2026년 7월 2일과 3일, FBI, 미국 국세청(IRS 범죄 수사국) 및 Google 위협 정보 그룹이 공동으로 NetNut을 폐쇄했습니다. 이는 세계에서 가장 큰 주거용 프록시 네트워크 중 하나입니다. '합법적인 제공업체'라는 아름다운 간판 뒤에는 200만 개 이상의 해킹된 가정용 장치, 즉 스마트 TV, 셋톱 박스 및 Android 기기로 구성된 Popa 봇넷이 숨겨져 있었습니다. 이는 6개월 만에 시장의 큰 플레이어가 공개적으로 파괴된 두 번째 사례로, 정직한 주거용 프록시와 범죄 인프라 간의 경계를 명확히 합니다.
무슨 일이 일어났는가
7월 2일, Google 위협 정보 그룹(GTIG)은 NetNut이 봇넷을 관리하는 데 사용한 Google 계정과 서비스를 차단했습니다. 동시에 FBI는 IRS 범죄 수사국과 협력하여 네트워크와 관련된 수백 개의 도메인을 압수했습니다. 주요 도메인 netnut.com은 이제 FBI의 압수 통지로 연결되며, netnut.io 도메인은 ns1.fbi.seized.gov로 DNS 서버를 변경했습니다. 관련 브랜드인 proxyjet.io 및 divinetworks.com도 압수되었습니다.
NetNut 뒤에는 공개 이스라엘 회사 Alarum Technologies Ltd (NASDAQ: ALAR)가 있습니다. 즉, 이는 비밀 조직이 아니라 주식 시장에 상장된 비즈니스입니다. 회사의 변호사 Omer Weiss는 "Alarum은 상황을 심각하게 받아들이며, 법 집행 기관과 완전히 협력하여 인프라의 남용이 철저히 조사될 수 있도록 할 것입니다."라고 밝혔습니다.
Google의 추정에 따르면, 조정된 행동은 "NetNut 프록시 네트워크와 그 비즈니스에 상당한 피해를 주어 운영자의 장치 풀을 수백만 개 줄였습니다." 이는 전형적인 시나리오로, 2026년 1월 Google은 비슷한 방식으로 경쟁 네트워크 IPIDEA를 파괴했습니다.
2백만 대의 TV로 구성된 봇넷이 '주거용 프록시'로 가장한 방법
Popa 봇넷은 최소한 2020년부터 활동해 왔습니다. 장치는 세 가지 경로를 통해 네트워크에 들어갔습니다:
- 트로이 목마화된 애플리케이션. 사용자들은 무해해 보이는 IPTV, 스트리밍 및 '유틸리티' 애플리케이션을 다운로드했으며, 그 안에는 숨겨진 프록시 SDK가 포함되어 있었습니다. 이는 NetNut과 겹치는 플러그인을 가진 대규모 봇넷 Badbox 2.0에서도 사용되었습니다.
- 공장에서의 사전 설치. 일부 저가형 스마트 TV 및 셋톱 박스는 이미 프록시 코드가 내장되어 고객에게 배송되어, 개봉 직후 exit-node가 되었습니다.
- 감염된 애플리케이션 스토어. 문제의 규모는 방대합니다: 연구자들에 따르면, 프록시 SDK는 LG webOS용 애플리케이션의 42%와 Samsung Tizen용 애플리케이션의 26% 이상을 포함하고 있었습니다.
결과적으로: '실제' 사용자와 구별할 수 없는 수백만 개의 가정용 IP 주소가 생성되었습니다. 이는 시장에서 프리미엄을 지불하는 이유입니다. 그러나 이 TV의 소유자들은 아무런 동의도 하지 않았고 돈도 받지 못했습니다.
한 주에 316개의 범죄 조직: 이를 어떻게 사용했는가
GTIG 보고서에서 가장 우려스러운 숫자는 2026년 6월 단 일주일 동안 Google이 316개의 개별 위협 클러스터를 NetNut 노드를 통해 기록했다는 것입니다. 이는 사이버 범죄자와 스파이와 관련된 그룹의 혼합이었습니다. 주요 시나리오는 다음과 같습니다:
- 비밀번호 스프레이 공격. 공격자는 도난당한 비밀번호와 추측한 비밀번호를 조합하여 수천 개의 다양한 주거용 IP에 로그인 시도를 분산시켰습니다. 로그인 모니터링 시스템은 한 출처에서 비정상적인 양을 감지하지 못합니다. 즉, '한 IP에서의 시도 수'를 기준으로 한 전통적인 보호는 무용지물이 됩니다.
- 공격 시 은폐. 주거용 IP는 피해자의 손상된 환경과 범죄자의 인프라에 접근할 때 실제 위치를 숨깁니다.
- 계정 탈취, 광고 사기 및 대량 스크래핑 — '가정용' 주소의 보호 아래에서 이루어집니다.
감염된 장치의 소유자에게는 별도의 위험이 있습니다: 다른 사람의 트래픽이 귀하의 TV를 통해 지나가면 귀하의 IP에 연결됩니다. 귀하의 합법적인 요청은 이웃 서비스에 의해 의심스러운 것으로 표시되고 차단될 수 있으며, 공격자는 원할 경우 귀하의 가정 네트워크에서 발판을 얻을 수 있습니다.
