍活跃），最活跃的 Top 10% IP 贡献 62% 风险量；而占数量 32% 的单日闪现 IP 仅贡献 3% 的风险活动（81% 位于境外）。名单拦截对前 14% 高效，对后 32% 几乎无效。
• 境内 89% 为劫持共用住宅代理，境外周活跃 10 月下旬涨 29%：国内风险 IP（占总量 25.1%）中 89% 为劫持共用代理（93% 位于三大运营商家庭宽带），黑灰产流量与正常家庭上网共用同一出口，直接硬封 IP 极易误伤真实客户，宜改用二次验证与设备/账号联合判断；境外风险 IP（占 75%，分散在 116 个国家/地区）以专有代理池为主，且 10 月下旬单周活跃量升至 2,066 万，较 9 月底增长 29%。

一、 约 4,900 万个 IPv4 涉及风险：网络底座与地域结构

2026 年 9 月 27 日至 10 月 25 日（29 天观察期），威胁猎人共监测到约 4,900 万个 出现过风险行为的独立 IPv4 地址，占全球可路由 IPv4 地址总量的 1.3%，相当于每 75 个公网 IPv4 地址中就有 1 个在近一个月内被用于黑灰产代理转发或业务欺诈请求。

按风险类型划分，80% 为代理 IP（被黑灰产用作流量转发出口），22% 为劫持共用代理（普通家庭路由器、光猫或智能终端被植入代理木马后由代理平台对外售卖，正常住户与攻击者共用同一公网 IP），秒拨等其他类型合计不足 1%（少量地址兼具多重属性，合计略超 100%）。按网络承载类型划分，家庭宽带占 77%、移动网络占 10%、数据中心（IDC）仅占 6%、企业专线占 5%、校园网占 0.3%。

按地域分布，境外风险 IP 占 75%，覆盖 116 个 国家和地区，其中巴西（13.9%）、印度（11.5%）、美国（7.4%）居前，按区域以拉美、欧洲和南亚最为集中；国内风险 IP 占 25.1%。

放大查看

风险研判：「只拦机房不够、攻击早已转入家庭宽带」已是行业常识。真正决定风控成败的，是在 87% 风险 IP 位于家宽和移动网络 的前提下，如何解决「住宅 IP 动态重分配带来的封禁过期误伤」「名单更新延迟导致的漏拦」以及「国内劫持共用代理造成的真实用户连坐」三大实操难题。

二、 快进快出：过半新增风险 IP 一周后不再活跃

对 10 月 4 日至 11 日每日新增的风险 IP 逐个追踪随后 14 天的活跃情况可见：新增风险 IP 的生命周期极短。其中 32% 只出现 1 天 就彻底消失；首日过后第 1 天再次出现的比例即降至 43.3%，约 5 天左右留存率降至 50.0%，第 7 天留存率仅剩 42.3%，第 14 天进一步降至 39.7%。从全量样本看，29 天观察期内出现过风险行为的全部 IP 中，近一半（46.4%）在最后一周已不再活跃。

放大查看

风险研判：封禁一个新增住宅风险 IP 的有效窗口只有 7–14 天。家庭宽带地址会随 PPPoE 重拨或租约到期被运营商重新分配给普通家庭用户；如果沿用 30 天或 90 天静态黑名单，近一半条目在第一周后就已变成「死条目」，不仅拦不到已经换池的黑灰产，反而会把后来分到该地址的正常用户直接拒之门外。

三、 名单晚一天更新，就多漏一截

如果业务使用「过去 7 天活跃风险 IP」构建滚动拦截名单，名单的更新频率直接决定防线水位：当天实时/日更可覆盖当日活跃风险 IP 的 84.2%；只要晚 1 天 更新，覆盖率就下跌近 5 个百分点至 79.5%；晚 3 天 降至 74.4%；晚 1 周（7 天） 降至 67.1%（相当于漏掉三分之一的活跃风险 IP）；晚 2 周（14 天） 则只剩 61.3%。

放大查看

风险研判：更关键的是，即便把历史名单做到每天零延迟更新，每天仍有 15.8% 的当日活跃风险 IP 在此前 7 天内从未出现过。这意味着静态/日更名单的天花板就是 84.2%，剩下约 16% 的当日首现 IP 只能依靠请求级实时风险评估在业务入口当场识别。

