_{Leer en otro idioma: English · 简体中文 · 繁體中文 · 日本語 · 한국어 · Русский · Українська · Deutsch · Français · Español · Português (Brasil) · Italiano · Nederlands · Polski · Čeština · Slovenčina · Magyar · Română · Български · Srpski · Hrvatski · Ελληνικά · Türkçe · Azərbaycanca · Қазақша · Oʻzbekcha · فارسی · العربية · עברית · हिन्दी · বাংলা · اردو · தமிழ் · తెలుగు · मराठी · മലയാളം · ไทย · Tiếng Việt · Bahasa Indonesia · Bahasa Melayu · Filipino · မြန်မာ · Kiswahili · Svenska · Dansk · Norsk · Suomi · ქართული · Հայերեն · नेपाली}

Base de fraude por IP, reconstruida cada 30 minutos

1.651.503 direcciones IP maliciosas confirmadas y 546 redes con alto nivel de abuso. Cada dirección puntuada, categorizada y confirmada al menos dos veces de forma independiente.

_{Licencia MIT · sin registro, sin clave de API, sin límite de peticiones · actualizado el 03.11.2026}

Esta es la base abierta de fraude por IP que hay detrás de ffraud.com. Cada dirección fue observada atacando algo, confirmada al menos dos veces de forma independiente, puntuada de 0 a 100 y etiquetada con aquello en lo que se la pilló y con el tipo de infraestructura sobre la que corre. Los atacantes cambian de infraestructura sin parar, así que una lista de bloqueo vale lo que valga su última actualización: esta se reconstruye cada 30 minutos directamente desde el motor en producción. Lo que descargas es lo que está atacando internet ahora mismo. Sin registro, sin clave, sin límites. Métela tal cual en un cortafuegos, un WAF, un formulario de registro o una tubería antifraude.

En pocas cifras

• 1.651.503 direcciones IP maliciosas confirmadas, cada una observada abusando dos o más veces de forma independiente
• 546 redes en las que las direcciones que observamos eran mayoritariamente maliciosas y con mucha presencia de proxies
• 224.884 dominios de correo desechable vienen también en este repositorio, así que un solo clon cubre las dos mitades de una comprobación de registro
• Cada dirección lleva una puntuación de 0 a 100, una categoría de amenaza y el tipo de infraestructura cuando se puede ver
• Se reconstruye y se publica cada 30 minutos. El historial de commits es el registro de cambios, y metadata.json lleva la hora exacta de construcción
• Licencia MIT, uso comercial incluido, sin atribución obligatoria
• CSV y TXT sin adornos. Nada que descomprimir, ningún esquema que aprender, ninguna biblioteca que instalar

¿Los archivos o la API?

Este repositorio es el núcleo confirmado de FFraud: las direcciones que hemos pillado atacando al menos dos veces, cada una con una puntuación, una categoría y el tipo de infraestructura. Está pensado para bloquear en bloque a atacantes conocidos. La API gratuita responde para cualquier dirección y sabe mucho más:

	Este repositorio	La API
Direcciones	Solo atacantes confirmados	Cualquier dirección, incluidas las confirmadas una sola vez
VPN, proxy, Tor, centro de datos	Solo para atacantes listados	Para cada dirección
Cuándo estuvo activa	Sin fechas	Primera vez vista, última vez vista, abuso reciente
Por qué está marcada	La peor categoría	Cada etiqueta de amenaza y un motivo redactado
Contexto de red	No incluido	El vecindario /24, ASN, propietario, contacto de abuso WHOIS, ubicación

Nunca publicado, a propósito

• Quién denunció una dirección y las pruebas que envió: las denuncias nos llegan de forma confidencial.
• Direcciones confirmadas una sola vez: una denuncia es una afirmación, no una prueba. La API ya la tiene en cuenta; esta lista espera una segunda confirmación independiente.
• Dónde están nuestros sensores: un honeypot solo funciona mientras los atacantes no saben que lo es.
• Qué proveedores de internet tienen clientes infectados: una clasificación así sería una lista de objetivos para delincuentes. El archivo de redes solo nombra redes pequeñas donde casi todas las direcciones observadas eran abusivas.

Usa este repositorio para bloquear atacantes conocidos. Usa la API para decidir sobre un visitante concreto. Ambos son gratis.

Qué contiene

Archivo	Filas	Qué es
threat-ips/confirmed-abusive.csv	1.651.503	Direcciones maliciosas, cada una confirmada dos veces o más, con nuestra puntuación de 0 a 100, la categoría de amenaza (c2, malware, botnet, fuerza bruta, ataque web, escáner, phishing, spam) y el tipo de infraestructura (proxy, vpn, tor, datacenter, mobile) cuando se conoce
asn-reputation/high-abuse-networks.csv	546	Redes cuyas direcciones observadas eran mayoritariamente maliciosas y con mucha presencia de proxies: la firma del alojamiento a prueba de denuncias
disposable-email-domains.txt	224.884	Dominios de correo desechable y temporal, uno por línea
ip-intelligence/examples.json	muestra	Información completa por dirección: la puntuación, un motivo en lenguaje llano y todas las categorías asignadas
metadata.json	—	Contadores al día y la hora de construcción en UTC, para que un script sepa cómo de fresca es su copia

Qué te dice cada fila

ip,ffraud_score,confirmations,category,type
80.82.77.33,95,40,c2,proxy
2.57.121.25,95,36,c2,proxy
193.46.255.86,95,33,c2,proxy

