Principales destacados
- Operación conjunta entre Google, el FBI y Lumen Technologies debilitó la infraestructura de la red proxy NetNut.
- Smart TVs, dispositivos de streaming Android y otros equipos conectados fueron utilizados sin autorización para ocultar actividades criminales en internet.
- Google reforzó Play Protect y advierte a los usuarios sobre aplicaciones que prometen dinero a cambio de compartir la conexión a internet.
Google anunció una de las mayores operaciones recientes contra una infraestructura utilizada por ciberdelincuentes para ocultar ataques en internet.
En colaboración con el FBI y la empresa de seguridad Lumen Technologies, la compañía afirmó haber desarticulado una parte significativa de NetNut, una red proxy residencial que utilizaba al menos 2 millones de dispositivos comprometidos en diversos países para encubrir actividades ilegales.
Según Google, millones de dispositivos pertenecientes a consumidores comunes fueron incorporados a la red sin el conocimiento de sus propietarios. Entre ellos había smart TVs, dispositivos de streaming basados en Android, TV Boxes y otros equipos conectados a internet. Estos aparatos eran utilizados como intermediarios para que los delincuentes pudieran acceder a sistemas de terceros sin revelar el verdadero origen de las conexiones.
La empresa afirma que la acción coordinada redujo drásticamente la capacidad operativa de NetNut, interrumpiendo una parte importante de su infraestructura y dificultando considerablemente la continuidad de las operaciones del grupo.
Qué es una red proxy residencial y por qué preocupa
Para entender la gravedad del caso, es importante comprender cómo funciona una red proxy residencial. A diferencia de los servidores tradicionales, este tipo de servicio utiliza conexiones reales de hogares distribuidos por todo el mundo. Así, cuando un delincuente realiza una actividad maliciosa utilizando una de estas conexiones, el acceso parece provenir de un usuario común, lo que dificulta la identificación del origen del ataque.
Aunque existen servicios de proxy utilizados con fines legítimos, como pruebas de rendimiento, estudios de mercado o verificación de contenido regional, las redes construidas sobre dispositivos comprometidos representan un enorme riesgo para la seguridad digital.
En el caso de NetNut, Google afirma que la infraestructura se alimentaba de dispositivos infectados que comenzaban a redirigir tráfico de internet sin que sus propietarios percibieran ninguna actividad inusual. Esto permitía a los operadores vender acceso a la red a distintos grupos criminales.
Como consecuencia, una persona podía estar viendo una película en su televisor inteligente mientras, al mismo tiempo, su dispositivo era utilizado silenciosamente para ocultar ataques virtuales realizados en otro país.
Cómo millones de dispositivos terminaron secuestrados
La investigación indica que existen diferentes formas en que un dispositivo puede pasar a formar parte de este tipo de infraestructura.
Una de las posibilidades es la presencia de software malicioso instalado incluso durante la cadena de distribución del equipo. Otra forma, considerada más común, ocurre cuando el propio usuario instala aplicaciones aparentemente confiables que esconden componentes maliciosos.
Según Google, algunas de estas aplicaciones incluyen kits de desarrollo de software, conocidos como SDK, capaces de transformar el dispositivo en un nodo de la red proxy. Como este proceso ocurre en segundo plano, muchos consumidores nunca perciben que su equipo está siendo utilizado por terceros.
La empresa también advierte sobre aplicaciones que prometen pagos en dinero a cambio de compartir la conexión a internet o el llamado “ancho de banda no utilizado”. Aunque algunas plataformas utilizan este modelo de forma legítima, los delincuentes explotan ofertas similares para convencer a los usuarios de instalar programas que pasan a formar parte de redes clandestinas.
Por este motivo, Google recomienda descargar aplicaciones únicamente de fuentes confiables y analizar cuidadosamente los permisos solicitados durante la instalación.
Google bloquea infraestructura y refuerza la protección de Android
Como parte de la operación, Google informó que desactivó diversas cuentas y servicios utilizados por los operadores de NetNut para controlar los dispositivos comprometidos.
Además, la empresa compartió información técnica sobre los servidores utilizados por la organización, los SDK involucrados y toda la infraestructura de comando y control con autoridades policiales y socios del sector tecnológico.
Otra medida importante fue la actualización de Google Play Protect, sistema de seguridad presente en la mayoría de los dispositivos Android certificados. La herramienta comenzó a identificar automáticamente aplicaciones conocidas por incorporar los componentes utilizados por NetNut, alertando a los usuarios y desactivando estas aplicaciones cuando es necesario.
Según el Google Threat Intelligence Group, la combinación de estas medidas provocó una reducción significativa en el número de dispositivos disponibles para la operación criminal, afectando directamente el modelo de negocio de la red.
Cientos de grupos criminales utilizaban la misma infraestructura
Durante la investigación, los especialistas descubrieron que el alcance de NetNut era mucho mayor de lo que se pensaba.
En solo una semana de junio de 2026, Google identificó 316 grupos distintos utilizando nodos de salida asociados a la red. Entre ellos había organizaciones especializadas en delitos financieros, robo de credenciales, ataques de fuerza bruta, espionaje digital y otras actividades ilegales.
Estos grupos utilizaban la infraestructura para ocultar su ubicación real antes de acceder a sistemas comprometidos, lanzar ataques automatizados o realizar campañas de pulverización de contraseñas, técnica que prueba una misma contraseña en miles de cuentas diferentes.
Investigadores de empresas como Synthient y Nokia Deepfield también habían vinculado parte de esta infraestructura con variantes de la botnet Mirai, malware conocido por infectar dispositivos conectados y utilizarlos en ataques distribuidos de denegación de servicio, conocidos como DDoS.
Estos hallazgos muestran que la misma red era compartida por diversos grupos criminales, aumentando aún más su impacto en la seguridad global.
La operación forma parte de una estrategia más amplia de Google
La acción contra NetNut no ocurrió de forma aislada. En enero de este año, Google ya había anunciado una operación similar contra otra gran red proxy residencial conocida como IPIDEA.
Según la empresa, este mercado funciona de manera altamente interconectada. Cuando una infraestructura sufre interrupciones, los operadores suelen recurrir a redes de competidores para mantener sus servicios en funcionamiento.
Esto significa que combatir solo a un proveedor no elimina completamente el problema. Por este motivo, Google afirma que continuará monitoreando el sector y trabajando junto a autoridades policiales, investigadores de seguridad y empresas tecnológicas para identificar nuevas infraestructuras utilizadas por organizaciones criminales.
Se espera que se realicen nuevas operaciones a medida que se identifiquen otras redes.
Qué pueden hacer los usuarios para reducir los riesgos
Aunque gran parte de estas infecciones ocurre de forma silenciosa, algunas medidas simples ayudan a reducir significativamente el riesgo de que un dispositivo sea comprometido.
Mantener el sistema operativo siempre actualizado, instalar aplicaciones únicamente a través de Google Play Store, verificar la reputación de los desarrolladores, desconfiar de programas que prometen ganancias fáciles y mantener Google Play Protect activado son algunas de las recomendaciones de los especialistas.
También es importante evitar instalar aplicaciones distribuidas fuera de las tiendas oficiales, especialmente en dispositivos de streaming Android y TV Boxes, donde este tipo de práctica suele ser más común.
El caso de NetNut demuestra cómo los dispositivos domésticos conectados a internet se han convertido en objetivos cada vez más valiosos para los ciberdelincuentes. Incluso equipos que parecen tener funciones simples, como una smart TV o un dispositivo de streaming, pueden ser explotados para formar parte de operaciones globales de delitos virtuales cuando no están debidamente protegidos.
