Sequestro NetNut: cosa devono sapere gli acquirenti
Il 2 luglio 2026, l'FBI ha sequestrato centinaia di domini associati a NetNut, una rete proxy residenziale gestita da Alarum Technologies (ALAR), quotata al Nasdaq. Ricercatori e Google sostengono che almeno parte del pool di nodi di uscita di NetNut si sovrapponesse a Popa, una botnet proxy residenziale che secondo Google conta almeno 2 milioni di dispositivi. Alarum contesta le accuse e, nella sua comunicazione del 3 luglio, ha dichiarato che né essa né NetNut erano state contattate formalmente dall'FBI o da qualsiasi altra autorità governativa o di regolamentazione.
Il punto rilevante per gli acquirenti è questo: Google ha valutato con elevata affidabilità che diversi marchi noti di proxy residenziali stavano rivendendo in white label la rete di NetNut.1I clienti di quei marchi white label potrebbero aver utilizzato la capacità di NetNut senza rendersene conto.
Ciò rende l'approvvigionamento di proxy una questione di filiera. Come spieghiamo nel nostro benchmark etico sui dati web, gli acquirenti dovrebbero valutare come utilizzano i dati raccolti tramite scraping e se l'infrastruttura impiegata per raccoglierli si basi su consenso informato, valore per l'utente, chiara possibilità di opt-out e controlli per prevenire abusi.
Cosa è stato sequestrato e da chi
I visitatori di NetNut il 2 luglio hanno trovato un banner federale di sequestro sul sito dell'azienda.2Il banner recava i marchi sia dell'FBI sia della divisione Criminal Investigation dell'Internal Revenue Service. La presenza dell'IRS-CI è degna di nota, poiché potrebbe indicare che gli investigatori stiano esaminando anche gli aspetti finanziari dell'operazione, sebbene non siano state annunciate accuse pubbliche.
L'operazione è stata coordinata con Google, Lumen, la Shadowserver Foundation e altri partner del settore. Le segnalazioni pubbliche hanno indicato netnut.com, proxyjet.io e divinetworks.com tra i domini sequestrati.
Google ha inoltre disattivato account e servizi presumibilmente utilizzati per il command-and-control, ha condiviso informazioni tecniche con fornitori di piattaforme, forze dell'ordine e istituti di ricerca, e ha aggiornato Play Protect per avvisare gli utenti e disabilitare le app Android note per incorporare gli SDK di NetNut.
Alarum ha successivamente comunicato che ulteriori domini associati a NetNut erano stati anch'essi sequestrati. L'azienda ha dichiarato che l'interruzione stava interessando una parte dei suoi servizi e, poco dopo, ha temporaneamente sospeso il traffico attraverso i servizi di rete interessati mentre indagava sull'incidente.3
Cosa sostengono i ricercatori
A metà giugno, diversi team di ricerca sulla sicurezza hanno pubblicato risultati sovrapponibili, tra cui Synthient4 Qurium Media Foundation, Spur e Nokia Deepfield. L'accusa principale è che almeno parte del traffico in uscita di NetNut fosse collegata a Popa, un SDK proxyware per Android distribuito tramite applicazioni consumer, incluse app IPTV, utility di streaming e strumenti destinati ai proprietari di smart TV e box di streaming Android.
Synthient ha esaminato più di venti publisher di Popa e ha riferito che, nel suo campione, nessuno mostrava agli utenti un messaggio di consenso significativo che spiegasse che l'installazione dell'app avrebbe registrato il loro dispositivo come nodo proxy.
I ricercatori hanno inoltre collegato Popa alla botnet Vo1d, che prende di mira i box Android TV. Google afferma di aver identificato componenti di plugin della botnet NetNut associati a botnet su larga scala come Badbox 2.0.
Alarum ha respinto i risultati, dicendo a KrebsOnSecurity che i report di Synthient e Qurium contenevano "asserzioni dimostrabilmente inesatte e deduzioni errate piuttosto che fatti verificati".5
NetNut ha dichiarato di mantenere meccanismi di informativa e consenso, due diligence sui clienti, controlli KYC, monitoraggio degli abusi e misure volte a rilevare e mitigare attività sospette o non autorizzate.
Secondo la comunicazione di Alarum del 3 luglio, l'azienda ha dichiarato che né essa né NetNut erano state formalmente contattate dall'FBI o da qualsiasi altra autorità governativa o di regolamentazione. Le accuse sopra riportate si basano su ricerche indipendenti e non sono state verificate in sede giudiziaria.
Sviluppi successivi al sequestro: In un aggiornamento del 13 luglio 2026, Alarum ha dichiarato che la causa principale dell'interruzione era ancora sconosciuta e di aver incaricato un team esterno di cybersecurity e analisi forense, sotto la direzione del consulente legale, di esaminare l'incidente. Ha annunciato un piano di efficienza che interessa circa un terzo della forza lavoro. Da allora è stata presentata una class action su titoli contro Alarum per conto degli investitori che hanno acquistato le sue azioni tra il 20 marzo 2025 e il 2 luglio 2026. Al momento di questo aggiornamento, non sono state annunciate pubblicamente accuse penali e nessuna di queste contestazioni è stata giudicata.
