Cómo los casinos offshore burlan el geobloqueo — VPN, proxies residenciales y por qué casi nunca funciona

Cada vez que un regulador da de baja otro lote de dominios de apuestas ilegales, horas después el mismo sitio reaparece con un nombre casi idéntico, circula un enlace en Telegram y el tráfico continúa. No es un fallo de ejecución: es la naturaleza de una barrera que nunca fue diseñada para frenar a quien tiene un motivo financiero para cruzarla. Y buena parte de las herramientas usadas para romperla no son inofensivas para quien las usa.

Contexto: Brasil como caso de estudio, LATAM como problema regional

Desde el 1 de enero de 2025, apostar en Brasil solo es legal en plataformas licenciadas por la SPA (Secretaría de Premios y Apuestas, Ministerio de Hacienda). No se reconocen licencias extranjeras emitidas en Curazao o Malta. La llamada "Lei Jungmann" (Ley 15.358/2026), combinada con la Resolución 569/2026 de Anatel, estableció un bloqueo técnico a nivel de DNS, IP y SNI, junto con detección de sitios espejo (mirrors), que ya ha resultado en cerca de 50.000 dominios notificados o bloqueados.

Pero, según estimaciones del sector, alrededor del 80% de esos dominios siguen siendo accesibles a través de redirecciones, enlaces compartidos en Telegram o simples variaciones del nombre de dominio. El precedente ya existía: cuando Brasil bloqueó X (Twitter) en 2024, el uso de VPN saltó 1.600% en un solo día. Los especialistas en ciberseguridad describen este tipo de esfuerzo regulatorio como "limpiar hielo que se derrite": se remueve la superficie visible, pero el problema se repone solo. México y Colombia enfrentan la misma dinámica con plataformas offshore no reguladas, aunque con marcos de bloqueo menos maduros que el brasileño.

Geobloqueo: la primera barrera, la más fácil de romper

El mecanismo más básico de restricción geográfica funciona mapeando direcciones IP a países mediante bases de datos como las de Cloudflare o MaxMind, y bloqueando el acceso según ese resultado. Es barato de implementar y funciona a escala global — pero es trivial de evadir con cualquier VPN o proxy comercial. Para el operador ilegal que promueve el acceso, no existe ninguna disuasión legal real en este primer nivel.

Detección de VPN: funciona, pero solo hasta cierto punto

Los sistemas más sofisticados calculan un puntaje de confianza combinando múltiples señales: bases de datos de IP y ASN (los rangos de datacenter de AWS, Hetzner o DigitalOcean quedan etiquetados como infraestructura, no como usuarios reales), fugas de DNS, fugas de WebRTC, contradicciones entre la zona horaria o el idioma del dispositivo y el país declarado por la IP, además de fingerprinting de protocolo capaz de identificar tráfico OpenVPN o WireGuard. Con estas técnicas, las VPN comerciales baratas de datacenter se detectan en más del 90% de los casos. El resultado es previsible: empuja a quienes buscan evadir el bloqueo hacia una herramienta mucho más difícil de detectar — el proxy residencial y móvil.

Proxies residenciales y móviles: el verdadero agujero en el muro

Un proxy residencial utiliza la dirección IP doméstica de una persona real, no la de un centro de datos. Estas IP se consiguen principalmente de tres formas: (a) monetización vía SDK, cuando desarrolladores integran un kit de proxy — como Castar, Pawns o Packet — dentro de aplicaciones gratuitas; el usuario "comparte" su ancho de banda y su IP sin saberlo, una condición generalmente escondida en los términos de uso; (b) malware o aplicaciones troyanizadas preinstaladas en cajas de TV Android baratas o dispositivos IoT, como en el caso BADBOX; y (c) apps que prometen "ganar dinero con tu ancho de banda ocioso", al estilo de Honeygain.

La arquitectura típica funciona así: el cliente se conecta a un gateway de backconnect del proveedor del proxy (que gestiona la autenticación), este enruta el tráfico hacia un nodo residencial — un dispositivo real, de una persona real, ubicado en el país deseado, por ejemplo una notebook en São Paulo — y desde ahí sale hacia el sitio de destino. Lo que ve la plataforma es una IP residencial legítima de un ISP conocido, como Vivo o Claro, con reputación normal, indistinguible de la de cualquier vecino. País, ciudad e incluso operadora son seleccionables por quien contrata el servicio.

