Sequestro di NetNut: cosa devono sapere gli acquirenti
Il 2 luglio 2026, l'FBI ha sequestrato centinaia di domini associati a NetNut, una rete di proxy residenziali gestita da Alarum Technologies (ALAR), quotata al Nasdaq. Ricercatori e Google sostengono che almeno parte del pool di nodi di uscita di NetNut si sovrapponesse a Popa, una botnet di proxy residenziali che, secondo le stime di Google, conta almeno 2 milioni di dispositivi. Alarum contesta le accuse e, come da sua comunicazione del 3 luglio, ha dichiarato che né essa né NetNut sono state formalmente contattate dall'FBI o da qualsiasi altra autorità governativa o di regolamentazione.
Il punto rilevante per gli acquirenti è questo: Google ha valutato con elevata certezza che diversi marchi noti di proxy residenziali stavano rivendendo la rete di NetNut con il proprio marchio.1 I clienti di quei marchi di terze parti potrebbero aver utilizzato la capacità di NetNut senza rendersene conto.
Ciò rende l'approvvigionamento di proxy una questione di filiera. Come spieghiamo nel nostro benchmark etico sui dati web, gli acquirenti dovrebbero valutare come utilizzano i dati estratti e se l'infrastruttura usata per raccoglierli si basi su consenso informato, valore per l'utente, possibilità di opt-out chiare e controlli per prevenire abusi.
Cosa è stato sequestrato e da chi
I visitatori di NetNut il 2 luglio hanno trovato un banner federale di sequestro sul sito dell'azienda.2 Il banner riportava i marchi sia dell'FBI sia della divisione Investigazioni Criminali dell'Internal Revenue Service. La presenza dell'IRS-CI è degna di nota, in quanto potrebbe indicare che gli investigatori stanno esaminando anche gli aspetti finanziari dell'operazione, sebbene non siano state annunciate accuse pubbliche.
L'operazione è stata coordinata con Google, Lumen, la Shadowserver Foundation e altri partner del settore. I resoconti pubblici elencano netnut.com, proxyjet.io e divinetworks.com tra i domini sequestrati.
Google ha disattivato separatamente account e servizi presumibilmente utilizzati per il comando e controllo, ha condiviso intelligence tecnica con fornitori di piattaforme, autorità di polizia e società di ricerca e ha aggiornato Play Protect per avvisare gli utenti e disabilitare le app Android note per incorporare gli SDK di NetNut.
Alarum ha successivamente comunicato che ulteriori domini associati a NetNut erano stati sequestrati. L'azienda ha affermato che l'interruzione stava interessando una parte dei propri servizi e, poco dopo, ha temporaneamente sospeso il traffico attraverso i servizi di rete interessati mentre indagava sull'incidente.3
Cosa sostengono i ricercatori
A metà giugno, diversi team di ricerca sulla sicurezza hanno pubblicato risultati sovrapposti, tra cui Synthient4 Qurium Media Foundation, Spur e Nokia Deepfield. L'accusa centrale è che almeno parte del traffico di uscita di NetNut fosse collegato a Popa, un SDK per proxyware Android distribuito attraverso applicazioni consumer, incluse app IPTV, utility di streaming e strumenti destinati a smart TV e box di streaming Android.
Synthient ha esaminato più di venti editori di Popa e ha riferito che, nel suo campione, nessuno mostrava agli utenti una richiesta di consenso significativa che spiegasse che l'installazione dell'app avrebbe arruolato il dispositivo come nodo proxy.
I ricercatori hanno anche collegato Popa alla botnet Vo1d, che prende di mira i box Android TV. Google afferma di aver identificato componenti di plugin botnet di NetNut associati a botnet su larga scala come Badbox 2.0.
Alarum ha respinto i risultati, dicendo a KrebsOnSecurity che i rapporti di Synthient e Qurium contenevano "affermazioni dimostrabilmente inesatte e deduzioni errate piuttosto che fatti verificati".5
NetNut ha dichiarato di mantenere meccanismi di avviso e consenso, due diligence sui clienti, controlli KYC, monitoraggio degli abusi e misure volte a rilevare e mitigare attività sospette o non autorizzate.
Secondo la comunicazione di Alarum del 3 luglio, né l'azienda né NetNut sono state formalmente contattate dall'FBI o da qualsiasi altra autorità governativa o di regolamentazione. Le accuse sopra riportate si basano su ricerche indipendenti e non sono state verificate in tribunale.
Perché le agenzie federali si sono interessate
Durante una sola settimana del giugno 2026, gli analisti di Google hanno osservato 316 cluster di minacce distinti, inclusi gruppi criminali e di spionaggio, che instradavano il traffico attraverso nodi di uscita sospetti di NetNut.
