Google et le FBI viennent de démanteler le botnet de proxies résidentiels de NetNut : voici ce que cela signifie pour l'industrie

Aujourd'hui, le groupe Threat Intelligence de Google a annoncé qu'il travaillait avec le FBI, Lumen et d'autres partenaires pour démanteler le réseau de proxies résidentiels NetNut. NetNut, également connu sous le nom de « Popa », est un botnet qui a pris le contrôle de plus de deux millions d'appareils grand public dans le monde entier. Cela intervient seulement six mois après le démantèlement du réseau de proxies IPIDEA par Google en janvier 2026.

Le message est plutôt clair : si votre infrastructure de proxies s'exécute sur des appareils compromis, vous vivez sur du temps emprunté.

Chez FlashProxy, nous pensons que cette répression était bien due.

Ce qui s'est réellement passé

Google a fermé les comptes et services cloud que NetNut utilisait pour le contrôle des malwares. Il a partagé les renseignements techniques sur les SDK et l'infrastructure backend de NetNut avec les forces de l'ordre et les fournisseurs de plates-formes, et s'est assuré que Google Play Protect bloque maintenant toute application contenant le code de NetNut. Le résultat est que des millions d'appareils ont été coupés du réseau de NetNut.

Mais comment NetNut a-t-il créé un réseau de deux millions d'appareils en premier lieu ? En distribuant des SDK ciblant les appareils domestiques courants comme les téléviseurs intelligents et les boîtiers de diffusion en continu. Certains de ces appareils étaient pré-chargés avec des malwares de proxies avant même de quitter l'usine. D'autres ont été infectés après que les utilisateurs aient installé des applications contenant le code de NetNut caché à l'intérieur. Dans les deux cas, les propriétaires de ces appareils ignoraient que leurs connexions Internet domestiques étaient vendues comme des sorties de proxies commerciaux.

Pour vous donner une idée de l'ampleur : en une seule semaine en juin 2026, Google a observé plus de 300 groupes de menaces distincts routant le trafic via les nœuds de sortie de NetNut suspectés. Cela inclut des groupes de cybercriminels et des opérations d'espionnage parrainées par un État utilisant ces adresses IP pour couvrir leurs traces, s'introduire dans des environnements victimes et mener des attaques par remplissage d'identifiants.

Le problème de la revente est plus important que NetNut

La partie la plus importante du rapport de Google ne concerne pas NetNut seul. C'est à propos de la profondeur de la pourriture.

Google a déclaré avec un degré de confiance élevé que de nombreuses marques populaires de proxies résidentiels font de la revente du botnet NetNut. En termes simples : elles revendent l'accès à un réseau d'appareils détournés sous leur propre marque, et leurs clients n'en ont aucune idée.

C'est ainsi que fonctionne véritablement le marché souterrain des proxies résidentiels. Quand le botnet d'un fournisseur s'est dégradé, que ce soit à cause d'une répression judiciaire, d'un blocage d'ISP ou simplement d'appareils qui se déconnectent, ils ne ferment pas. Ils achètent de la capacité auprès d'autres botnets et continuent à vendre. Tout le monde devient revendeur de tout le monde. L'ensemble de l'écosystème est entrelacé.

Ce que cela signifie pour les entreprises qui achètent des proxies résidentiels est simple : le nom de la marque sur votre tableau de bord n'a peut-être rien à voir avec l'endroit où votre trafic se rend réellement.

Pourquoi les acheteurs de proxies devraient s'en soucier

Si vous utilisez des proxies résidentiels pour le web scraping, la vérification des annonces, l'étude de marché ou l'intelligence concurrentielle, voici pourquoi cela vous intéresse directement.

Vous pourriez avoir une exposition juridique. Quand votre trafic route via des appareils qui ont été inscrits sans le consentement du propriétaire, vous faites partie d'une chaîne qui commence par un accès non autorisé au matériel grand public. « Je ne savais pas que mon fournisseur utilisait des téléviseurs intelligents infectés par des malwares » n'est pas une solide défense juridique, et elle s'affaiblit à mesure que les régulateurs accordent plus d'attention à ce secteur.

Votre infrastructure est fragile. Les réseaux alimentés par des botnets sont par nature instables. Ils dépendent d'appareils qui restent en ligne, qui restent infectés et qui ne se nettoient pas. Google vient de prouver, pour la deuxième fois en six mois, qu'il peut dégrader ces réseaux à grande échelle. Si votre entreprise dépend de l'accès aux proxies résidentiels, vous ne voulez pas construire au-dessus d'un botnet.

