En resumen
- El 2 de julio de 2026 el FBI y la División de Investigación Criminal del IRS incautaron cientos de dominios de NetNut, uno de los mayores proveedores de proxies residenciales del mundo.
- NetNut se apoyaba en la botnet Popa: al menos 2 millones de dispositivos domésticos —Smart TVs y cajas de streaming— convertidos en nodos de salida sin consentimiento real de sus dueños.
- En una sola semana de junio, Google identificó 316 clusters de actores de amenaza usando nodos de NetNut.
- Google advierte que muchas marcas conocidas de proxies residenciales revendían NetNut en modo whitelabel. Es decir: pudiste estar usándolo sin saberlo.
- La acción de su matriz, Alarum Technologies (NASDAQ: ALAR), cayó cerca de un 67 % en una semana.
El 2 de julio de 2026, la homepage de NetNut fue reemplazada por un aviso de incautación del FBI. Lo que siguió no fue solo el cierre de una plataforma: fue una señal de advertencia para toda la industria de la extracción de datos.
Este artículo analiza qué ocurrió, qué implica para los equipos de ingeniería y las empresas que dependen de infraestructura de proxies, y por qué el criterio con el que se elige un proveedor de datos hoy es, al mismo tiempo, una decisión legal y de continuidad operativa.
1. El operativo: qué ocurrió el 2 de julio de 2026
El FBI, en coordinación con la División de Investigación Criminal del IRS, el Google Threat Intelligence Group (GTIG), Lumen Technologies (Black Lotus Labs) y la Shadowserver Foundation, incautó cientos de dominios vinculados a NetNut.
La incautación no fue simultánea, y el detalle importa. El 2 de julio cayó
netnut.comnetnut.ions1.fbi.seized.govalarum.ioNetNut era operada comercialmente por Alarum Technologies Ltd., empresa israelí cotizada en el NASDAQ bajo el símbolo ALAR y con sede en Tel Aviv. Hasta el momento de la incautación se comercializaba como un servicio premium de proxies residenciales rotativos para web scraping, monitoreo de precios e inteligencia de mercado. En la semana posterior a la acción del FBI, su acción se desplomó cerca de un 67 %, hasta los 2,62 dólares.
La acción no fue un evento aislado: fue la conclusión de una investigación que tomó forma pública el 19 de junio de 2026, cuando tres firmas de ciberseguridad publicaron simultáneamente hallazgos que vinculaban la infraestructura de NetNut con la botnet Popa.
2. La botnet Popa: cómo funcionaba y por qué es relevante
Popa es el nombre técnico de la red de dispositivos comprometidos que sustentaba la infraestructura de IPs residenciales de NetNut. Su funcionamiento se basaba en tres mecanismos.
Propagación vía SDKs ocultos. El SDK de Popa fue embebido en dispositivos Android de bajo costo —principalmente Smart TVs y cajas de streaming— y en aplicaciones no oficiales como SmartTube. Una vez instalado, convertía al dispositivo en un nodo de salida de tráfico sin presentar al usuario un aviso claro ni solicitar consentimiento explícito.
El alcance del problema excede a NetNut. Según un informe de la firma de rastreo de proxies Spur, el 42 % de las aplicaciones disponibles para el sistema webOS de los televisores LG incluye SDKs que convierten el televisor en un nodo de proxy residencial permanente. En las aplicaciones para Tizen, de Samsung, la proporción supera el 25 %.
Superposición sobre Vo1d. Los investigadores documentaron que Popa operaba como una capa adicional sobre una botnet Android preexistente llamada Vo1d. Mientras Vo1d gestionaba el control de los dispositivos comprometidos, Popa canalizaba su tráfico hacia la infraestructura de proxies de NetNut.
Escala y diversidad de actores. El impacto no fue teórico. En una sola semana de junio de 2026, el GTIG identificó 316 clusters distintos de actores de amenaza —grupos criminales y de espionaje— utilizando nodos de salida de NetNut para password spraying, credential stuffing, fraude publicitario y extracción no autorizada de datos sensibles.
Hay un riesgo adicional que Google subrayó y que suele pasarse por alto: cuando un dispositivo doméstico se convierte en nodo de salida, el tráfico no autorizado que lo atraviesa puede alcanzar otros dispositivos privados de la misma red local. El televisor comprometido no solo presta su IP: abre una puerta al resto de la casa.
Benjamin Brundage, fundador de Synthient —una de las firmas que publicó las pruebas—, confirmó que las incautaciones disrumpieron tanto la botnet Popa como la red de proxies que operaba sobre ella.
