Quando la vostra smart TV funge segretamente da copertura per i criminali

Google ha smantellato la rete di proxy NetNut, nota anche come Popa, in collaborazione con l’FBI, l’operatore di rete Lumen e altri partner. Ciò che rende questo caso insolito è il fatto che coinvolga le abitazioni private. Gran parte dei dispositivi compromessi sono smart TV e dispositivi di streaming presenti nelle case dei privati. Secondo una stima del Google Threat Intelligence Group dell’ https://cloud.google.com/blog/topics/threat-intelligence/google-continued-disruption-residential-proxy-networks, NetNut comprendeva almeno due milioni di dispositivi in tutto il mondo.

Cosa c’entra una rete proxy con la vostra TV

Una rete proxy residenziale offre la possibilità di instradare il traffico attraverso gli indirizzi IP delle normali connessioni Internet domestiche. I criminali ne approfittano per nascondere la propria origine dietro un indirizzo IP residenziale poco sospetto. Affinché ciò funzioni, è necessario che un codice venga eseguito sul maggior numero possibile di dispositivi presenti nelle abitazioni, trasformandoli in nodi di uscita. Tale codice finisce sui dispositivi presenti in molte famiglie tramite i cosiddetti SDK, in particolare smart TV e dispositivi di streaming, come ha KrebsOnSecurity nella propria ricerca. Il malware raggiunge un dispositivo in uno dei due modi seguenti: o è preinstallato prima dell’acquisto, oppure gli utenti scaricano inconsapevolmente un’app contenente codice proxy nascosto.

Perché ciò è pericoloso per le persone coinvolte

Se il Suo dispositivo diventa un nodo di uscita, il traffico di altre persone passa attraverso la Sua connessione domestica. Il vostro indirizzo IP può quindi essere utilizzato come punto di partenza per attacchi, tentativi di violazione delle password o frodi. Per le persone colpite, ciò significa che il proprio traffico legittimo potrebbe essere segnalato come sospetto o bloccato da un provider. Gli autori degli attacchi possono inoltre utilizzare il nodo dirottato per accedere ad altri dispositivi presenti sulla stessa rete domestica. In una sola settimana del giugno 2026, Google ha contato 316 diversi gruppi di aggressori che utilizzavano nodi NetNut, tra cui criminali informatici e soggetti coinvolti in attività di spionaggio. Anche aziende di sicurezza quali Synthient, Spur e Nokia Deepfield hanno documentato che NetNut è stato utilizzato per infettare dispositivi con varianti della botnet DDoS Mirai.

Cosa ha fatto Google

Google ha bloccato gli account e i servizi utilizzati da NetNut per controllare il proprio malware e ha condiviso con le autorità e le società di sicurezza i dettagli tecnici relativi agli SDK e all’infrastruttura. Google Play Protect, il sistema di protezione integrato n Android, ora avvisa automaticamente gli utenti in merito alle app contenenti codice NetNut e le disattiva. Secondo Google, ciò ha ridotto di milioni il numero di dispositivi disponibili. Tuttavia, questa non è una soluzione autosufficiente. NetNut gestisce un programma di rivendita che consente ad altri fornitori di rivendere la stessa botnet a proprio nome. Google prevede che gli operatori acquistino capacità dai concorrenti una volta che la propria rete inizierà a indebolirsi.

Come proteggere i propri dispositivi Si raccomanda di

prestare attenzione alle app che promettono un compenso in denaro per la condivisione della larghezza di banda inutilizzata. È proprio così che reti come questa si espandono. Google raccomanda di utilizzare esclusivamente gli app store ufficiali, di verificare le autorizzazioni delle app VPN e proxy di terze parti e di mantenere attiva la funzione Play Protect. Quando si acquistano dispositivi di streaming o set-top box, è opportuno affidarsi a produttori affidabili. È possibile verificare direttamente con Google se un dispositivo Android sia certificato Play Protect. Per quanto riguarda i televisori, il sito Android TV elenca i partner certificati.