Vos adresses IP ont des antécédents. Le rapport de Google relie directement les botnets de proxies résidentiels aux groupes d'espionnage, l'infrastructure de DDoS et les campagnes de remplissage d'identifiants. Si le réseau de votre fournisseur chevauche le leur, les adresses IP que vous utilisez ont cet historique attaché. Cela signifie des taux de blocage plus élevés, plus de CAPTCHA et le risque de figurer dans les bases de données de renseignements sur les menaces aux côtés des véritables acteurs de la menace.

Comment FlashProxy fait les choses différemment

FlashProxy n'a jamais exploité de botnet. Nous n'avons jamais distribué de SDK conçus pour inscrire silencieusement des appareils grand public dans notre réseau, et cela ne va pas changer.

Notre infrastructure de proxies résidentiels est construite sur un approvisionnement basé sur le consentement. Chaque appareil de notre réseau participe volontairement, avec une transparence complète sur ce que le logiciel fait et comment la bande passante est utilisée. Ce n'est pas du langage de marketing. C'est une décision architecturale fondamentale qui façonne la manière dont nous intégrons les partenaires du côté de l'approvisionnement et la manière dont nous structurons nos accords de SDK.

Nous exploitons également une infrastructure diversifiée couvrant les proxies résidentiels, datacenter, ISP, mobiles et IPv6 dans plus de 190 pays. Nos clients ne dépendent pas d'un seul réseau résidentiel qui pourrait être anéanti par une opération judiciaire, car notre réseau n'est pas construit sur des appareils compromis.

Quand Google avertit les consommateurs d'être « extrêmement prudents » avec les applications qui offrent un paiement pour « la bande passante inutilisée » ou « le partage de votre Internet », ils décrivent un modèle d'approvisionnement dont nous nous sommes volontairement éloignés. Nous construisons pour la durabilité à long terme et la conformité, pas pour l'expansion à tout prix.

Et ensuite

Google a clairement indiqué que ce n'était pas une opération ponctuelle. Le démantèlement d'IPIDEA en janvier et l'opération NetNut d'aujourd'hui font partie d'une tendance, et ils ont dit que d'autres perturbations arrivent. Ils ont également appelé les plates-formes mobiles, les ISP et les entreprises technologiques à partager les renseignements et à prendre des mesures contre l'infrastructure malveillante des proxies.

Voici ce que nous nous attendons à voir :

Des questions plus difficiles de la part des acheteurs. Les clients de proxies d'entreprise vont commencer à demander d'où les adresses IP proviennent réellement. Les fournisseurs qui ne peuvent pas démontrer un approvisionnement basé sur le consentement vont perdre des marchés face à ceux qui le peuvent.

Consolidation du marché. À mesure que les réseaux de botnets se dégradent, les petits opérateurs qui revendaient cette capacité vont soit fermer, soit se précipiter pour trouver de nouvelles sources. Le marché va se consolider autour des fournisseurs ayant une infrastructure légitime.

Plus de pression réglementaire. Le FBI a co-dirigé cette opération. Cela vous dit que les botnets de proxies sont traités comme un problème d'infrastructure criminelle, pas seulement comme une nuisance de sécurité. La réglementation suivra.

Efficacité décroissante des proxies de botnet. Les bases de données de réputation des adresses IP signalent déjà les nœuds de sortie des proxies résidentiels. À mesure que plus de renseignements sont partagés, les proxies alimentés par des botnets verront des taux de blocage plus élevés, une empreinte digitale plus lourde et moins de valeur pour les personnes qui les utilisent.

Comment évaluer votre fournisseur de proxies après aujourd'hui

Si cette nouvelle vous donne envie d'examiner de plus près auprès de qui vous achetez des proxies, voici les questions qui méritent une réponse :

Comment le fournisseur approvisionne-t-il ses adresses IP résidentielles ? Si vous obtenez des réponses vagues sur les « réseaux pair-à-pair » ou les « communautés de partage de bande passante » sans aucune documentation réelle du consentement éclairé, cela devrait vous préoccuper.

Peuvent-ils prouver que les participants du côté de l'approvisionnement se sont inscrits en connaissance de cause ? Le vrai consentement signifie plus qu'une clause enterrée dans les conditions d'utilisation d'une application. Cela signifie que l'utilisateur comprend qu'il partage son adresse IP et sa bande passante avec un réseau de proxies commercial.

Exploitent-ils leur propre infrastructure ou font-ils de la revente ? Le rapport de Google rend clair que la revente est omniprésente. Si votre fournisseur ne peut pas vous dire exactement où votre trafic route, il y a de bonnes chances qu'ils ne le sachent pas non plus.

Comment réagissent-ils à la nouvelle d'aujourd'hui ? Le silence en dit long. Les fournisseurs ayant une infrastructure propre n'ont aucune raison d'éviter cette conversation.

Nous sommes heureux de répondre à toutes ces questions pour quiconque évalue FlashProxy. Quand votre infrastructure est construite de la bonne manière, la transparence n'est pas un risque.