Le 2 juillet 2026, le FBI et l'IRS Criminal Investigation des États-Unis ont saisi des centaines de domaines du réseau NetNut, tandis que Google a simultanément neutralisé le botnet Popa qui le soutenait — pas moins de 2 millions d'appareils infectés, qui étaient vendus aux clients sous le couvert de « proxys résidentiels ». C'est la deuxième fois en six mois qu'un grand fournisseur d'IP résidentiels est démantelé : en janvier, IPIDEA a également été « éliminé ». Pour le marché, c'est un signal qu'il ne faut pas ignorer : une part significative des pools « résidentiels » bon marché provient de téléviseurs et de décodeurs piratés, et leur acheteur prend des risques bien plus grands qu'il ne le pense.
Que s'est-il passé exactement avec NetNut
NetNut est un réseau de proxys résidentiels construit sur le botnet Popa. Selon l'évaluation du Google Threat Intelligence Group (GTIG), le réseau couvrait au moins 2 millions d'appareils dans le monde : principalement des décodeurs Android, des Smart TV et des boîtiers de streaming. Le 2 juillet, une bannière du FBI concernant la saisie est apparue sur la page d'accueil de netnut.com, et d'ici le 8 juillet, un message similaire est apparu sur le site de la société mère.
NetNut n'était pas un groupe clandestin, mais une entreprise publique — la société israélienne Alarum Technologies Ltd, cotée au NASDAQ sous le ticker ALAR. Après la saisie, ses actions ont chuté d'environ 67 % en une semaine, atteignant 2,62 $. L'avocat d'Alarum, Omer Weiss, a déclaré que l'entreprise « prend l'affaire très au sérieux et coopérera pleinement avec les autorités ». En plus du FBI et de Google, Lumen et la Shadowserver Foundation ont participé à cette opération.
Comment un « proxy résidentiel » devient un botnet
Le mécanisme clé de NetNut est la transformation d'appareils domestiques ordinaires en nœuds de sortie « toujours allumés » à l'insu de leurs propriétaires. Google et l'enquête décrivent deux principales voies d'infection :
- Préinstallation sur des appareils bon marché. Les boîtiers TV à bas prix arrivaient avec un logiciel proxy déjà intégré depuis l'usine et étaient vendus sur des places de marché.
- SDK « en supplément ». On proposait à l'utilisateur d'installer une application (souvent pour visionner du contenu piraté), et en même temps que la « fonction », un SDK proxy était installé sur l'appareil. Des composants spécifiques de NetNut ont été trouvés à l'intérieur d'un grand botnet Badbox 2.0, qui « emballe » des plugins proxy dans des firmwares infectés.
Ensuite, ces IP étaient louées. Rien qu'au cours d'une semaine de juin 2026, Google a comptabilisé 316 clusters de menaces distincts passant par les nœuds de NetNut — allant des cybercriminels motivés par l'argent aux groupes de cyberespionnage liés à des États. À travers des adresses « domestiques » volées, ils ont mené des attaques de password spraying, de credential stuffing, de fraude publicitaire, de prise de contrôle de comptes et de scraping. En réponse, Google a désactivé les comptes liés à C2 et a configuré Play Protect pour avertir automatiquement les utilisateurs et désactiver les applications utilisant le SDK NetNut.
Pourquoi cela concerne l'acheteur de proxy ordinaire
Le principal inconvénient pour le marché est le programme de revente NetNut avec whitelabel. Le réseau permettait de revendre ses nœuds sous une autre marque, c'est pourquoi des dizaines de fournisseurs « indépendants » de proxys résidentiels distribuaient en réalité le même botnet sous leurs enseignes. En achetant un « IP résidentiel » dans un magasin anonyme, vous pouviez très bien travailler pendant des années à travers le téléviseur piraté de votre voisin sans le savoir.
Ce n'est pas une histoire ponctuelle. En janvier 2026, IPIDEA a été démantelé de la même manière — à l'époque, c'était le plus grand réseau résidentiel — et avec lui, environ 13 marques ont disparu : 922 Proxy, LunaProxy, PyProxy, IP2World, PIA S5 Proxy, ABC Proxy, Cherry Proxy et d'autres. La tendance est claire : Google et les forces de l'ordre éliminent systématiquement les fournisseurs basés sur des botnets, et lors de chaque opération de nettoyage, leurs clients perdent l'accès en un jour.
Les risques pour vous se composent de trois parties :
- Juridique. Votre trafic passe physiquement par des appareils sur lesquels vous n'avez aucun droit. Ce n'est plus une « zone grise », mais un travail basé sur un crime informatique — avec toutes les questions concernant le consentement du propriétaire et le traitement des données. La question du consentement et de la légalité de la collecte de données se renforce en 2026 — nous avons abordé ce sujet dans un article sur les nouvelles recommandations de l'EDPB sur le web scraping et le RGPD.
