No dia 2 de julho de 2026, o FBI e o Serviço de Receita dos EUA (IRS Criminal Investigation) apreenderam centenas de domínios da rede NetNut, enquanto o Google desmantelou simultaneamente o botnet Popa — não menos de 2 milhões de dispositivos infectados que foram vendidos a clientes como "proxies residenciais". Este é o segundo grande desmantelamento de um provedor de IPs residenciais em seis meses: em janeiro, o IPIDEA também foi "desfeito". Para o mercado, isso é um sinal que não pode ser ignorado: uma parte significativa dos "pools residenciais" baratos consiste em televisores e set-top boxes hackeados, e seu comprador corre muito mais riscos do que imagina.
O que exatamente aconteceu com a NetNut
A NetNut é uma rede de proxies residenciais construída sobre o botnet Popa. De acordo com a Google Threat Intelligence Group (GTIG), a rede abrangia pelo menos 2 milhões de dispositivos em todo o mundo: principalmente set-top boxes Android, Smart TVs e dispositivos de streaming. No dia 2 de julho, um banner do FBI sobre a apreensão apareceu na página principal do netnut.com, e até 8 de julho, um banner semelhante foi colocado no site da empresa-mãe.
A NetNut não era uma organização clandestina, mas uma empresa pública — a israelense Alarum Technologies Ltd, que é negociada na NASDAQ sob o ticker ALAR. Após a apreensão, suas ações caíram cerca de 67% em uma semana, para $2,62. O advogado da Alarum, Omer Weiss, afirmou que a empresa "leva o caso a sério e cooperará totalmente com as autoridades". Além do FBI e do Google, participaram do desmantelamento a Lumen e a Shadowserver Foundation.
Como um "proxy residencial" se torna um botnet
O mecanismo chave da NetNut é a transformação de equipamentos domésticos comuns em nós de saída "sempre ligados" sem o conhecimento do proprietário. O Google e a investigação descrevem dois principais caminhos de infecção:
- Pré-instalação em dispositivos baratos. As set-top boxes econômicas chegavam com software proxy já embutido diretamente da fábrica e eram vendidas em marketplaces.
- SDK "de brinde". O usuário era convidado a instalar um aplicativo (frequentemente para assistir a conteúdo pirata), e junto com a "função", um SDK de proxy era instalado no dispositivo. Componentes individuais da NetNut foram encontrados dentro de um grande botnet Badbox 2.0, que "embala" plugins de proxy em firmwares infectados.
Depois, esses IPs eram alugados. Apenas em uma semana de junho de 2026, o Google contabilizou 316 clusters de ameaças que se conectavam através dos nós da NetNut — desde cibercriminosos motivados financeiramente até grupos de ciberespionagem ligados a estados. Através de endereços "residenciais" alheios, realizavam password spraying, credential stuffing, fraudes publicitárias, captura de contas e scraping. Em resposta, o Google desligou contas relacionadas ao C2 e configurou o Play Protect para alertar automaticamente os usuários e desativar aplicativos com o SDK da NetNut.
Por que isso afeta o comprador comum de proxies
A principal questão desagradável para o mercado é o programa de revenda da NetNut com whitelabel. A rede permitia revender seus nós sob outra marca, portanto, dezenas de provedores "independentes" de proxies residenciais na verdade estavam distribuindo o mesmo botnet sob suas próprias bandeiras. Ao comprar um "IP residencial" em uma loja anônima, você poderia muito bem estar operando através da televisão hackeada do vizinho por anos e não saber disso.
Isso não é uma história isolada. Em janeiro de 2026, o IPIDEA foi igualmente desmantelado — na época, a maior rede residencial — e junto com ele desapareceram cerca de 13 marcas: 922 Proxy, LunaProxy, PyProxy, IP2World, PIA S5 Proxy, ABC Proxy, Cherry Proxy e outras. A tendência é clara: o Google e as autoridades estão sistematicamente eliminando provedores baseados em botnets, e a cada uma dessas limpezas, seus clientes perdem o acesso em um único dia.
Os riscos para você se dividem em três partes:
- Jurídico. Seu tráfego passa fisicamente por dispositivos sobre os quais você não tem nenhum direito. Isso já não é mais uma "zona cinza", mas uma operação sobre um crime cibernético — com todas as questões sobre o consentimento do proprietário e o tratamento de dados. O tema do consentimento e da legalidade da coleta de dados em 2026 está se tornando cada vez mais rigoroso — discutimos isso em um material sobre as novas diretrizes do EDPB sobre web scraping e GDPR.
