Démantèlement de NetNut: ce que les acheteurs doivent savoir
Le 2 juillet 2026, le FBI a saisi des centaines de domaines associés à NetNut, un réseau de proxies résidentiels géré par Alarum Technologies (ALAR), cotée au Nasdaq. Des chercheurs et Google allèguent qu’au moins une partie du pool de nœuds de sortie de NetNut chevauchait Popa, un botnet de proxy résidentiel estimé par Google à au moins 2 millions d’appareils. Alarum conteste ces allégations et, selon sa divulgation du 3 juillet, a déclaré que ni elle ni NetNut n’avaient été formellement contactées par le FBI ni par aucune autre autorité gouvernementale ou réglementaire.
Le point pertinent pour les acheteurs est le suivant : Google a estimé avec un degré de confiance élevé que plusieurs marques populaires de proxies résidentiels commercialisaient le réseau de NetNut sous leur propre marque.1 Les clients de ces marques en marque blanche ont pu utiliser la capacité de NetNut sans le savoir.
Cela fait de l’approvisionnement en proxies un problème de chaîne d’approvisionnement. Comme nous l’expliquons dans notre référentiel de données web éthiques, les acheteurs doivent évaluer la manière dont ils utilisent les données collectées et si l’infrastructure utilisée pour les collecter repose sur le consentement éclairé, la valeur pour l’utilisateur, une option de retrait claire et des contrôles visant à prévenir les abus.
Qu’est-ce qui a été saisi, et par qui
Les visiteurs du site de NetNut le 2 juillet ont découvert une bannière de saisie fédérale sur le site de l’entreprise.2 La bannière portait les insignes du FBI et de la division des enquêtes criminelles de l’Internal Revenue Service. La présence de l’IRS-CI est notable, car elle peut indiquer que les enquêteurs examinent également les aspects financiers de l’opération, bien qu’aucune charge publique n’ait été annoncée.
L’opération a été coordonnée avec Google, Lumen, la Shadowserver Foundation et d’autres partenaires du secteur. Les rapports publics ont cité netnut.com, proxyjet.io et divinetworks.com parmi les domaines saisis.
Google a par ailleurs désactivé des comptes et des services prétendument utilisés pour le commandement et le contrôle, partagé des renseignements techniques avec des fournisseurs de plateformes, des organismes chargés de l’application de la loi et des entreprises de recherche, et mis à jour Play Protect pour avertir les utilisateurs et désactiver les applications Android connues pour intégrer les SDK NetNut.
Alarum a révélé plus tard que d’autres domaines associés à NetNut avaient également été saisis. La société a déclaré que la perturbation affectait une partie de ses services et, peu après, a temporairement suspendu le trafic via les services réseau concernés le temps d’enquêter sur l’incident.3
Ce que les chercheurs allèguent
À la mi-juin, plusieurs équipes de recherche en sécurité ont publié des conclusions qui se recoupent, notamment Synthient4 Qurium Media Foundation, Spur et Nokia Deepfield. L’allégation principale est qu’au moins une partie du trafic de sortie de NetNut était liée à Popa, un SDK de proxyware Android distribué via des applications grand public, notamment des applications IPTV, des utilitaires de streaming et des outils destinés aux propriétaires de smart TV et de boîtiers de streaming Android.
Synthient a examiné plus d’une vingtaine d’éditeurs Popa et a indiqué que, dans son échantillon, aucun n’affichait aux utilisateurs une demande de consentement significative expliquant que l’installation de l’application inscrirait leur appareil comme nœud proxy.
Les chercheurs ont également relié Popa au botnet Vo1d, qui cible les boîtiers Android TV. Google indique avoir identifié des composants de plugin de botnet NetNut associés à des botnets à grande échelle tels que Badbox 2.0.
Alarum a rejeté ces conclusions, indiquant à KrebsOnSecurity que les rapports de Synthient et de Qurium contenaient « des affirmations manifestement inexactes et des déductions erronées plutôt que des faits vérifiés ».5
NetNut a déclaré maintenir des mécanismes de notification et de consentement, une diligence raisonnable à l’égard des clients, des contrôles KYC, une surveillance des abus et des mesures visant à détecter et à atténuer les activités suspectes ou non autorisées.
Selon la divulgation d’Alarum du 3 juillet, la société a déclaré que ni elle ni NetNut n’avaient été formellement contactées par le FBI ni par aucune autre autorité gouvernementale ou réglementaire. Les allégations ci-dessus reposent sur des recherches indépendantes et n’ont pas été testées devant un tribunal.
Évolutions depuis la saisie : Dans une mise à jour du 13 juillet 2026, Alarum a indiqué que la cause profonde de la perturbation était encore inconnue et qu’elle avait engagé une équipe externe de cybersécurité et d’investigation numérique, dirigée par un conseiller juridique, pour examiner l’incident. Elle a annoncé un plan d’efficacité touchant environ un tiers de ses effectifs. Une action collective en valeurs mobilières a depuis été déposée contre Alarum au nom des investisseurs qui ont acheté ses actions entre le 20 mars 2025 et le 2 juillet 2026. À la date de cette mise à jour, aucune charge pénale n’a été annoncée publiquement et aucune de ces allégations n’a été tranchée.
