Queda do NetNut: O que os compradores precisam saber
Em 2 de julho de 2026, o FBI apreendeu centenas de domínios associados ao NetNut, uma rede de proxy residencial operada pela Alarum Technologies (ALAR), listada na Nasdaq. Pesquisadores e o Google alegam que pelo menos parte do pool de nós de saída do NetNut se sobrepunha ao Popa, uma botnet de proxy residencial estimada pelo Google como tendo pelo menos 2 milhões de dispositivos. A Alarum contesta as alegações e, conforme sua divulgação de 3 de julho, afirmou que nem ela nem o NetNut haviam sido formalmente contatados pelo FBI ou qualquer outra autoridade governamental ou regulatória.
O ponto relevante para os compradores é este: o Google avaliou com alta confiança que várias marcas populares de proxy residencial estavam fazendo white-label da rede do NetNut.1 Clientes dessas marcas white-label podem ter usado a capacidade do NetNut sem perceber.
Isso torna o fornecimento de proxies uma questão de cadeia de suprimentos. Conforme explicamos em nosso benchmark de dados web éticos, os compradores devem avaliar como usam dados de web scraping e se a infraestrutura usada para coletá-los se baseia em consentimento informado, valor para o usuário, opção clara de exclusão e controles para prevenir abusos.
O que foi apreendido e por quem
Os visitantes do NetNut em 2 de julho encontraram um banner federal de apreensão no site da empresa.2 O banner trazia as marcas do FBI e da divisão de Investigação Criminal do Internal Revenue Service. A presença do IRS-CI é notável, pois pode indicar que os investigadores também estão examinando aspectos financeiros da operação, embora nenhuma acusação pública tenha sido anunciada.
A operação foi coordenada com o Google, Lumen, Shadowserver Foundation e outros parceiros da indústria. Reportagens públicas listaram netnut.com, proxyjet.io e divinetworks.com entre os domínios apreendidos.
Separadamente, o Google desativou contas e serviços supostamente usados para comando e controle, compartilhou inteligência técnica com provedores de plataforma, agências de aplicação da lei e empresas de pesquisa, e atualizou o Play Protect para alertar usuários e desativar aplicativos Android que incorporassem SDKs do NetNut.
Mais tarde, a Alarum divulgou que domínios adicionais associados ao NetNut também haviam sido apreendidos. A empresa disse que a interrupção estava afetando parte de seus serviços e, logo em seguida, suspendeu temporariamente o tráfego pelos serviços de rede afetados enquanto investigava o incidente.3
O que os pesquisadores alegam
Em meados de junho, várias equipes de pesquisa em segurança publicaram descobertas convergentes, incluindo Synthient4 , Qurium Media Foundation, Spur e Nokia Deepfield. A alegação central é que pelo menos parte do tráfego de saída do NetNut estava ligada ao Popa, um SDK de proxyware para Android distribuído por meio de aplicativos de consumo, incluindo apps de IPTV, utilitários de streaming e ferramentas voltadas para usuários de smart TVs e boxes de streaming Android.
A Synthient examinou mais de vinte editores do Popa e relatou que, em seu conjunto de amostras, nenhum mostrou aos usuários um aviso de consentimento significativo explicando que a instalação do aplicativo inscreveria o dispositivo como um nó de proxy.
Os pesquisadores também vincularam o Popa à botnet Vo1d, que tem como alvo boxes de TV Android. O Google diz ter identificado componentes de plugin de botnet do NetNut associados a botnets de larga escala como Badbox 2.0.
A Alarum rejeitou as descobertas, dizendo ao KrebsOnSecurity que os relatórios da Synthient e da Qurium continham “afirmações comprovadamente imprecisas e deduções falhas em vez de fatos verificados”.5
O NetNut afirmou manter mecanismos de notificação e consentimento, due diligence de clientes, verificações KYC, monitoramento de uso indevido e medidas destinadas a detectar e mitigar atividades suspeitas ou não autorizadas.
Conforme a divulgação da Alarum em 3 de julho, a empresa disse que nem ela nem o NetNut haviam sido formalmente contatados pelo FBI ou qualquer outra autoridade governamental ou regulatória. As alegações acima baseiam-se em pesquisas independentes e não foram testadas judicialmente.