- Opérationnel. Un tel pool est désactivé par un seul ordre de saisie. Vos parseurs, fermes de comptes et systèmes de surveillance s'arrêtent immédiatement, et l'argent sur le solde disparaît avec le fournisseur.
- Technique. Les IP « sales » provenant de botnets sont depuis longtemps sur les radars des systèmes anti-fraude. Elles sont massivement marquées et bannies avant même que le FBI n'intervienne — comment les plateformes détectent les adresses résidentielles, nous l'avons expliqué dans notre analyse de la détection des proxys résidentiels via l'intelligence IP.
Comment distinguer un proxy résidentiel légal d'un proxy volé
Il est essentiel de vérifier le fournisseur avant de payer, et non après que son domaine ait affiché une bannière du FBI. Voici une liste pratique de drapeaux rouges et de drapeaux verts pour 2026 :
- Demandez directement la source de l'IP. Un fournisseur légal explique d'où provient le pool : consentement explicite des utilisateurs, partenariats SDK payés avec un opt-in transparent, contrats avec des opérateurs. Une réponse du type « c'est notre propre secret » ou le silence — c'est un drapeau rouge.
- Recherchez des mots sur le sourcing éthique et l'opt-in — mais vérifiez-les. La formulation « ethically sourced » est devenue un slogan marketing ; vérifiez si le fournisseur a une politique de consentement claire et un mécanisme de retrait, et pas seulement une ligne sur la page d'accueil.
- Suspicieusement bon marché — presque toujours un botnet. Le trafic résidentiel au prix des centres de données n'est jamais « honnête ». Les coûts réels d'un pool légal sont intégrés dans le prix ; le dumping signifie généralement qu'aucun des propriétaires d'appareils n'a reçu un centime pour le trafic.
- Vérifiez la société juridique et l'historique de la marque. Un magasin anonyme sans entreprise, adresse et histoire publique — c'est typiquement un whitelabel basé sur l'infrastructure d'autrui. Ce sont précisément ces « enseignes » qui ont massivement disparu avec IPIDEA et NetNut.
- Évaluez ce qui se passera en cas de blocage. Un fournisseur sérieux a sa propre infrastructure, son support et son SLA, et non un seul domaine qui disparaît par un ordre de saisie.
C'est pourquoi il est judicieux de travailler avec un fournisseur qui contrôle l'origine de son pool et ne dépend pas d'un seul réseau gris. Dans les proxys résidentiels ProxyCove, les IP proviennent de sources légales et consensuelles — ainsi, vous obtenez des adresses domestiques « propres » sans le champ de mines juridique et opérationnel qui vient d'exploser sous les clients de NetNut.
Que faire si vous avez déjà acheté des proxys « résidentiels » chez un vendeur douteux
Si votre fournisseur n'a ni entité juridique, ni réponse claire sur la source de l'IP, agissez comme si la prochaine opération de nettoyage le concernait. Voici la procédure à suivre :
- Ne liez pas des processus critiques à lui. Déplacez vos parseurs clés et vos fermes de comptes vers un fournisseur avec une origine de pool transparente, tant que le réseau est encore actif. Récupérer l'accès après la saisie du domaine sera impossible.
- Ne gardez pas un solde important. Lors du démantèlement d'IPIDEA et de NetNut, l'argent sur les comptes des clients a été perdu avec le service. Rechargez avec de petites sommes, et non « pour un an à l'avance pour obtenir une réduction ».
- Vérifiez si vos IP sont marquées. Passez vos adresses actuelles par des services de réputation IP : un score de fraude élevé et des étiquettes « proxy/botnet » signifient que les plateformes vous considèrent déjà comme une menace, et les bans ne feront qu'augmenter.
- Réévaluez votre modèle de risque pour les comptes. Si vous avez utilisé des IP « sales » pour réchauffer des comptes précieux, prenez en compte que certains d'entre eux sont déjà sous suspicion d'anti-fraude, et n'augmentez pas la charge sur eux.
Le but n'est pas de paniquer, mais de ne pas être le dernier à découvrir la source de votre trafic dans les nouvelles. Les scénarios mobiles et de centres de données doivent également être réévalués selon le même principe « je comprends d'où vient mon IP et ce qui se passera en cas de blocage du fournisseur ».
Conclusion
Le démantèlement de NetNut n'est pas simplement une autre nouvelle sur un botnet. C'est un signal clair : l'ère des « proxys résidentiels » bon marché provenant de sources obscures touche à sa fin, et elle se termine par la saisie de domaines et le gel de soldes. IPIDEA en janvier, NetNut en juillet — la liste continuera. La seule assurance pour une entreprise qui dépend sérieusement des proxys est de choisir à l'avance un fournisseur avec une origine IP transparente et sa propre infrastructure, plutôt que de découvrir la source de son pool à partir d'une bannière du FBI.
```