La posición de Alarum Technologies fue de rechazo parcial. A través de su asesor legal, Omer Weiss, la empresa declaró que cooperaría con las autoridades, pero en un comunicado previo a la incautación había negado la caracterización de "botnet", describiendo los SDKs como "funcionalidad de compartición de ancho de banda que no transforma los dispositivos de los usuarios en sistemas controlados por malware". El GTIG y las firmas de investigación independientes sostienen la interpretación opuesta.
3. El impacto operativo para clientes legítimos
Lo que hace este caso relevante para la industria no es solo la dimensión criminal, sino el impacto colateral sobre miles de equipos que usaban NetNut para operaciones completamente legítimas: monitoreo de precios, inteligencia competitiva, extracción de datos públicos.
Para esos usuarios, las consecuencias fueron inmediatas:
Interrupción total de pipelines. De un día para otro, los scrapers perdieron acceso a los nodos de salida residenciales. Las integraciones dejaron de funcionar sin previo aviso.
Pérdida de capital comprometido. Los saldos prepagados y los contratos vigentes quedaron congelados o perdidos como resultado directo de las acciones judiciales.
Exposición reputacional y legal indirecta. El tráfico de empresas legítimas quedó asociado, aunque involuntariamente, con una infraestructura bajo investigación federal. Eso generó riesgos de auditoría y bloqueos en plataformas objetivo que detectaron patrones de IPs vinculadas al caso.
El problema del whitelabel: quizá lo usabas sin saberlo
Aquí está el punto que convierte este caso en un problema de toda la industria y no solo de los clientes de NetNut. En su informe, el GTIG fue explícito:
"Google tiene un alto grado de confianza en que muchas marcas populares de proxies residenciales están, de hecho, revendiendo la botnet NetNut bajo marca blanca."
Traducido: el nombre en tu factura no te dice de dónde vienen tus IPs. Un proveedor intermedio puede comprar capacidad a NetNut, ponerle su propia marca y venderte un servicio con dashboard, soporte y documentación impecables, montado sobre televisores hackeados. Y Google advierte que el ciclo se repite: cuando una red pierde su botnet, sus operadores compran capacidad a la competencia y se convierten en revendedores, con lo que la infraestructura contaminada se redistribuye en vez de desaparecer.
El riesgo de usar infraestructura de proxies sin verificar su origen no es solo ético. Es un riesgo operativo concreto que puede interrumpir servicios de datos críticos sin posibilidad de recuperación rápida.
4. Contexto de industria: NetNut no es un caso aislado
El desmantelamiento sigue un patrón que se repite con frecuencia creciente. A comienzos de 2026, acciones legales impulsadas por Google permitieron incautar la infraestructura de IPIDEA, el mayor competidor de NetNut. Antes, la operación contra BadBox 2.0 ya había demostrado que las botnets construidas sobre dispositivos de consumo masivo son un vector de riesgo sistémico.
El efecto de vasos comunicantes es evidente: según Brundage, NetNut ganó popularidad precisamente después de la caída de IPIDEA. Cada takedown redistribuye la demanda hacia el siguiente proveedor de la lista, sin resolver el problema de fondo.
Lo que estas operaciones tienen en común es el objetivo: no el scraping en sí, sino la infraestructura ilícita que algunos proveedores utilizan para sustentar sus redes de IPs residenciales. La distinción es importante.
El scraping de datos públicamente disponibles tiene respaldo legal creciente. El fallo del Noveno Circuito de los Estados Unidos en hiQ Labs vs. LinkedIn (2022) estableció que el acceso automatizado a datos de acceso público no viola la Computer Fraud and Abuse Act (CFAA). Lo que las autoridades persiguen no es la extracción de datos públicos, sino el método ilícito de obtener las IPs residenciales que permiten hacerlo a escala.
Si quieres profundizar en dónde está exactamente la línea, lo desarrollamos en qué es legal y qué puede acarrear una demanda en web scraping.
5. La pregunta que toda empresa debería hacerse
El caso NetNut obliga a plantear una pregunta que muchos equipos de datos han evitado: ¿de dónde vienen exactamente las IPs que mi proveedor me ofrece?
Las redes de proxies residenciales legítimas obtienen sus IPs de una de tres formas: acuerdos directos con ISPs, programas de compartición de ancho de banda con consentimiento explícito y revocable del usuario, o infraestructura de centros de datos. La diferencia entre estos modelos y el de Popa —que reclutaba dispositivos de consumidores sin divulgación clara— no es un detalle técnico menor. Es la línea entre una operación sostenible y una que puede desaparecer de un día para otro por orden judicial.
