Cuando su televisor inteligente sirve, a escondidas, de tapadera para los delincuentes

Google ha desactivado la red de proxies NetNut, también conocida como Popa, en colaboración con el FBI, el operador de redes Lumen y otros socios. Lo que hace que este caso sea inusual es que afecta a hogares comunes. Una gran parte de los dispositivos comprometidos son televisores inteligentes y dispositivos de streaming que se encuentran en los hogares de los usuarios. Según una estimación del Grupo de Inteligencia sobre Amenazas de Google ( ), NetNut abarcaba al menos dos millones de dispositivos en todo el mundo.

Qué tiene que ver una red de proxies con su televisor

Una red de proxies residencial ofrece la posibilidad de enrutar el tráfico a través de las direcciones IP de conexiones a Internet domésticas normales. Los delincuentes utilizan esto para ocultar su origen tras una dirección IP residencial que pasa desapercibida. Para que esto funcione, es necesario que se ejecute un fragmento de código en el mayor número posible de dispositivos domésticos, convirtiéndolos en nodos de salida. Ese código acaba en dispositivos presentes en muchos hogares a través de los denominados SDK, especialmente en televisores inteligentes y dispositivos de streaming, tal y como ha KrebsOnSecurity en su propia investigación. El malware llega a un dispositivo de una de estas dos formas: o bien viene preinstalado antes de la compra, o bien los usuarios descargan, sin saberlo, una aplicación con código de proxy oculto.

Por qué esto es peligroso para los afectados

Si su propio dispositivo se convierte en un nodo de salida, el tráfico de otras personas pasa por su conexión doméstica. Su propia dirección IP puede utilizarse entonces como punto de partida para ataques, intentos de suplantación de contraseñas o fraudes. Para los afectados, esto significa que su propio tráfico legítimo puede ser marcado como sospechoso o bloqueado por un proveedor. Los atacantes también pueden utilizar el nodo secuestrado para acceder a otros dispositivos de la misma red doméstica. En una sola semana de junio de 2026, Google contabilizó 316 grupos de atacantes diferentes que utilizaban nodos de NetNut, entre los que se encontraban ciberdelincuentes y agentes de espionaje. Empresas de seguridad como Synthient, Spur y Nokia Deepfield también documentaron que NetNut se utilizó para infectar dispositivos con variantes de la red de bots DDoS Mirai.

Medidas adoptadas por Google

Google bloqueó las cuentas y los servicios que NetNut utilizaba para controlar su malware y compartió detalles técnicos sobre los SDK y la infraestructura con las autoridades y las empresas de seguridad. Google Play Protect, el sistema de protección integrado de Android, ahora advierte automáticamente a los usuarios sobre las aplicaciones que contienen código de NetNut y las desactiva. Según Google, esto redujo el número de dispositivos disponibles en millones. Sin embargo, no se trata de una solución autosuficiente. NetNut gestiona un programa de distribución que permite a otros proveedores revender la misma red de bots bajo sus propios nombres. Google prevé que los operadores compren capacidad a la competencia una vez que su propia red comience a debilitarse.

Cómo proteger sus dispositivos

Tenga cuidado con las aplicaciones que prometen dinero a cambio de compartir el ancho de banda no utilizado. Así es precisamente como crecen redes como esta. Google recomienda utilizar únicamente tiendas de aplicaciones oficiales, comprobar los permisos de las aplicaciones de VPN y proxy de terceros, y mantener activado Play Protect. Al adquirir dispositivos de streaming o decodificadores, debe optar por fabricantes de confianza. Puede comprobar directamente con Google si un dispositivo de « Android » cuenta con la certificación de Play Protect. En el caso de los televisores, el sitio web « Android TV» ofrece una lista de socios certificados.