Perché i proxy residenziali attirano l'attenzione delle forze dell'ordine
Durante una sola settimana del giugno 2026, gli analisti di Google hanno osservato 316 cluster di minacce distinti, tra cui gruppi criminali e di spionaggio, che instradavano traffico attraverso presunti nodi di uscita di NetNut.
Ciò deriva dal funzionamento dei proxy residenziali. Le reti proxy residenziali vendono la capacità di instradare il traffico attraverso indirizzi IP di proprietà dei fornitori di servizi Internet, consentendo agli aggressori di mascherare attività dannose dietro indirizzi IP consumer. Un IP di datacenter è più facile da classificare; un IP residenziale spesso non lo è.
Il mercato è cresciuto di conseguenza. Craig Labovitz di Nokia Deepfield ha scritto che gli analisti stimano che il mercato dei proxy residenziali sia passato da un settore da meno di 100 milioni di dollari di cinque anni fa a un business da 2 a 3 miliardi di dollari oggi, trainato in gran parte dalla domanda di IP residenziali da parte delle aziende di IA per fare crawling e raccogliere dati di addestramento.
6
Alarum ha riportato ricavi per 11.7 milioni di dollari nel primo trimestre 2026, in crescita del 64% su base annua, e ha dichiarato che la crescita è stata trainata principalmente dalla forte domanda di soluzioni proxy e dalle vendite di nuovi prodotti.7Labovitz ha inoltre avvertito che l'infrastruttura dei proxy residenziali oggi rivaleggia con alcune delle più grandi reti di transito e di contenuti al mondo in termini di capacità upstream aggregata.
Alternative di proxy residenziali per gli utenti di NetNut
Alla data dell'aggiornamento di Alarum del 13 luglio 2026, le operazioni della rete proxy di NetNut restavano interrotte e l'azienda ha dichiarato di stare valutando opzioni per ripristinare il servizio. I provider qui sotto sono raggruppati in base a ciò che ciascuno documenta pubblicamente sulle modalità di ottenimento dei propri IP residenziali:
Aggiungi come fonte preferitaL'esposizione dei rivenditori
Questa è la parte più rilevante per gli acquirenti. Il Threat Intelligence Group di Google ha osservato che NetNut gestiva un programma di rivenditori che consentiva la rivendita in white label della sua rete e ha valutato, con elevata affidabilità, che diversi noti marchi di proxy residenziali rivendevano in white label la rete di NetNut.
NetNut è anche la seconda grande rete proxy residenziale a essere stata interrotta quest'anno, dopo l'azione di Google di gennaio contro IPIDEA. Il fondatore di Synthient, Benjamin Brundage, ha detto a KrebsOnSecurity che NetNut ha guadagnato una notevole popolarità dopo il sequestro di IPIDEA e che NetNut era estremamente diffuso tra i rivenditori, paragonabile a IPIDEA in termini di traffico, qualità, dimensioni e prezzo per gigabyte.
Ne derivano due conseguenze. In primo luogo, se i rivenditori sono migrati da IPIDEA a NetNut una volta, potrebbero migrare di nuovo; il prossimo fornitore a monte non dovrebbe essere considerato più pulito senza prove sulla provenienza. In secondo luogo, un rivenditore non può rispondere pienamente alle domande sulla provenienza degli IP se non ottiene gli IP direttamente. Acquista l'accesso a una rete e vi applica il proprio marchio.
Per un cliente, questo riduce la differenza pratica tra "il mio provider è stato sequestrato" e "il fornitore a monte del mio provider è stato sequestrato". Entrambe possono causare la stessa interruzione ed entrambe possono instradare il traffico verso nodi i cui proprietari potrebbero non aver acconsentito consapevolmente.
Le stesse comunicazioni di Alarum mostrano la portata del rischio: dopo ulteriori sequestri, ha avvertito che un'interruzione prolungata avrebbe potuto avere un effetto negativo rilevante sulle operazioni, sui risultati finanziari e sulla capacità di fornire determinati servizi ai clienti.
L'azienda ha poi temporaneamente sospeso il traffico attraverso i servizi di rete interessati, affermando che la disponibilità del servizio sarebbe stata significativamente ridotta in quel periodo. I clienti white label a valle hanno ereditato tale rischio senza necessariamente sapere di quale rete si stessero servendo.
Cita questa ricerca
Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.
@misc{karatas2026,
author = {Karatas, Gulbahar},
title = {{Sequestro NetNut: cosa devono sapere gli acquirenti}},
year = {2026},
month = oct,
howpublished = {\url{https://aimultiple.com/netnut-shutdown}},
note = {AIMultiple. Consultato il 26 ottobre 2026}
}Risultati e timestamp di 7 punti dati. Scarica i dati di sintesi mostrati nei grafici e nelle tabelle di questo articolo come file ZIP contenente un file CSV.
Vuoi i dati granulari che ci stanno dietro? Passa a Premium
Registro delle modifiche
1 aggiornamentiAggiunta una sezione di proxy residenziali alternativi per gli utenti NetNut.
Collegamenti di riferimento
Sii il primo a commentare
Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.