Checklist: 5 preguntas para auditar a tu proveedor de proxies
Cópialas y mándaselas a tu proveedor actual. Las respuestas —y sobre todo las evasivas— te dirán casi todo.
1. Origen de las IPs y consentimiento
Pregunta: ¿De dónde provienen exactamente las IPs residenciales y qué mecanismo de consentimiento aceptó el titular del dispositivo? ¿Puede revocarlo y cómo?
Señal de alarma: respuestas que hablan de "compartición de ancho de banda" sin explicar cómo se obtiene, se documenta y se revoca ese consentimiento.
2. Cadena de suministro y whitelabel
Pregunta: ¿Operan ustedes su propia red o revenden capacidad de terceros? Si revenden, ¿de quién y bajo qué auditoría?
Señal de alarma: la pregunta incomoda o se responde con generalidades. Tras el caso NetNut, esta es la pregunta más importante de la lista.
3. Cumplimiento normativo documentado
Pregunta: ¿Qué documentación tienen sobre GDPR, CCPA y normativas de privacidad aplicables? ¿Existen auditorías independientes o certificaciones verificables?
Señal de alarma: menciones genéricas a "cumplimiento" sin documentos, certificados ni auditor identificable.
4. Políticas KYC
Pregunta: ¿Qué controles de Know Your Customer aplican para impedir que su infraestructura se use con fines maliciosos?
Señal de alarma: registro anónimo, pago solo en criptomonedas, ausencia de verificación de cliente. Si cualquiera puede comprar, cualquiera compra.
5. Historial y trazabilidad
Pregunta: ¿Han aparecido en informes de firmas de ciberseguridad o en investigaciones previas? ¿Qué mecanismos de rate limiting aplican para no sobrecargar los sitios objetivo?
Señal de alarma: apariciones no explicadas en informes de Spur, Synthient o el GTIG de Google. Compruébalo tú mismo antes de preguntar.
6. Qué hacer si usabas NetNut (o crees que podrías haberlo usado)
Tres caminos, ordenados de menor a mayor cambio estructural.
Opción A — Auditar y quedarte
Si tu proveedor pasa el checklist con documentación real, no toques nada. Migrar tiene costo y riesgo propios. Documenta la auditoría por escrito y repítela cada seis meses: el ecosistema es fluido y un proveedor limpio hoy puede estar revendiendo capacidad contaminada dentro de un trimestre.
Opción B — Migrar a un proveedor con origen verificado
Si las respuestas no convencen, migra. Al evaluar candidatos, prioriza la trazabilidad del origen de las IPs por encima del precio por gigabyte: en este mercado, un precio muy por debajo de la media suele indicar que alguien no está pagando por sus IPs. Lo desarrollamos en cómo elegir el proveedor de web scraping adecuado.
Ten en cuenta el efecto rebote que advierte Google: tras un takedown, los operadores compran capacidad a la competencia. Verificar en el momento de contratar no basta.
Opción C — Externalizar el pipeline completo
Si la gestión de infraestructura de proxies no es tu ventaja competitiva, la pregunta razonable es por qué la estás asumiendo. Externalizar traslada el riesgo de continuidad y de compliance a quien lo tiene como responsabilidad principal.
Y en cualquiera de los tres casos
Revisa tu arquitectura de reintentos y failover. El fallo de NetNut demostró que muchos pipelines no tenían plan B: cayó el proveedor y cayó todo. Un diseño con proveedor secundario y degradación controlada convierte una interrupción crítica en una molestia. Sobre esto escribimos en cómo resolver bloqueos con rotación de IP.
7. Lo que esto implica para el scraping como práctica profesional
El cierre de NetNut no es el fin de la extracción de datos. Es la confirmación de que la infraestructura sobre la que opera importa tanto como la práctica en sí misma.
Las empresas que extraen datos públicos de manera estructurada, respetando los archivos
robots.txtEn AUTOScraping trabajamos exclusivamente con infraestructura de origen verificado, incluida nuestra condición de Bright Data Solution Partner, una de las pocas redes de proxies que ha ganado litigios específicos sobre el acceso a datos públicos y opera bajo estándares de compliance documentados. Cada pipeline que construimos está diseñado para ser operativamente estable y legalmente sostenible a largo plazo, no para maximizar volumen a cualquier costo.
