Operación internacional con apoyo de Google y el FBI desarticula red de proxies residenciales que controlaba dos millones de dispositivos infectados

Qué pasó

Una operación conjunta entre la empresa tecnológica Google, el Buró Federal de Investigaciones de Estados Unidos (FBI), Lumen Technologies y la Fundación Shadowserver, junto con otros actores de la industria, logró desarticular la red de proxies residenciales NetNut, también identificada bajo el nombre Popa. Según informó el Grupo de Inteligencia de Amenazas de Google (GTIG), esta infraestructura controlaba al menos dos millones de dispositivos comprometidos a nivel mundial, entre ellos teléfonos Android, televisores inteligentes y decodificadores de streaming.

La desarticulación se concretó durante los primeros días de julio de 2026, luego de que las autoridades estadounidenses lograran el decomiso del dominio principal netnut.com, utilizado por los operadores de la red para coordinar las actividades ilícitas. De manera paralela, Google desactivó las cuentas y servicios dentro de su propia infraestructura que eran utilizados por NetNut como servidores de comando y control del software malicioso, bloqueando el acceso a lo que la compañía calificó como infraestructura crítica de operación.

De acuerdo con los antecedentes entregados por los investigadores, en una sola semana del mes pasado se identificaron 316 grupos de amenaza distintos que utilizaban los nodos de salida de NetNut, incluyendo tanto organizaciones ciberdelincuentes como grupos vinculados a actividades de espionaje. Los actores maliciosos empleaban la red para acceder a infraestructura propia, ejecutar ataques de pulverización de contraseñas y alcanzar entornos corporativos de víctimas.

Los dispositivos infectados formaban parte de la red tras ser comprometidos por aplicaciones trojanizadas o mediante botnets como Badbox 2.0, que incorporaban módulos de proxy en su código malicioso. Una vez integrados a la red, estos dispositivos funcionaban como nodos de salida que permitían enrutar tráfico no autorizado a través de direcciones IP residenciales legítimas, dificultando el rastreo de las actividades ilícitas y facilitando que los servicios en línea y los proveedores de internet bloquearan o marcaran como sospechosas las conexiones provenientes de estos equipos.

Contexto

Las redes de proxies residenciales representan uno de los modelos de negocio más lucrativos dentro del ecosistema del cibercrimen contemporáneo. Su operación se basa en comprometer sistemas domésticos —particularmente dispositivos del Internet de las Cosas, como routers, televisores inteligentes y decodificadores— para luego revender el acceso a esos equipos a terceros que requieren anonimizar su tráfico en internet.

El modelo resulta atractivo para los atacantes porque las direcciones IP residenciales suelen gozar de mayor reputación que las direcciones de centros de datos, lo que permite evadir sistemas de detección de fraude y listas de bloqueo. Además, al enrutar el tráfico a través de miles de hogares diseminados geográficamente, las operaciones maliciosas se vuelven extremadamente difíciles de rastrear y atribuir.

El caso de NetNut se inscribe en una tendencia más amplia de profesionalización del cibercrimen, donde los operadores ofrecen servicios de infraestructura como si se tratara de proveedores legítimos de tecnología. Esta modalidad de software malicioso como servicio ha permitido que grupos con capacidades técnicas limitadas puedan ejecutar campañas sofisticadas, mientras que los desarrolladores originales concentran utilidades en la capa superior de la cadena de valor.

La operación de desarticulación refleja, a su vez, un cambio en la estrategia de las grandes plataformas tecnológicas y de las agencias de seguridad. Google, que tradicionalmente enfrentaba estas amenazas de manera reactiva, asumió un papel activo al inutilizar la infraestructura de comando y control alojada en sus servicios, marcando un precedente en la cooperación entre el sector privado y las fuerzas de orden.

Impacto para empresas chilenas

Para el mercado local, el desbaratamiento de NetNut tiene implicancias operativas relevantes, particularmente para las empresas chilenas que mantienen operaciones digitales y comercio electrónico. Aunque Chile no figura entre los países más afectados por redes de este tipo, la presencia creciente de dispositivos conectados en hogares y oficinas chilenas —que según estimaciones sectoriales supera los diez millones de unidades— configura un escenario de exposición latente.

Las pymes chilenas que comercializan productos a través de canales digitales deben considerar que parte de su tráfico podría haber sido generado por dispositivos infectados, lo que distorsiona métricas comerciales y expone a las empresas a riesgos de fraude. Asimismo, los equipos de seguridad corporativa deben reforzar los mecanismos de detección que diferencian entre tráfico legítimo y tráfico procedente de redes de proxies comprometidos.

En el ámbito regulatorio, el caso refuerza la pertinencia de avanzar hacia estándares mínimos de seguridad para dispositivos conectados que se comercializan en el país, incluyendo requisitos de actualización y certificación. La experiencia internacional sugiere que el mercado chileno se beneficiaría de políticas públicas que incentiven a los fabricantes a incorporar mecanismos de integridad desde el diseño.

A nivel de consumidores, el episodio subraya la importancia de verificar el origen de las aplicaciones descargadas en dispositivos Android y televisores inteligentes, privilegiando mercados oficiales y revisando periódicamente los permisos otorgados. Para las empresas, el incidente constituye un llamado a incorporar inteligencia de amenazas como componente habitual de sus estrategias de ciberseguridad.

Qué sigue

La desarticulación de NetNut no marca el fin de las redes de proxies residenciales, sino más bien una reconfiguración del mercado. Los operadores sobrevivientes tienden a migrar hacia infraestructura alternativa y a diversificar sus vectores de infección, lo que anticipa la aparición de nuevas redes en el corto plazo.

En el ámbito de la política pública, se espera que el caso impulse una mayor coordinación internacional entre fuerzas de orden, plataformas tecnológicas y organizaciones de investigación, replicando el modelo operativo que permitió la intervención. Para el ecosistema empresarial chileno, el desafío inmediato es traducir estas operaciones globales en acciones concretas de prevención, monitoreo y respuesta que reduzcan la superficie de ataque disponible para los cibercriminales.