Pourquoi les proxies résidentiels attirent l’attention des forces de l’ordre
Au cours d’une seule semaine de juin 2026, les analystes de Google ont observé 316 groupes de menaces distincts, y compris des groupes criminels et d’espionnage, acheminant du trafic via des nœuds de sortie NetNut présumés.
Cela découle du fonctionnement des proxies résidentiels. Les réseaux de proxies résidentiels vendent la possibilité de faire transiter le trafic par des adresses IP appartenant à des fournisseurs d’accès à Internet, permettant aux attaquants de masquer une activité malveillante derrière des adresses IP grand public. Une IP de datacenter est plus facile à classifier ; une IP résidentielle ne l’est souvent pas.
Le marché a crû en conséquence. Craig Labovitz, de Nokia Deepfield, a écrit que les analystes estiment que le marché des proxies résidentiels est passé d’une industrie de moins de 100 millions de dollars il y a cinq ans à un marché de 2 à 3 milliards de dollars aujourd’hui, largement tiré par la demande d’IP résidentielles des entreprises d’IA pour explorer et collecter des données d’entraînement.
6
Alarum a déclaré un chiffre d’affaires de $11,7 millions de dollars au premier trimestre 2026, en hausse de 64 % sur un an, et a indiqué que la croissance était principalement due à une forte demande de solutions proxy et aux ventes de nouveaux produits.7Labovitz a également averti que l’infrastructure des proxies résidentiels rivalise désormais avec certains des plus grands réseaux de transit et de contenu au monde en capacité amont globale.
Alternatives de proxies résidentiels pour les utilisateurs de NetNut
Dans la mise à jour d’Alarum du 13 juillet 2026, les opérations du réseau de proxies de NetNut restaient perturbées, et la société a indiqué qu’elle évaluait des options pour rétablir le service. Les fournisseurs ci-dessous sont regroupés selon ce que chacun documente publiquement sur la manière dont ses IP résidentielles sont obtenues :
Ajouter comme source préféréeL’exposition des revendeurs
C’est la partie la plus pertinente pour les acheteurs. Le groupe de renseignement sur les menaces de Google a noté que NetNut exploitait un programme de revendeurs permettant la commercialisation en marque blanche de son réseau et a estimé, avec un degré de confiance élevé, que plusieurs marques populaires de proxies résidentiels commercialisaient le réseau de NetNut sous leur propre marque.
NetNut est également le deuxième grand réseau de proxies résidentiels perturbé cette année, après l’action de Google en janvier contre IPIDEA. Le fondateur de Synthient, Benjamin Brundage, a déclaré à KrebsOnSecurity que NetNut avait gagné en popularité de manière significative après le démantèlement d’IPIDEA et que NetNut était extrêmement répandu parmi les revendeurs, comparable à IPIDEA en termes de trafic, de qualité, de taille et de prix par gigaoctet.
Deux conséquences en découlent. Premièrement, si les revendeurs ont migré d’IPIDEA vers NetNut une fois, ils peuvent migrer à nouveau ; le prochain fournisseur en amont ne doit pas être présumé plus propre sans preuve de son approvisionnement. Deuxièmement, un revendeur ne peut pas répondre pleinement aux questions sur l’approvisionnement en IP s’il ne fournit pas lui-même ces IP. Il achète un accès à un réseau et y applique sa propre marque.
Pour un client, cela réduit la différence pratique entre « mon fournisseur a été saisi » et « le fournisseur en amont de mon fournisseur a été saisi ». Les deux peuvent entraîner la même panne, et les deux peuvent acheminer du trafic vers des nœuds dont les propriétaires n’ont peut-être pas consenti en connaissance de cause.
Les divulgations d’Alarum montrent l’ampleur du risque : après des saisies supplémentaires, elle a averti qu’une perturbation prolongée était susceptible d’avoir un effet négatif significatif sur les opérations, les résultats financiers et sa capacité à fournir certains services aux clients.
La société a ensuite temporairement suspendu le trafic via les services réseau concernés, indiquant que la disponibilité du service serait considérablement réduite pendant cette période. Les clients en marque blanche en aval ont hérité de ce risque sans nécessairement savoir quel réseau ils utilisaient.
Citer cette recherche
Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.
@misc{karatas2026,
author = {Karatas, Gulbahar},
title = {{Démantèlement de NetNut: ce que les acheteurs doivent savoir}},
year = {2026},
month = oct,
howpublished = {\url{https://aimultiple.com/netnut-shutdown}},
note = {AIMultiple. Consulté le 26 octobre 2026}
}Résultats et horodatages de 7 points de données. Téléchargez les données de synthèse présentées dans les graphiques et les tableaux de cet article sous forme de fichier ZIP contenant un fichier CSV.
Vous voulez les données détaillées derrière ? Rejoindre Premium
Journal des modifications
1 mises à jourAjout d'une section sur les proxys résidentiels alternatifs pour les utilisateurs de NetNut.
Liens de référence
À lire ensuite
Quel fournisseur de proxy fonctionne le mieux en Corée ?
Meilleurs proxies allemands: Benchmark et tarification
Meilleurs proxies Discord: Offres gratuites, fonctionnalités et configuration
Soyez le premier à commenter
Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.