Muchas aplicaciones gratuitas de streaming pirata (instaladas en algunos televisores y cajas Android) esconden un pequeño programa que convierte estos dispositivos en una puerta de entrada a la conexión de casa. Eso permite a personas y empresas de cualquier parte del mundo hacer pasar su tráfico por tu conexión a internet. Quien reciba ese tráfico (una web, una tienda online, un banco) verá tu dirección IP, no la de quien realmente está detrás.
Este mercado tiene un nombre, proxies residenciales, y se vende como un servicio legal: las empresas que lo ofrecen alquilan millones de conexiones domésticas a clientes que, en teoría, las usan para tareas comerciales, como comprobar precios desde distintos países. El problema, según una serie de investigaciones de la organización de seguridad digital Qurium Media Foundation, es doble: buena parte de esas conexiones se consiguen sin que sus dueños lo sepan, y buena parte del tráfico que circula por ellas no tiene nada de inocente.
Qurium empezó a tirar del hilo cuando la web de una organización de periodismo de investigación jordana recibió, en apenas un día, una avalancha de visitas automatizadas desde 1,35 millones de direcciones de internet de todo el mundo. Siguiendo el rastro, los investigadores encontraron un componente oculto, conocido en la comunidad de seguridad como «Popa», instalado en decenas de aplicaciones populares que ofrecen contenido sin licencias de distribución para ver deporte y películas gratis, como CRICFy, DooFlix o Sportzfy, y hasta en una versión manipulada de SmartTube, una conocida app para ver YouTube en televisores Android. El programa no pide permiso al usuario, y Google estima que la red llegó a incluir más de dos millones de dispositivos en todo el mundo.
Detrás de todo eso, según las conclusiones de Qurium, está la empresa israelí NetNut, que pertenece al grupo cotizado en bolsa Alarum Technologies. Qurium llegó hasta ella siguiendo el rastro de las sociedades que gestionaban la infraestructura, una de las cuales estaba registrada a nombre de un cofundador de NetNut. En respuesta a los investigadores, la compañía rechaza las acusaciones y sostiene que estos hallazgos son inexactos y que su software solo funciona con el consentimiento de los usuarios.
Qurium, que denomina a esta operación Nutcracker (cascanueces, en inglés), comprobó qué sucedía con las conexiones “prestadas” haciendo que sus propios dispositivos formaran parte de la red. Tras hacerlo, recibió millones de peticiones relacionadas con publicidad, apuestas, criptomonedas y compra masiva de entradas (incluidas entradas del Mundial de fútbol de 2026), además de campañas de correos fraudulentos que podrían utilizarse en actividades maliciosas o de fraude.
«Los operadores afirman que obtienen su infraestructura de forma ética, pero nosotros podemos demostrar que los dispositivos se captan mediante puertas traseras escondidas en aplicaciones, por ejemplo en servicios de streaming gratuito», explica a La Marea Tord Lundström, director ejecutivo de Qurium. Y no se trataría de excepciones. «Todo lo que hemos registrado proveniente de estas redes son actividades enormemente abusivas».
¿Qué puedo hacer yo?
Poca cosa, más allá de no entrar en el juego. «Los usuarios deberían pensárselo dos veces antes de descargar aplicaciones y servicios gratuitos para evitar pagar», advierte Lundström. «Lo mismo aplica a los dispositivos que dan acceso a canales de pago: lo más probable es que tengan una puerta trasera», añade. Detectar la infección por cuenta propia, admite, está fuera del alcance del usuario medio. Tras estos hallazgos Google ha configurado su sistema de protección de Android, Play Protect, para avisar y desactivar las aplicaciones afectadas.
Asimismo, Google anunció el desmantelamiento de las cuentas que controlaban la red el pasado 2 de julio. Ese mismo día, el FBI incautó sus dominios principales, en los que ahora aparece un aviso de decomiso. Tras esta operación, Alarum emtió un comunicado. La compañía asegura que se toma este asunto muy en serio y que cooperará plenamente con las autoridades para garantizar que cualquier uso debido de su infraestrudcdtura sea investigado a fondo y que los responsables rindan cuentas.
Qurium, que sigue la actividad de la red en tiempo real, vio cómo desde ese momento se desplomaba su tráfico a medida que se desmantelaban muchas de sus cuentas, pero advierte de que no es un apagón total. Por el momento, es solo una «victoria simbólica»: buena parte de la infraestructura sigue activa y NetNut no es la única empresa en este negocio. «Necesitamos una rendición de cuentas real. Muchos de estos proveedores son conocidos por la comunidad de investigación, pero se ha tomado poca o ninguna acción contra ellos», argumenta.
Actualización: 13.15h
La entrada Tu TV Box podría estar prestando tu conexión a delincuentes sin que lo sepas se publicó primero en lamarea.com.
