Il 2 luglio 2026, l'FBI e l'agenzia delle entrate degli Stati Uniti (IRS Criminal Investigation) hanno sequestrato centinaia di domini della rete NetNut, mentre Google ha neutralizzato contemporaneamente il botnet Popa — non meno di 2 milioni di dispositivi infetti, venduti per anni ai clienti come "proxy residenziali". Questo è il secondo smantellamento di un grande fornitore di IP residenziali in sei mesi: a gennaio è stata colpita anche IPIDEA. Per il mercato, questo è un segnale che non può essere ignorato: una parte significativa dei "pool" residenziali a basso costo consiste in televisori e set-top box compromessi, e il loro acquirente rischia molto più di quanto pensi.
Cosa è successo esattamente a NetNut
NetNut è una rete di proxy residenziali costruita sopra il botnet Popa. Secondo la Google Threat Intelligence Group (GTIG), la rete copriva almeno 2 milioni di dispositivi in tutto il mondo: principalmente set-top box Android, Smart TV e box di streaming. Il 2 luglio, sulla homepage di netnut.com è apparso un banner dell'FBI riguardante il sequestro, e entro l'8 luglio un banner simile è apparso anche sul sito della società madre.
Dietro NetNut non c'era un gruppo sotterraneo, ma una società pubblica — l'israeliana Alarum Technologies Ltd, quotata al NASDAQ con il ticker ALAR. Dopo il sequestro, le sue azioni sono crollate di circa il 67% in una settimana, scendendo a $2.62. L'avvocato di Alarum, Omer Weiss, ha dichiarato che la società "prende la questione molto seriamente e collaborerà pienamente con le forze dell'ordine". Oltre all'FBI e a Google, hanno partecipato al sequestro anche Lumen e la Shadowserver Foundation.
Come un "proxy residenziale" diventa un botnet
Il meccanismo chiave di NetNut è la trasformazione di normali dispositivi domestici in nodi di uscita "sempre accesi" senza il consenso del proprietario. Google e l'indagine descrivono due principali modalità di infezione:
- Preinstallazione su dispositivi economici. I set-top box a basso costo arrivavano con un software proxy già installato direttamente dalla fabbrica e venivano venduti sui marketplace.
- SDK "in aggiunta". All'utente veniva chiesto di installare un'app (spesso per visualizzare contenuti pirata), e insieme alla "funzione" veniva installato un proxy-SDK sul dispositivo. Componenti separati di NetNut sono stati trovati all'interno di un grande botnet Badbox 2.0, che "impacchetta" plugin proxy in firmware infetti.
Successivamente, questi IP venivano affittati. Solo in una settimana di giugno 2026, Google ha contato 316 cluster di minacce separate che passavano attraverso i nodi di NetNut — da criminali informatici motivati finanziariamente a gruppi di cyberspionaggio legati a stati. Attraverso indirizzi "domestici" compromessi venivano effettuati password spraying, credential stuffing, frodi pubblicitarie, furto di account e scraping. In risposta, Google ha disattivato gli account associati a C2 e ha configurato Play Protect per avvisare automaticamente gli utenti e disattivare le app con SDK NetNut.
Perché questo riguarda il normale acquirente di proxy
Il principale aspetto negativo per il mercato è il programma di rivendita di NetNut con whitelabel. La rete consentiva di rivendere i propri nodi sotto un marchio diverso, quindi decine di fornitori "indipendenti" di proxy residenziali in realtà distribuivano lo stesso botnet sotto le proprie insegne. Acquistando un "IP residenziale" da un negozio anonimo, era possibile lavorare per anni attraverso il televisore compromesso di un vicino senza saperlo.
Questa non è una storia isolata. A gennaio 2026, anche IPIDEA è stata neutralizzata allo stesso modo — all'epoca la più grande rete residenziale — e insieme a essa sono scomparsi circa 13 marchi: 922 Proxy, LunaProxy, PyProxy, IP2World, PIA S5 Proxy, ABC Proxy, Cherry Proxy e altri. La tendenza è chiara: Google e le forze dell'ordine stanno sistematicamente colpendo i fornitori basati su botnet, e in ogni operazione di pulizia i loro clienti perdono l'accesso in un giorno.
I rischi per te si compongono di tre parti:
- Legale. Il tuo traffico passa fisicamente attraverso dispositivi sui quali non hai diritti. Questo non è più una "zona grigia", ma un'operazione sopra un crimine informatico — con tutte le questioni riguardanti il consenso del proprietario e il trattamento dei dati. Il tema del consenso e della legalità della raccolta dei dati nel 2026 sta diventando sempre più rigoroso — ne abbiamo parlato in un articolo sulle nuove raccomandazioni EDPB per il web scraping e il GDPR.