- Operacional. Tal pool é desligado com uma única ordem de apreensão. Seus parsers, fazendas de contas e monitoramentos param instantaneamente, e o dinheiro no saldo desaparece junto com o provedor.
- Técnico. IPs "sujos" de botnets já estão há muito tempo nos radares dos sistemas antifraude. Eles são massivamente marcados e banidos antes mesmo de serem alcançados pelo FBI — como exatamente as plataformas identificam endereços residenciais, descrevemos na análise da detecção de proxies residenciais através de IP-intelligence.
Como distinguir um proxy residencial legal de um roubado
Verifique o provedor antes de pagar, e não depois que seu domínio mostrar um banner do FBI. Aqui está uma lista prática de sinais de alerta e sinais verdes para 2026:
- Pergunte diretamente sobre a origem do IP. Um provedor legal explica de onde vem o pool: consentimento explícito dos usuários, parcerias de SDK pagas com opt-in transparente, contratos com operadores. Uma resposta "é nosso próprio segredo" ou silêncio — é um sinal vermelho.
- Procure palavras sobre sourcing ético e opt-in — mas verifique-as. A formulação "sourced ethically" tornou-se um clichê de marketing; veja se o provedor tem uma política clara de consentimento e um mecanismo de revogação, e não apenas uma linha na landing page.
- Suspeitosamente barato — quase sempre é botnet. O tráfego residencial não pode ser "honesto" a preços de data center. Os custos reais de um pool legal estão embutidos no preço; a prática de dumping geralmente significa que ninguém dos proprietários dos dispositivos recebeu um centavo pelo tráfego.
- Verifique a empresa e o histórico da marca. Uma loja anônima sem empresa, endereço e histórico público — é um típico whitelabel sobre a infraestrutura de outra pessoa. Foi exatamente esse tipo de "bandeira" que desapareceu em massa junto com o IPIDEA e a NetNut.
- Avalie o que acontecerá em caso de bloqueio. Um provedor sério tem sua própria infraestrutura, suporte e SLA, e não apenas um domínio que desaparece com uma ordem de apreensão.
É por isso que faz sentido trabalhar com um provedor que controla a origem de seu pool e não depende de uma única rede cinza. Nos proxies residenciais ProxyCove, os IPs vêm de fontes legais e acordadas — assim você obtém endereços residenciais "limpos" sem o campo minado jurídico e operacional que acabou de explodir sob os clientes da NetNut.
O que fazer se você já comprou "proxies residenciais" de um vendedor duvidoso
Se o seu provedor não tem empresa registrada nem uma resposta clara sobre a origem do IP, aja como se a próxima limpeza fosse sobre ele. Ordem de ações:
- Não vincule processos críticos a ele. Transfira parsers e fazendas de contas essenciais para um provedor com origem de pool transparente, enquanto a rede ainda está ativa. Recuperar o acesso após a apreensão do domínio não será possível.
- Não mantenha um saldo alto. Durante o desmantelamento do IPIDEA e da NetNut, o dinheiro nas contas dos clientes foi queimado junto com o serviço. Reabasteça com pequenas quantias, e não "para o ano inteiro por causa do desconto".
- Verifique se seus IPs não estão marcados. Passe os endereços atuais por serviços de reputação de IP: uma alta pontuação de fraude e marcas "proxy/botnet" significam que as plataformas já o consideram uma ameaça, e os banimentos só aumentarão.
- Revise o modelo de risco para as contas. Se você usou IPs "sujos" para aquecer contas valiosas, considere que parte delas já está sob suspeita de antifraude e não aumente a carga sobre elas.
O objetivo não é entrar em pânico, mas evitar ser o último a descobrir a origem do seu tráfego pelas notícias. Cenários móveis e de data center também devem ser revisados sob o mesmo princípio "sei de onde vem meu IP e o que acontecerá se o provedor for bloqueado".
Conclusão
O desmantelamento da NetNut não é apenas mais uma notícia sobre botnets. É um sinal claro: a era dos "proxies residenciais" baratos de fontes obscuras está chegando ao fim, e isso termina com a apreensão de domínios e o congelamento de saldos. IPIDEA em janeiro, NetNut em julho — a lista continuará. O único seguro para um negócio que depende seriamente de proxies é escolher antecipadamente um provedor com origem de IP transparente e infraestrutura própria, em vez de descobrir a origem de seu pool através de um banner do FBI.
```