Ciò deriva dal funzionamento dei proxy residenziali. Le reti di proxy residenziali vendono la possibilità di instradare il traffico attraverso indirizzi IP appartenenti a fornitori di servizi Internet, consentendo agli attaccanti di mascherare attività malevole dietro indirizzi IP di consumatori. Un IP di datacenter è più facile da classificare; un IP residenziale spesso non lo è.
Il mercato è cresciuto di conseguenza. Craig Labovitz di Nokia Deepfield ha scritto che gli analisti stimano che il mercato dei proxy residenziali sia passato da un'industria da meno di 100 milioni di dollari cinque anni fa a un business da 2 a 3 miliardi di dollari oggi, trainato in gran parte dalla domanda di IP residenziali da parte delle aziende di IA per eseguire crawling e raccogliere dati di addestramento.
6
Alarum ha riportato 11,7 milioni di dollari di fatturato nel primo trimestre 2026, in crescita del 64% su base annua, e ha dichiarato che la crescita è stata trainata principalmente dalla forte domanda di soluzioni proxy e dalle vendite di nuovi prodotti.7 Labovitz ha anche avvertito che l'infrastruttura dei proxy residenziali ora rivaleggia con alcune delle più grandi reti di transito e contenuti del mondo in termini di capacità aggregata a monte.
Alternative di proxy residenziali per gli utenti di NetNut
Il pool residenziale rotante di NetNut non è disponibile. I fornitori di seguito sono raggruppati in base a ciò che ciascuno documenta pubblicamente su come vengono ottenuti i propri IP residenziali:
Aggiungi come fonte preferitaL'esposizione dei rivenditori
Questa è la parte più rilevante per gli acquirenti. Il Google Threat Intelligence Group ha notato che NetNut gestiva un programma di rivenditori che consentiva il white-labeling della propria rete e ha valutato, con elevata certezza, che molti marchi noti di proxy residenziali stavano rivendendo la botnet di NetNut con il proprio marchio.
NetNut è anche la seconda grande rete di proxy residenziali interrotta quest'anno, dopo l'azione di Google contro IPIDEA a gennaio. Il fondatore di Synthient, Benjamin Brundage, ha detto a KrebsOnSecurity che NetNut aveva guadagnato una notevole popolarità dopo lo smantellamento di IPIDEA e che NetNut era estremamente comune tra i rivenditori, paragonabile a IPIDEA per traffico, qualità, dimensioni e prezzo per gigabyte.
Ne derivano due conseguenze. Primo, se i rivenditori sono migrati da IPIDEA a NetNut una volta, potrebbero migrare di nuovo; il prossimo provider a monte non dovrebbe essere considerato più pulito senza prove di approvvigionamento. Secondo, un rivenditore non può rispondere pienamente alle domande sull'approvvigionamento degli IP se non li procura direttamente. Acquisisce l'accesso a una rete e vi applica il proprio marchio.
Per un cliente, questo riduce la differenza pratica tra "il mio provider è stato sequestrato" e "il provider a monte del mio provider è stato sequestrato". Entrambi possono causare la stessa interruzione ed entrambi possono instradare il traffico verso nodi i cui proprietari potrebbero non aver dato un consenso consapevole.
Le stesse comunicazioni di Alarum mostrano la portata del rischio: dopo ulteriori sequestri, ha avvertito che un'interruzione prolungata avrebbe probabilmente avuto un effetto materiale negativo sulle operazioni, sui risultati finanziari e sulla capacità di fornire determinati servizi ai clienti.
L'azienda ha poi temporaneamente sospeso il traffico attraverso i servizi di rete interessati, affermando che la disponibilità del servizio sarebbe stata significativamente ridotta in quel periodo. I clienti white-label a valle hanno ereditato quel rischio senza necessariamente sapere di quale rete si stavano servendo.
Cita questa ricerca
Scegli il formato adatto a dove pubblicherai. Incollare la versione con link nel tuo CMS preserva il backlink.
@misc{karatas2026,
author = {Karatas, Gulbahar},
title = {{Sequestro di NetNut: cosa devono sapere gli acquirenti}},
year = {2026},
month = jul,
howpublished = {\url{https://aimultiple.com/netnut-shutdown}},
note = {AIMultiple. Consultato il 13 Luglio 2026}
}Collegamenti di riferimento
Prossimo da leggere
Migliori Proxy per Motori di Ricerca: Benchmark
Provider di proxy IPv6 a confronto per prezzi e prestazioni
Confronto di Dataset Amazon: Bright Data, Oxylabs, Grepsr & Exellius
Migliori ensemble di dati YouTube: Bright Data, Oxylabs & Grepsr
Come utilizzare un SOCKS5 Proxy: Configurazione per Mac, Windows e Dispositivi Mobili
Crunchbase Scraper (Python): Tutorial e Benchmark
Sii il primo a commentare
Il tuo indirizzo email non verrà pubblicato. Tutti i campi sono obbligatori. I commenti vengono lasciati nella loro lingua originale.