Perusahaan keamanan Layer3 melaporkan penemuan layanan proksi residensial yang mengarahkan lalu lintas internet melalui alamat IP yang ditetapkan untuk jaringan Gedung Putih. Hal ini mengindikasikan bahwa perangkat yang terhubung ke jaringan tersebut menjalankan perangkat lunak yang memungkinkan koneksi internet mereka disewakan kepada pihak asing.
Dengan kata lain, orang di dalam sana ada yang membocorkan alamat ini melalui aplikasi gratis yang terpasang di komputer atau ponsel pengguna.
Melansir Gizmodo, layanan proksi residensial menjual akses ke ponsel dan komputer milik pengguna umum, sehingga lalu lintas internet pelanggan seolah-olah berasal dari alamat IP perangkat tersebut. Penjahat siber sering membeli akses ini agar aktivitas mereka tampak seperti lalu lintas internet rumah atau kantor pada umumnya.
Alamat IP Gedung Putih yang ditemukan oleh Layer3 termasuk dalam kategori yang sama dengan yang dijual di layanan proksi residensial publik. Bahkan, menurut Layer3, alamat-alamat tersebut ditemukan pada 28 layanan proksi yang berbeda.
Pendiri Synthient, Ben Brundage, mengungkapkan kepada Krebs on Security bahwa beberapa pengecer menjual bandwidth dengan harga serendah 60 sen per gigabita.
"Artinya, dengan kurang dari satu dolar, seseorang bisa mendapatkan akses ke jaringan yang sangat rahasia dan tepercaya," terangnya.
Ia menambahkan ekosistem pengecer ini semakin mempermudah praktik tersebut, karena siapa pun (termasuk penjahat) dapat membeli akses tanpa harus melalui proses KYC (Know Your Customer atau verifikasi identitas pelanggan).
Jaringan Gedung Putih Terdeteksi dalam Kumpulan Proksi Publik
Layer3 menyatakan bahwa melalui Residential Proxy Observatory miliknya, mereka mendeteksi exit traffic pada AS2650. Ini merupakan sistem otonom yang terdaftar atas nama Kantor Eksekutif Presiden, yang menaungi jaringan Gedung Putih.
Antara tanggal 5 Oktober hingga 3 November, sistem pemantauan Layer3 mencatat 236 kali lalu lintas yang keluar melalui jaringan tersebut, dengan menggunakan enam alamat IP berbeda selama 26 hari dalam periode 30 hari tersebut. Perusahaan tersebut menegaskan bahwa mereka tidak menargetkan Gedung Putih.
Sebaliknya, temuan ini muncul saat mereka meminta akses global yang terus berganti dari penyedia layanan publik, kemudian mencocokkan alamat-alamat IP tersebut dengan data dari Spur dan Synthient.
"Ini adalah akses publik. Siapa pun bisa mendapatkannya hanya dengan mendaftar ke layanan proksi residensial publik, membayar beberapa dolar, dan mengirimkan permintaan melalui layanan tersebut," tulis Layer3.
Sekitar separuh dari temuan ini terjadi setelah pukul 17.00. dan tengah malam Waktu Timur (Eastern Time), dengan hampir tidak ada aktivitas di pagi hari. Sebuah pola yang menurut Layer3 menunjukkan adanya seseorang yang secara rutin berada di jaringan tersebut pada malam hari menggunakan perangkat yang menjalankan perangkat lunak proksi (proxy software development kit/SDK).
"Data kami menunjukkan titik keluar (exit point), bukan perangkat atau orang di baliknya," tambah perusahaan tersebut.
Perlu diperjelas, para peneliti tidak menyatakan bahwa ini adalah perangkat lunak berbahaya (malware) yang sengaja dipasang untuk memata-matai Gedung Putih. Pengembang aplikasi sering kali menyematkan SDK proksi residensial untuk memonetisasi aplikasi gratis. Jadi, mereka mendapatkan bayaran kecil untuk setiap pemasangan, sementara lebar pita (bandwidth) perangkat tersebut disewakan.
Aplikasi gratis yang terpasang ini kemudian dapat mengirimkan sinyal dari perangkat milik karyawan yang dibawa ke lingkungan kerja.
Awalnya, Synthient mengaitkan aktivitas jaringan di Gedung Putih dengan perangkat Windows yang menjalankan InfaticaSDK, sebuah program proksi yang sering diintegrasikan ke dalam aplikasi seluler maupun desktop gratis. Pihak pelacak proksi kini meyakini dengan tingkat keyakinan tinggi bahwa aplikasi yang terpasang adalah Rave, sebuah aplikasi untuk menonton konten bersama (shared streaming) yang menggabungkan berbagai SDK proksi.
Synthient menyatakan telah mendeteksi perangkat Windows 10 dan Windows 11 yang berkomunikasi dengan Geonode, Infatica, dan Mellowtel. Selain itu, penelusuran di VirusTotal untuk aplikasi Windows yang memuat ketiga SDK tersebut hanya menemukan Rave.
Perlu dipertimbangkan apa saja yang bisa dilakukan oleh SDK proksi dengan keamanan lemah, selain sekadar menyewakan alamat IP tepercaya. Krebs mencatat pada akhir 2025, pelaku kejahatan mengeksploitasi celah keamanan yang tersebar luas pada layanan semacam ini, yang memungkinkan mereka memeriksa jaringan lokal di setiap titik akhir (endpoint) proksi untuk mencari sistem yang bisa diinfeksi.
Jika sebuah SDK proksi yang berada di jaringan sensitif seperti jaringan Gedung Putih memiliki celah serupa, hal itu berpotensi memungkinkan pihak luar untuk mengakses sistem lain dalam jaringan lokal tersebut, selama sistem-sistem itu tidak diisolasi atau dilindungi dengan cara lain.