2 millions de Français risquent d’avoir leur box TV transformée en outil de cybercriminels

Google vient de frapper fort contre un vaste réseau de proxies résidentiels malveillants. En partenariat avec le FBI et d’autres acteurs, le géant de la tech a perturbé NetNut, une infrastructure qui exploitait plus de deux millions d’appareils Android à travers le monde, notamment des téléviseurs et des boîtiers de streaming. L’opération marque une nouvelle étape dans la lutte contre les botnets utilisés par les cybercriminels.

Comment les appareils ont été détournés à grande échelle

Les pirates ont principalement infecté les équipements via des applications modifiées ou des malwares préinstallés, comme la variante Badbox 2.0. Une fois compromis, ces appareils grand public servaient de relais anonymes : leurs adresses IP étaient louées à d’autres malfaiteurs pour dissimuler des activités illicites, depuis des fraudes en ligne jusqu’à des campagnes d’espionnage. Des liens ont été établis avec des botnets comme Popa et Vo1d, qui touchent surtout des boîtiers TV Android non officiels. En une seule semaine, pas moins de 316 groupes criminels ont exploité cette infrastructure.

La riposte coordonnée de Google et des autorités

Pour neutraliser NetNut, Google a désactivé les comptes et services associés, puis transmis des renseignements techniques précis au FBI, à Lumen Technologies et à la fondation Shadowserver. L’entreprise a également renforcé son système Play Protect, qui bloque désormais automatiquement les applications liées à ce réseau proxy. Cette action a réduit de plusieurs millions le nombre d’appareils disponibles pour les opérateurs du botnet. Il s’agit de la suite logique d’une précédente opération menée en janvier 2026 contre Ipidea, qui avait libéré neuf millions de terminaux compromis.

Les réactions et la suite des enquêtes

Alarum Technologies, société israélienne derrière NetNut, affirme que son service repose sur un partage volontaire de bande passante avec consentement des utilisateurs et des vérifications d’identité. Ces affirmations sont toutefois contestées par des experts indépendants, qui soulignent qu’un accès proxy pouvait s’obtenir sans contrôles rigoureux. L’entreprise indique coopérer avec les autorités tout en menant ses propres investigations internes. La saisie de centaines de domaines par le FBI en juillet 2026 confirme l’ampleur de l’opération en cours.