- Operativo. Un tale pool può essere disattivato con un solo ordine di sequestro. I tuoi parser, le fattorie di account e i monitoraggi si fermano immediatamente, e i soldi nel saldo scompaiono insieme al fornitore.
- Tecnico. Gli IP "sporchi" provenienti dai botnet sono da tempo sotto i radar dei sistemi antifrode. Vengono massicciamente contrassegnati e bannati ancora prima che l'FBI arrivi — come le piattaforme calcolano gli indirizzi residenziali, lo abbiamo descritto nell'analisi della rilevazione dei proxy residenziali attraverso l'IP intelligence.
Come distinguere un proxy residenziale legale da uno rubato
È necessario controllare il fornitore prima del pagamento, e non dopo che il suo dominio mostra il banner dell'FBI. Ecco una lista di controllo pratica con bandiere rosse e verdi per il 2026:
- Chiedi direttamente la fonte dell'IP. Un fornitore legale spiega da dove proviene il pool: consenso esplicito degli utenti, partnership SDK pagate con opt-in trasparente, contratti con gli operatori. Una risposta "è il nostro segreto" o il silenzio è una bandiera rossa.
- Cerca parole riguardanti l'approvvigionamento etico e l'opt-in — ma controllale. La formulazione "ethically sourced" è diventata uno slogan di marketing; verifica se il fornitore ha una politica di consenso chiara e un meccanismo di revoca, e non solo una riga sulla landing page.
- Troppo economico è quasi sempre un botnet. Il traffico residenziale al prezzo dei data center non può essere "onesto". I costi reali per un pool legale sono inclusi nel prezzo; il dumping di solito significa che nessuno dei proprietari dei dispositivi ha ricevuto un centesimo per il traffico.
- Controlla la ragione sociale e la storia del marchio. Un negozio anonimo senza azienda, indirizzo e storia pubblica è un tipico whitelabel sopra un'infrastruttura altrui. Proprio queste "insegne" sono scomparse in massa insieme a IPIDEA e NetNut.
- Valuta cosa succederà in caso di blocco. Un fornitore serio ha la propria infrastruttura, supporto e SLA, e non solo un dominio che si spegne con un ordine di sequestro.
È per questo che ha senso lavorare con un fornitore che controlla l'origine del proprio pool e non dipende da una sola rete grigia. Nei proxy residenziali ProxyCove, gli IP provengono da fonti legali e concordate — in questo modo ottieni indirizzi domestici "puliti" senza il campo minato legale e operativo che è appena esploso sotto i clienti di NetNut.
Cosa fare se hai già acquistato proxy "residenziali" da un venditore sospetto
Se il tuo fornitore non ha né una ragione sociale né una risposta chiara sulla fonte dell'IP, agisci come se la prossima pulizia riguardasse lui. Ecco l'ordine delle azioni:
- Non legare processi critici a lui. Trasferisci i parser chiave e le fattorie di account a un fornitore con un'origine del pool trasparente, finché la rete è attiva. Ripristinare l'accesso dopo il sequestro del dominio non sarà possibile.
- Non mantenere un saldo elevato. Durante il sequestro di IPIDEA e NetNut, i soldi nei conti dei clienti sono andati in fumo insieme al servizio. Ricarica con piccole somme, e non "per un anno in anticipo per uno sconto".
- Controlla se i tuoi IP sono stati contrassegnati. Esegui gli indirizzi attuali attraverso i servizi di reputazione IP: un alto punteggio di frode e le etichette "proxy/botnet" significano che le piattaforme già ti considerano una minaccia, e ci saranno solo più ban.
- Rivedi il modello di rischio per gli account. Se attraverso gli IP "sporchi" hai riscaldato account preziosi, considera che parte di essi è già sotto sospetto da parte dell'antifrode, e non aumentare il carico su di essi.
Il senso non è quello di farsi prendere dal panico, ma di non essere l'ultimo a scoprire la fonte del proprio traffico dalle notizie. Anche gli scenari mobili e dei data center dovrebbero essere rivisti secondo lo stesso principio "so da dove proviene il mio IP e cosa succederà in caso di blocco del fornitore".
Conclusione
Lo smantellamento di NetNut non è solo un'altra notizia su un botnet. È un chiaro segnale: l'era dei "proxy residenziali" a basso costo provenienti da fonti poco chiare sta finendo, e finisce con il sequestro di domini e il congelamento dei saldi. IPIDEA a gennaio, NetNut a luglio — la lista continuerà. L'unica assicurazione per un'azienda che dipende seriamente dai proxy è scegliere in anticipo un fornitore con un'origine trasparente degli IP e una propria infrastruttura, piuttosto che scoprire la fonte del proprio pool da un banner dell'FBI.
```