Wanneer uw smart-tv in het geheim als dekmantel voor criminelen dient

Google heeft het NetNut-proxynetwerk, ook bekend als Popa, samen met de FBI, netwerkexploitant Lumen en andere partners buiten werking gesteld. Wat deze zaak bijzonder maakt, is dat deze gevolgen heeft voor gewone huishoudens. Een groot deel van de gehackte apparaten bestaat uit smart-tv’s en streamingboxen in particuliere huishoudens. Volgens een schatting van de Google Threat Intelligence Group van het https://cloud.google.com/blog/topics/threat-intelligence/google-continued-disruption-residential-proxy-networksomvatte NetNut wereldwijd ten minste twee miljoen apparaten.

Wat een proxynetwerk met uw tv te maken heeft

Een residentieel proxynetwerk verkoopt de mogelijkheid om verkeer via de IP-adressen van gewone internetverbindingen thuis te routeren. Criminelen gebruiken dit om hun herkomst te verbergen achter een onopvallend residentieel IP-adres. Om dit te laten werken, moet er op zoveel mogelijk apparaten in huishoudens een stukje code worden uitgevoerd, waardoor deze apparaten in exit-knooppunten worden omgevormd. Die code komt via zogenaamde SDK’s terecht op apparaten die in veel huishoudens te vinden zijn, met name smart-tv’s en streamingboxen, zoals KrebsOnSecurity in eigen onderzoek heeft gedocumenteerd. De malware bereikt een apparaat op een van twee manieren. Ofwel is deze al vóór aankoop vooraf geïnstalleerd, ofwel downloaden gebruikers zonder het te weten een app met verborgen proxycode.

Waarom dit gevaarlijk is voor de getroffenen

Als uw eigen apparaat een exit-node wordt, loopt het verkeer van anderen via uw thuisverbinding. Uw eigen IP-adres kan vervolgens worden gebruikt als uitvalsbasis voor aanvallen, wachtwoordaanvallen of fraude. Voor de getroffenen betekent dit dat hun eigen legitieme verkeer door een provider als verdacht kan worden aangemerkt of geblokkeerd. Aanvallers kunnen het gekaapte knooppunt ook gebruiken om toegang te krijgen tot andere apparaten op hetzelfde thuisnetwerk. In één week in juni 2026 telde Google 316 verschillende groepen aanvallers die gebruik maakten van NetNut-knooppunten, waaronder cybercriminelen en spionageactoren. Beveiligingsbedrijven zoals Synthient, Spur en Nokia Deepfield hebben eveneens gedocumenteerd dat NetNut werd gebruikt om apparaten te infecteren met varianten van het Mirai DDoS-botnet.

Wat Google heeft ondernomen

Google heeft de accounts en diensten geblokkeerd die NetNut gebruikte om zijn malware te beheren, en heeft technische details over de SDK’s en de infrastructuur gedeeld met autoriteiten en beveiligingsbedrijven. Google Play Protect, het ingebouwde beveiligingssysteem v Android, waarschuwt gebruikers nu automatisch voor apps die NetNut-code bevatten en schakelt deze uit. Volgens Google heeft dit het beschikbare aantal apparaten met miljoenen verminderd. Dit is echter geen zelfvoorzienende oplossing. NetNut heeft een resellerprogramma waarmee andere aanbieders hetzelfde botnet onder hun eigen naam kunnen doorverkopen. Google verwacht dat exploitanten capaciteit bij concurrenten zullen inkopen zodra hun eigen netwerk verzwakt.

Hoe u uw apparaten kunt beschermen

Wees voorzichtig met apps die geld beloven voor het delen van ongebruikte bandbreedte. Dat is precies hoe dit soort netwerken groeien. Google raadt aan om uitsluitend officiële app-winkels te gebruiken, de machtigingen van VPN- en proxy-apps van derden te controleren en Play Protect ingeschakeld te houden. Bij de aankoop van streamingboxen of settopboxen dient u te kiezen voor gerenommeerde fabrikanten. Of een Android -apparaat Play Protect-gecertificeerd is, kunt u rechtstreeks bij Google controleren. Voor tv’s vindt u op de website Android TV een overzicht van gecertificeerde partners.