Cosa è stato smantellato
Il 2 luglio 2026 il Threat Intelligence Group di Google, insieme a FBI, Lumen, Shadowserver Foundation e IRS Criminal Investigation, è intervenuto contro NetNut, una rete di proxy residenziali che Google traccia anche come Popa e stima in non meno di 2 milioni di dispositivi nel mondo. Google ha disattivato gli account e i servizi che la rete usava per il comando e il controllo, ha condiviso con le piattaforme e i ricercatori i dettagli tecnici dei suoi SDK nascosti e ha aggiornato Play Protect perché avvisi gli utenti e disattivi le app che contengono quel codice. L'FBI ha sequestrato centinaia di domini, tra cui netnut.com, che oggi mostra un banner federale di sequestro. Le indagini di Krebs on Security collegano il servizio ad Alarum Technologies, una società quotata al Nasdaq, il cui legale ha dichiarato che l'azienda prende la questione sul serio e coopererà pienamente con le autorità. È la seconda azione del genere quest'anno, dopo la rete IPIDEA a gennaio, e secondo Google l'operazione ha già ridotto di milioni il bacino di dispositivi disponibile.
La fine dell'IP sospetto
Una rete di proxy residenziali affitta comuni connessioni domestiche, così il traffico dell'attaccante arriva indossando l'indirizzo del salotto di una famiglia anziché quello di un data center straniero. È esattamente per questo che si vende. In una settimana di giugno Google ha contato 316 gruppi ostili distinti, criminali e di spionaggio, servirsi di presunte uscite NetNut per nascondere la propria provenienza, condurre attacchi di password spraying e, in alcuni casi, spostarsi dal software proxy verso altri dispositivi della stessa rete domestica. Per un'impresa europea tutto ciò manda in frantumi un assunto silenzioso incorporato in un decennio di strumenti di sicurezza, e cioè che il traffico rischioso abbia un aspetto rischioso. Quando il tentativo di accesso ai vostri account arriva da un indirizzo residenziale del vostro stesso Paese, i blocchi geografici e le liste di reputazione IP non scattano. I controlli che funzionano ancora sono quelli che non hanno mai riposto fiducia negli indirizzi: autenticazione a più fattori dovunque, limiti di frequenza per account anziché per IP e allarmi basati sul comportamento anziché sull'origine.
I vostri dispositivi sono la merce
L'altra metà della storia è la provenienza di quei 2 milioni di uscite: software preinstallato prima dell'acquisto su smart TV e box per lo streaming senza marca, e SDK nascosti dentro app che pagano i loro sviluppatori per la vostra banda inutilizzata. Il proprietario del dispositivo raramente sa di essere diventato infrastruttura, eppure è il suo indirizzo a comparire nei log della vittima. Questo rende l'acquisto dei dispositivi un controllo di sicurezza e non una preferenza di consumo: apparecchi certificati di produttori seri, app soltanto dagli store ufficiali e un no netto a tutto ciò che offre denaro in cambio della condivisione della connessione. Rimette anche nella giusta prospettiva l'operazione stessa. Le forze dell'ordine stanno passando dall'arresto dei singoli hacker allo smontaggio dei mercati grigi di infrastruttura che essi affittano, e questo, notano i ricercatori, girava dentro una società quotata in borsa. Quando il crimine viaggia su infrastruttura di largo consumo, a proteggervi è la disciplina poco appariscente: sapere che cosa c'è nella propria rete e dare per scontato che un indirizzo non provi nulla.
Da leggere ora: Un audit di IA non ha visto il bug Linux che dà root | Un difetto Squid di 29 anni espone i login in chiaro