四、 14% 的长期活跃 IP，贡献了六成以上的风险活动

将约 4,900 万个风险 IP 按 29 天内的累计活跃天数分层，可以看到两类截然不同的对手画像：

1. 长期常驻层（活跃 15–29 天）：仅占风险 IP 总数的 14%，却贡献了 63% 的风险活动量；若按单 IP 风险频次排序，最活跃的 Top 10% 风险 IP 贡献了 62% 的全部风险活动。
2. 中短期轮换层（活跃 2–14 天）：占 IP 总数的 54%，贡献 34% 的风险活动。
3. 单日闪现层（仅出现 1 天）：占 IP 总数的 32%，但仅贡献 3% 的风险活动，且 81% 位于境外，几乎全由家庭宽带和移动网络构成。

放大查看

风险研判：不要用同一套规则对付两类对手。针对 14% 的长期常驻 IP（其中机房占 24%，且 95% 在末周持续活跃），直接拉入高置信度黑名单硬拦截性价比极高，能以极低误伤率砍掉六成以上风险流量；而针对 32% 的单日闪现 IP，名单永远慢一步，必须交给实时评分按当次请求特征处置。

五、 国内风险 IP 近九成是劫持共用代理

国内风险 IP 占全球总量的 25.1%（约 1,230 万个），其内部结构与境外截然不同：国内风险 IP 中高达 89% 是劫持共用代理——即普通家庭用户的路由器、光猫或联网设备被植入代理程序后，被黑灰产代理平台静默调用。此时，正常家庭的日常网购、登录与黑灰产的自动化撞库、刷单请求正从同一个家庭宽带 IP 发出：

• 93% 位于家庭宽带：劫持共用代理几乎全部寄生在普通居民家宽上。
• 均匀分散在三大运营商：国内风险 IP 中，中国电信占 38%、中国移动占 28%、中国联通占 27%，与正常网民宽带市场份额高度一致，无法靠封禁单一运营商网段解决。
• 轮换略快于专有代理：观察期内出现过的国内劫持共用代理，末周仍活跃比例为 45%（低于其他风险 IP 的 57%）。
• 其余 11% 为自建/专有代理：主要分布在云厂商机房与企业专线上。相比之下，境外风险 IP（占总量 75%）几乎全部为专有代理池，威胁猎人监测到的劫持共用代理在境外占比不足 0.1%。

风险研判：国内业务一旦对命中的风险 IP 采取「直接封禁/拒绝访问」，有近九成概率会连坐正在正常使用网络的真实家庭用户。针对国内家宽风险 IP，应将处置动作从「硬拦截」改为二次验证（短信/人脸/滑块挑战），并结合设备指纹、账号历史行为联合定性。

六、 境外风险 IP 十月持续走高

按自然周（周一至周日）统计单周活跃风险 IP 规模，10 月份境内外走势出现明显分化：境外风险 IP 周活跃量从 9 月底（W1：9/28–10/4）的 1,599 万 持续攀升至 10 月下旬（W4：10/19–10/25）的 2,066 万，四周累计涨幅达 29.2%（约 30%）；而国内周活跃风险 IP 在 785 万至 926 万之间小幅波动，末周（860 万）较首周仅上升约 9.6%。

放大查看

风险研判：出海及全球化业务当前面临持续扩大的境外住宅代理池冲击，风险源高度集中在拉美（巴西）、南亚（印度）、北美（美国）及欧洲、中东地区。建议出海业务在注册、登录、领券与支付环节，针对上述高发地区的家宽与移动网络请求开启实时 IP 风险情报评分。

七、 防护建议：让 IP 判定跟上风险的变化

基于 2026 年 10 月全球 4,900 万风险 IP 的存续衰减、名单延迟与境内外代理结构数据，我们建议风控与安全团队立即落地以下四项策略调整：

威胁猎人持续监测全球风险 IP 的出现、轮换与消失，提供实时 IP 风险情报（IP Risk Intelligence），帮助企业按 IP 当下的真实风险状态与代理属性做精准判定，告别依赖过期静态名单的被动防守。