Campo	Qué indica
ip	La dirección. Aparecen tanto IPv4 como IPv6
ffraud_score	Nuestra propia puntuación de fraude de 0 a 100. Todo lo que se publica aquí está en 50 o por encima
confirmations	Cuántas veces observamos el abuso de forma independiente. Nada se lista por debajo de 2; las peores direcciones llegan a 30 o 40
category	En qué se la pilló: c2, malware, botnet, brute_force, web_attack, scanner, phishing, spam o abuse
type	La infraestructura que hay detrás cuando es visible: proxy, vpn, tor, datacenter, mobile. Vacío cuando no podemos distinguirlo

Inicio rápido

# IP maliciosas confirmadas, con categoría y tipo
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/threat-ips/confirmed-abusive.csv

# Las peores redes
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/asn-reputation/high-abuse-networks.csv

# Dominios de correo desechable
curl -s https://raw.githubusercontent.com/FFraud-com/ip-fraud-database/main/disposable-email-domains.txt

Cada archivo es texto plano con una línea de cabecera y unos pocos comentarios # al principio. Mándalo directamente a ipset, iptables, una regla de WAF o un Set en el lenguaje que ya estés usando.

Consultar una sola dirección sin descargar nada

No hace falta llevarse la base entera para comprobar una sola cosa. La API pública no pide clave, no tiene tope diario y responde una a una a las mismas preguntas que este repositorio responde a granel:

# Información completa de una IP: puntuación, motivo, categorías
curl -s https://api.ffraud.com/public/ip/80.82.77.33

# ¿Es esta dirección desechable?
curl -s -X POST https://api.ffraud.com/public/email/check -H 'content-type: application/json' -d '{"email":"[email protected]"}'

# ¿Reparte este dominio buzones desechables?
curl -s https://api.ffraud.com/public/domain/mailinator.com

Para agentes y asistentes: ffraud.com/llms.txt es el índice para máquinas, ffraud.com/llms-full.txt recoge toda la documentación en Markdown puro y ffraud.com/openapi.json es la especificación OpenAPI. Los tres son públicos, no piden clave y están pensados para descargarse directamente. Quien prefiera una página tiene los verificadores gratuitos en ffraud.com/tools.

Cómo se construye la base

La construyen dos cosas: nuestra propia red de sensores honeypot, atacada sin descanso y que registra qué la ataca, y los reportes de quienes tienen los servidores recibiendo los golpes. No republicamos nada por la palabra de un tercero. Cada dirección la puntúa y la verifica el motor de ffraud antes de aparecer aquí.

El listón para entrar son dos o más confirmaciones independientes, porque un avistamiento suelto es ruido. Esa sola regla es la razón de que esta lista sea más corta que un volcado sin filtrar y valga más: contiene las direcciones que atacaban de verdad, no todo lo que alguien marcó una vez.

La puntuación, la categoría y el tipo de infraestructura son conclusiones nuestras, publicadas enteras para que puedas discutirlas. El método exacto de puntuación está explicado en ffraud.com/docs/methodology.

Preguntas

¿Con qué frecuencia se actualiza de verdad?

Cada 30 minutos: se reconstruye desde el motor en producción y se publica aquí. No es un volcado nocturno. La lista de commits de este repositorio es el registro honesto, y metadata.json lleva la hora UTC exacta de construcción de tu copia.

¿Puedo usarla en un producto comercial?

Sí. MIT: sin atribución obligatoria, sin licencia comercial aparte, sin contar puestos y sin nadie a quien pedir permiso. Si te ahorra dinero nos encantará saberlo, pero no nos debes nada.

¿Por qué está mi dirección en la lista?

Porque se la observó atacando algo al menos dos veces. Búscala en ffraud.com para ver la puntuación, las categorías y el motivo en lenguaje llano. Si es un error, o la máquina ya está limpia, dínoslo en ffraud.com/report y se revisa en la siguiente reconstrucción.

¿En qué se diferencia de los grandes proveedores de pago?

Es gratis, tiene licencia MIT, no necesita clave ni tiene límite, y puedes leer exactamente por qué está listada cada dirección. También puedes descargar todas las direcciones confirmadas en un solo archivo, algo que la mayoría de productos de pago no permite a ningún precio.

¿Hay una API para consultas sueltas?

Sí, y no necesita clave. Mira la sección de arriba o la documentación en ffraud.com/docs.

Ayuda a construirla

Esta base crece con quienes la usan. Si administras servidores, fail2ban, un WAF o tus propios honeypots, mándanos lo que te ataca y lo publicamos: repórtalo en ffraud.com/report, apunta fail2ban al punto de entrada listo para usar o abre una issue aquí. Verificamos, quitamos duplicados y puntuamos cada envío; lo confirmado sale en la siguiente reconstrucción, es decir en menos de media hora, y con tu nombre si lo quieres.

Una nota sobre la lista de redes

high-abuse-networks.csv indica qué proporción de las direcciones de cada red hemos observado comportándose de forma maliciosa. Es una medición del tráfico que llegó a nuestros sensores, no un juicio legal sobre ningún operador, y hay alojamientos legítimos que aparecen cuando sus clientes se portan mal. Si llevas una red listada y crees que la medición está mal, dínoslo y lo revisamos en la siguiente reconstrucción.

Datos abiertos relacionados

• Base de correo desechable: nuestra lista abierta de dominios de correo desechables y temporales.
• ffraud.com: información gratuita sobre fraude por IP y correo: una API pública sin clave, verificadores en vivo y todos estos datos.

Licencia

MIT. Úsalo donde quieras, también en productos comerciales. Haz un fork, redistribúyelo, monta un negocio encima. La atribución nos alegra y nunca es obligatoria.

---

_{Hecho por [ffraud.com](https://ffraud.com). Información antifraude gratuita, para todo el mundo.}