El caso NetNut, en ese sentido, no cambia lo que hacemos. Confirma por qué lo hacemos de esta manera.
¿Quieres una revisión del origen de los datos de tu pipeline actual? Hablemos — o conoce cómo funciona Data Factory.
Preguntas frecuentes
¿NetNut cerró definitivamente?
Su infraestructura fue incautada por el FBI el 2 de julio de 2026 y sus dominios principales redirigen a servidores del gobierno estadounidense. Alarum Technologies declaró que coopera con la investigación, pero no ha anunciado reanudación del servicio. En la práctica, el servicio dejó de operar.
¿Qué es la botnet Popa?
Es la red de al menos dos millones de dispositivos domésticos comprometidos —sobre todo Smart TVs y cajas de streaming Android— que alimentaba las IPs residenciales de NetNut. Los dispositivos se infectaban mediante SDKs ocultos en aplicaciones, sin aviso claro ni consentimiento real del propietario.
¿Es ilegal usar proxies residenciales?
No. Lo ilegal es cómo algunos proveedores obtienen las IPs. Una red que las consigue mediante acuerdos con ISPs o consentimiento explícito y revocable opera dentro de la ley. El delito está en reclutar dispositivos ajenos sin divulgación, no en usar un proxy.
¿Cómo sé si mi Smart TV forma parte de una botnet de proxies?
Synthient mantiene una página que indica si tu IP pública figura en sus registros de nodos de proxy. El FBI publicó además una guía para evitar que los dispositivos domésticos se conviertan en herramientas de terceros. Como norma: usa marcas reconocidas con Android TV certificado y sé muy selectivo con las apps que instalas.
¿Cómo sé si mi proveedor de proxies revendía NetNut?
Pregúntaselo por escrito. Google indicó que muchas marcas conocidas revendían NetNut bajo marca blanca, así que la marca de tu factura no garantiza nada. Si tu servicio sufrió degradación o cortes durante la primera semana de julio de 2026, es un indicio fuerte.
¿Qué pasa con el saldo prepago que tenía en NetNut?
Los fondos y contratos vigentes quedaron congelados por las acciones judiciales. La recuperación depende del procedimiento legal en curso y no hay plazo previsible. Es un argumento práctico para evitar concentrar saldo prepago en un único proveedor.
¿Afecta esto a mis proyectos de web scraping?
Solo si dependían de infraestructura contaminada. Extraer datos públicos sigue siendo legal y está respaldado por jurisprudencia como hiQ vs. LinkedIn. Lo que este caso pone en cuestión es la capa de infraestructura, no la práctica.
Fuentes
- KrebsOnSecurity. FBI Seizes NetNut Proxy Platform, Popa Botnet. 2 de julio de 2026. https://krebsonsecurity.com/2026/07/fbi-seizes-netnut-proxy-platform-popa-botnet/
- KrebsOnSecurity. Popa Botnet Linked to Publicly-Traded Israeli Firm. 18 de junio de 2026. https://krebsonsecurity.com/2026/06/popa-botnet-linked-to-publicly-traded-israeli-firm/
- Google Threat Intelligence Group. Google Continued Disruption of Residential Proxy Networks. 2 de julio de 2026. https://cloud.google.com/blog/topics/threat-intelligence/google-continued-disruption-residential-proxy-networks
- Synthient. Popa: From Sourcing to Distribution. Junio de 2026. https://synthient.com/blog/popa-from-sourcing-to-distribution
- Spur. Smart TV Apps and Residential Proxy SDKs. Junio de 2026. https://spur.us/blog/smart-tv-apps-residential-proxy-sdks
- Infosecurity Magazine. FBI, Google Take Down NetNut Proxy Network Used by Cyber Threat Actors. 3 de julio de 2026. https://www.infosecurity-magazine.com/news/fbi-google-take-down-netnut-proxy/
- GovInfoSecurity. FBI Disrupts Widely Used NetNut Residential Proxy Service. 3 de julio de 2026. https://www.govinfosecurity.com/fbi-disrupts-widely-used-netnut-residential-proxy-service-a-32154
- FBI. Evading Residential Proxy Networks: Protecting Your Devices. 2026. https://www.fbi.gov/investigate/cyber/alerts/2026/evading-residential-proxy-networks-protecting-your-devices-from-becoming-a-tool-for-criminals
- TechSpot. The FBI and Google just took down a botnet that hijacked 2 million smart TVs. Julio de 2026. https://www.techspot.com/news/113021-fbi-google-took-down-botnet-hijacked-2-million.html