Los proxies móviles son aún más difíciles de bloquear. Gracias al CGNAT, miles de celulares reales comparten una misma dirección IPv4 pública. Bloquear esa IP significaría bloquear a más de 2.000 usuarios legítimos que pagan su servicio — algo comercialmente inviable para cualquier operador. Como consecuencia, el tráfico móvil recibe casi automáticamente un "voto de confianza". Además, la rotación es instantánea: basta con reconectar para obtener una IP nueva de la operadora, y un solo módem 4G puede rotar por más de 100.000 direcciones IP en menos de un segundo.

Alerta al consumidor: tu smart TV podría ser el nodo de salida

Estas redes suelen ser, en realidad, botnets de dispositivos secuestrados sin el conocimiento de sus dueños. El caso más ilustrativo es el takedown ejecutado por Google contra la red IPIDEA en enero de 2026: cerca de 6,1 millones de direcciones IP activas por día, aproximadamente 5 millones de dispositivos infectados, reclutados a través de más de 600 aplicaciones Android y 3.075 binarios de Windows, con malware instalado en cajas de TV mediante la operación BADBOX 2.0. Esta infraestructura era utilizada por más de 550 grupos criminales distintos, con fines que van desde el espionaje hasta ataques de robo de credenciales y ataques de denegación de servicio (DDoS).

John Hultquist, de Google Threat Intelligence, describió estas redes de proxy residencial como algo que "se ha convertido en una herramienta omnipresente para todo, desde espionaje de alto nivel hasta esquemas criminales masivos". El FBI, por su parte, emitió una alerta en 2026 advirtiendo que dispositivos domésticos comunes pueden convertirse en herramientas del crimen organizado sin que su dueño lo note. El mensaje central para cualquier consumidor de LATAM es simple: la dirección IP que alguien está usando en este momento para acceder a un casino ilegal podría ser, literalmente, la smart TV de una familia que no tiene la menor idea de lo que está pasando en su red doméstica.

Cómo las plataformas aún atrapan a algunos: el verdadero jefe final es el KYC

Como la dirección IP dejó de ser una señal confiable, la detección se ha desplazado hacia el comportamiento del usuario: biometría conductual (patrones de mouse y tecleo), análisis de geo-velocidad (detección de "viajes imposibles" o cambios de ASN residencial a hosting a mitad de sesión), fingerprinting de dispositivo y análisis de vínculos entre cuentas que comparten el mismo dispositivo, tarjeta o correo electrónico.

Pero existe un muro que ningún enmascaramiento de IP logra vencer: el proceso de KYC (conocimiento del cliente), que exige identificación oficial y comprobante de domicilio. Ningún proxy residencial, por sofisticado que sea, puede falsificar un documento de identidad o una factura de luz. Es ahí — y no en el bloqueo de red — donde el fraude de ubicación finalmente encuentra su límite real.

Conclusión

Bloquear dominios de forma aislada equivale a limpiar hielo que se derrite: la superficie desaparece, pero el problema de fondo permanece intacto. Los frenos reales al mercado ilegal de apuestas offshore son de naturaleza financiera y regulatoria — el bloqueo de pagos vía Pix o criptomonedas por parte del Banco Central, la exigencia de KYC completo, y la nueva responsabilización de quienes promueven este tipo de plataformas, como establece la Portaria MF 1.766/2026, que crea responsabilidad tributaria solidaria para intermediarios y divulgadores.

Para el apostador común en Brasil, México, Colombia o cualquier otro país de la región, la conclusión es clara: usar una plataforma ilegal significa no tener ningún derecho legal a cobrar lo que se gane — y conlleva un riesgo real de estar, sin saberlo, prestando el propio dispositivo doméstico a una red criminal.

Sigue leyendo

• BC.Game Crash: Auditamos 71.625 Rondas — 19/19 APROBADAS
• 1,2 millones de rondas de Blaze: lo que muestran los datos
• Glosario: Cada Término Que Usamos, Explicado

Fuentes: Google Threat Intelligence (takedown de la red IPIDEA, enero 2026); FBI (alerta sobre proxies residenciales, 2026); Ministerio de Hacienda de Brasil / SPA (Portaria MF 1.766/2026); Anatel (Resolución 569/2026, Ley 15.358/2026 "Lei Jungmann").