Por que as agências federais se interessaram
Durante uma única semana em junho de 2026, os analistas do Google observaram 316 clusters de ameaças distintos, incluindo grupos criminosos e de espionagem, roteando tráfego através de supostos nós de saída do NetNut.
Isso decorre de como funcionam os proxies residenciais. Redes de proxy residencial vendem a capacidade de rotear tráfego por endereços IP pertencentes a provedores de internet, permitindo que atacantes mascarem atividades maliciosas atrás de endereços IP de consumidores. Um IP de datacenter é mais fácil de classificar; um IP residencial frequentemente não é.
O mercado cresceu de forma correspondente. Craig Labovitz, da Nokia Deepfield, escreveu que analistas estimam que o mercado de proxies residenciais passou de uma indústria de menos de US$ 100 milhões cinco anos atrás para um negócio de US$ 2 bilhões a US$ 3 bilhões hoje, impulsionado em grande parte pela demanda de empresas de IA por IPs residenciais para rastrear e coletar dados de treinamento.
6
A Alarum reportou US$ 11,7 milhões em receita no primeiro trimestre de 2026, um aumento de 64% em relação ao ano anterior, e disse que o crescimento foi impulsionado principalmente pela forte demanda por soluções de proxy e vendas de novos produtos.7 Labovitz também alertou que a infraestrutura de proxies residenciais agora rivaliza com algumas das maiores redes de trânsito e conteúdo mundo em capacidade agregada de upstream.
Alternativas de proxy residencial para usuários do NetNut
O pool residencial rotativo do NetNut está indisponível. Os provedores abaixo estão agrupados pelo que cada um documenta publicamente sobre como seus IPs residenciais são obtidos:
Adicionar como fonte preferencialA exposição dos revendedores
Esta é a parte mais relevante para os compradores. O Grupo de Inteligência de Ameaças do Google observou que o NetNut operava um programa de revenda que permitia o white-label da sua rede e avaliou, com alta confiança, que muitas marcas populares de proxy residencial estavam fazendo white-label da botnet do NetNut.
O NetNut também é a segunda grande rede de proxy residencial interrompida este ano, após a ação do Google em janeiro contra a IPIDEA. Benjamin Brundage, fundador da Synthient, disse ao KrebsOnSecurity que o NetNut ganhou popularidade significativa após a queda da IPIDEA e que o NetNut era extremamente comum entre revendedores, comparável à IPIDEA em termos de tráfego, qualidade, tamanho e preço por gigabyte.
Duas consequências se seguem. Primeiro, se os revendedores migraram da IPIDEA para o NetNut uma vez, podem migrar novamente; o próximo upstream não deve ser presumido como mais limpo sem prova de fornecimento. Segundo, um revendedor não pode responder plenamente a perguntas sobre a origem dos IPs se não fornece os IPs ele mesmo. Ele compra acesso a uma rede e aplica sua própria marca.
Para um cliente, isso reduz a diferença prática entre “meu provedor foi apreendido” e “o upstream do meu provedor foi apreendido”. Ambos podem causar a mesma interrupção, e ambos podem rotear tráfego para nós cujos proprietários podem não ter consentido conscientemente.
As próprias divulgações da Alarum mostram a escala do risco: após apreensões adicionais, alertou que uma interrupção prolongada provavelmente teria um efeito adverso relevante sobre as operações, os resultados financeiros e sua capacidade de fornecer determinados serviços aos clientes.
A empresa então suspendeu temporariamente o tráfego pelos serviços de rede afetados, afirmando que a disponibilidade do serviço seria significativamente reduzida durante esse período. Os clientes white-label downstream herdaram esse risco sem necessariamente saber qual rede estavam usando.
Cite esta pesquisa
Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.
@misc{karatas2026,
author = {Karatas, Gulbahar},
title = {{Queda do NetNut: O que os compradores precisam saber}},
year = {2026},
month = jul,
howpublished = {\url{https://aimultiple.com/netnut-shutdown}},
note = {AIMultiple. Acessado em 13 Julho 2026}
}Links de referência
Seja o primeiro a comentar
Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.