Qué se desmanteló
El 2 de julio de 2026 el Threat Intelligence Group de Google, junto con el FBI, Lumen, la Shadowserver Foundation y la IRS Criminal Investigation, actuó contra NetNut, una red de proxies residenciales que Google también rastrea como Popa y que estima en no menos de 2 millones de dispositivos en todo el mundo. Google desactivó las cuentas y los servicios que la red empleaba para su mando y control, compartió los detalles técnicos de sus SDK ocultos con las plataformas y los investigadores, y actualizó Play Protect para avisar a los usuarios y desactivar las aplicaciones que llevaban ese código. El FBI incautó cientos de dominios, entre ellos netnut.com, que hoy muestra un cartel federal de incautación. La investigación de Krebs on Security vincula el servicio a Alarum Technologies, una empresa cotizada en el Nasdaq, cuyo abogado declaró que se toma el asunto en serio y que cooperará plenamente con las autoridades. Es la segunda acción de este tipo en lo que va de año, tras la red IPIDEA en enero, y Google sostiene que la operación ya ha recortado en millones el parque de dispositivos disponible.
El fin de la IP sospechosa
Una red de proxies residenciales alquila conexiones domésticas corrientes, de modo que el tráfico del atacante llega vestido con la dirección del salón de una familia y no con la de un centro de datos extranjero. Justo por eso se vende. En una semana de junio Google contó 316 grupos de amenaza distintos, criminales y de espionaje, que usaban presuntas salidas de NetNut para ocultar su procedencia, lanzar ataques de rociado de contraseñas y, en algunos casos, saltar desde el software proxy a otros dispositivos de la misma red doméstica. Para una empresa europea esto rompe una suposición silenciosa incrustada en una década de herramientas de seguridad: que el tráfico peligroso parece peligroso. Cuando el intento de acceso contra sus cuentas llega desde una dirección residencial de su propio país, el bloqueo geográfico y las listas de reputación de IP no saltan. Los controles que siguen funcionando son los que nunca confiaron en las direcciones: autenticación multifactor en todas partes, límites de frecuencia por cuenta y no por IP, y alertas sobre el comportamiento en lugar del origen.
Sus dispositivos son el producto
La otra mitad de la historia es de dónde salieron esos 2 millones de salidas: software preinstalado antes de la compra en televisores y descodificadores sin marca, y SDK escondidos dentro de aplicaciones que pagan a sus desarrolladores por el ancho de banda que usted no usa. El dueño del aparato rara vez sabe que se ha convertido en infraestructura y, aun así, es su dirección la que aflora en los registros de la víctima. Eso convierte la compra de dispositivos en un control de seguridad y no en una preferencia de consumo: equipos certificados de fabricantes solventes, aplicaciones solo de tiendas oficiales y un no rotundo a cualquier cosa que ofrezca dinero por compartir internet. También reencuadra la propia operación. La persecución se está desplazando de detener a atacantes individuales a desmontar los mercados grises de infraestructura que estos alquilan, y este, señalan los investigadores, funcionaba dentro de una empresa cotizada. Cuando el crimen viaja sobre infraestructura de consumo, la disciplina que protege es la que carece de brillo: saber qué hay en su red y asumir que una dirección no demuestra nada.
Leer a continuación: Auditoría de IA no vio el fallo Linux que da root | Un fallo de 29 años en Squid filtra logins en claro
