Co zostało rozbite

2 lipca 2026 r. Threat Intelligence Group Google wraz z FBI, Lumen, Shadowserver Foundation i IRS Criminal Investigation wystąpiła przeciwko NetNut, sieci proxy rezydencjalnych, którą Google śledzi także pod nazwą Popa i szacuje na nie mniej niż 2 miliony urządzeń na świecie. Google wyłączyło konta i usługi, których sieć używała do dowodzenia i kontroli, przekazało platformom i badaczom szczegóły techniczne ukrytych SDK oraz zaktualizowało Play Protect, by ostrzegał użytkowników i wyłączał aplikacje z tym kodem. FBI przejęło setki domen, w tym netnut.com, na której widnieje dziś federalny baner zajęcia. Ustalenia Krebs on Security wiążą usługę z Alarum Technologies, spółką notowaną na Nasdaq, której pełnomocnik oświadczył, że firma traktuje sprawę poważnie i będzie w pełni współpracować z organami ścigania. To druga taka akcja w tym roku, po sieci IPIDEA w styczniu, a według Google operacja zmniejszyła już dostępną pulę urządzeń o miliony.

Koniec podejrzanego adresu IP

Sieć proxy rezydencjalnych wynajmuje zwykłe domowe łącza internetowe, więc ruch atakującego przychodzi z adresem czyjegoś salonu, a nie zagranicznego centrum danych. Właśnie dlatego się sprzedaje. W jednym tygodniu czerwca Google naliczyło 316 odrębnych grup atakujących, zarówno przestępczych, jak i szpiegowskich, które korzystały z domniemanych wyjść NetNut, by ukryć swoje pochodzenie, prowadzić password spraying, a niekiedy przechodzić z oprogramowania proxy na inne urządzenia w tej samej sieci domowej. Dla europejskiej firmy łamie to ciche założenie wbudowane w dekadę narzędzi bezpieczeństwa: że groźny ruch wygląda groźnie. Gdy próba logowania do waszych kont przychodzi z adresu mieszkalnego we własnym kraju, blokady geograficzne i listy reputacji IP nie zadziałają. Działają te zabezpieczenia, które nigdy nie ufały adresom: uwierzytelnianie wieloskładnikowe wszędzie, limity częstości na konto zamiast na IP oraz alarmy oparte na zachowaniu, a nie na pochodzeniu.

Wasze urządzenia są towarem

Druga połowa tej historii to pochodzenie owych 2 milionów wyjść: oprogramowanie preinstalowane na bezmarkowych telewizorach smart i przystawkach streamingowych jeszcze przed zakupem oraz SDK ukryte w aplikacjach, które płacą swoim twórcom za waszą nieużywaną przepustowość. Właściciel urządzenia rzadko wie, że stał się infrastrukturą, a jednak to jego adres pojawia się w logach ofiary. To czyni zakup urządzeń kontrolą bezpieczeństwa, a nie kwestią gustu: certyfikowany sprzęt od poważnych producentów, aplikacje wyłącznie z oficjalnych sklepów i twarde nie dla wszystkiego, co oferuje pieniądze za dzielenie się internetem. To także ustawia w innym świetle samą operację. Egzekwowanie prawa przesuwa się od zatrzymywania pojedynczych hakerów do rozmontowywania szarych rynków infrastruktury, którą oni wynajmują, a ten, jak zauważają badacze, działał wewnątrz spółki giełdowej. Gdy przestępczość jedzie na masowej infrastrukturze, chroni was dyscyplina bez blasku: wiedzieć, co wisi we własnej sieci, i zakładać, że adres niczego nie dowodzi.

Czytaj dalej: Audyt AI przeoczył lukę Linuksa, która daje roota  |  29-letni błąd Squida ujawnia loginy w postaci jawnej