왜 이것이 전체 프록시 시장에 타격을 주는가
NetNut은 단순히 자신을 판매하는 것이 아니라 화이트라벨 모델로도 운영되었습니다: 많은 인기 있는 '브랜드' 주거용 프록시는 실제로 그의 인프라를 자신의 이름으로 재판매했습니다. GTIG는 시장 메커니즘을 다음과 같이 설명합니다: “운영자의 자체 봇넷이 퇴화하면, 프록시 운영자는 경쟁자로부터 용량을 구매하기 시작하여 리셀러가 됩니다.” 즉, 타인의 아름다운 간판 아래에서, 여러분은 모르는 사이에 같은 해킹된 TV를 사용하고 있을 수 있습니다.
두 번째 시스템적 결함은 약한 KYC입니다. 인프라에 대한 접근을 실제 이름을 제공하지 않고도 구매할 수 있었으며, 이는 수백 개의 범죄 클러스터에 문을 열었습니다. 심지어 '청정한' 비즈니스 부분도 피해를 입었습니다: NetNut은 공급자와의 직접 계약을 통해 ISP 프록시를 제공하는 DiviNetworks라는 방향이 있었지만, 네트워크가 파괴되면서 모든 것이 위험에 처했습니다.
정직한 사용자에게는 간단한 결론이 있습니다: IP 주소의 출처는 추상적인 '윤리'가 아니라 귀하의 운영 안정성 문제입니다. 봇넷 제공자는 하룻밤 사이에 압수될 수 있으며, 그의 주소 풀은 수백 명의 범죄자들의 평판으로 오염될 수 있으며, 이러한 네트워크를 사용하는 사실 자체가 법적 위험을 초래합니다. 따라서 프록시의 유형과 출처의 차이를 이해하는 것이 중요합니다: 주거용 프록시와 모바일 프록시가 어떻게 구성되어 있는지, 그리고 언제 빠르고 예측 가능한 서버 프록시가 이러한 주거용 드라마 없이 충분한지에 대한 것입니다.
정직한 주거용 프록시와 봇넷을 구별하는 방법
NetNut의 파괴는 제공업체 선택 체크리스트를 재구성할 좋은 기회입니다. 무엇을 주의해야 할까요:
- IP의 투명한 출처. 합법적인 주거용 및 ISP 주소는 공급자와의 직접 계약 또는 실제 보상을 위한 사용자 동의를 통해 확보됩니다. 제공업체가 풀의 출처에 대해 애매하게 대답한다면, 이는 빨간 깃발입니다.
- ‘사용하지 않은 트래픽에 대한 보상’ 없음. Google은 '인터넷 공유' 또는 '사용하지 않은 대역폭'에 대해 지불하겠다고 제안하는 애플리케이션을 피하라고 명확히 경고합니다. 이는 봇넷 프록시 감염의 주요 경로입니다. 귀하의 프록시 네트워크가 이러한 애플리케이션에서 공급받는다면, 귀하는 문제의 일부입니다.
- 실제 KYC 및 사용 규칙. 귀하가 누구인지, 무엇을 하는지 전혀 묻지 않는 제공업체는 귀하와 비밀번호 스프레이 그룹 모두에게 쉽게 접근을 판매합니다.
- 풀의 안정성. 수백 건의 공격에 노출된 주소는 안티프로드 시스템의 블랙리스트에 빠르게 올라갑니다. 청정하고 관리되는 풀은 봇넷이 이미 소진된 곳에서 더 안정적으로 통과합니다.
우리는 감염된 장치 측면에서 이러한 그림자 네트워크가 어떻게 구성되는지에 대해 이미 자세히 설명했습니다. 스마트 TV가 주거용 프록시의 exit-node가 되는 경우에 대한 자료에서 NetNut의 이야기는 바로 그러한 시나리오가 FBI의 영장으로 논리적 결말에 도달한 것입니다.
실제로 이것이 무엇을 변화시키는가
웹 스크래핑, 멀티 계정 운영, SMM 자동화 또는 단순히 지리적 차단을 우회하는 팀에게 주는 주요 신호는 다음과 같습니다: 주거용 프록시 시장은 고통스러운 '정화' 과정을 겪고 있습니다. 6개월 동안 두 개의 대규모 네트워크(IPIDEA 1월, NetNut 7월)가 공개적으로 파괴되었으며, Google은 체계적으로 C2 인프라를 차단하고 Play Protect를 통해 사용자에게 경고하고 있습니다. '어디서나 온 저렴한 주거용 프록시'는 유리한 거래가 아니라 지연된 폭탄입니다: 네트워크가 차단될 수 있고, 풀은 오염되어 있으며, 범죄 트래픽과의 연결은 평판 및 법적 위험을 초래합니다.
프록시를 인프라로 여기고 회색 소비재가 아닌 것으로 간주하는 사람이 이깁니다: 투명한 제공업체를 선택하고 주소의 출처를 이해하며 각 작업에 적합한 유형을 선택합니다 — '실제' IP가 필요한 곳에서는 주거용, 가장 민감한 플랫폼에서는 모바일, 속도와 가격이 중요한 곳에서는 서버형 프록시를 선택합니다. 시장의 정화는 순간적으로 불쾌하지만, 장기적으로는 정직한 작업을 더 견고하게 만들며, TV는 소유자에게 돌아갑니다.
```