Hogares inteligentes al servicio de los hackers: ya controlan 20 millones de dispositivos domésticos

Los dispositivos domésticos convencionales cada vez son más parte de una infraestructura oculta que ayuda a los delincuentes a enmascarar ataques como tráfico de Internet normal. Los especialistas de Black Lotus Labs de la empresa Lumen detectaron que el ecosistema de redes de proxies residenciales maliciosos se ha convertido en un gran sistema interconectado por el que circulan millones de direcciones IP de dispositivos comprometidos en todo el mundo.

Los proxies residenciales permiten encaminar el tráfico a través de dispositivos reales de usuarios, no a través de servidores de centros de datos. Gracias a esto, los delincuentes evaden bloqueos por reputación de direcciones IP, restricciones geográficas y mecanismos de protección contra intentos masivos de inicio de sesión. Estas redes se usan para fraude, ataques de fuerza bruta contra contraseñas, escaneos y otros ataques.

Black Lotus Labs rastrea más de 30 botnets de proxies maliciosos y observa a diario casi 20 millones de direcciones IP únicas relacionadas con esta infraestructura. Más de 20 redes cuentan regularmente con más de 100.000 dispositivos infectados por día, y algunos operadores han conseguido acceso a millones de nodos.

Los enrutadores infectados, dispositivos IoT, decodificadores de TV y dispositivos móviles juegan un papel principal en la expansión de estas redes. Los operadores usan malware, instalaciones ocultas de aplicaciones y componentes de SDK que añaden dispositivos a las redes proxy sin el conocimiento de los propietarios. Como resultado, un teléfono inteligente o un enrutador doméstico puede empezar a enrutar tráfico ajeno.

Los especialistas estudiaron por separado un caso de robo de datos de tarjetas bancarias. El atacante, que obtuvo acceso a una base con más de 2.000 registros vigentes de tarjetas bancarias, utilizó servicios de proxy para seleccionar direcciones IP adecuadas. El sistema elegía direcciones en los países necesarios e incluso en estados concretos de EE. UU., para que las operaciones fraudulentas parecieran acciones de usuarios locales.

Entre las grandes redes los especialistas destacaron IPIDEA, Jaguar, Kookeey, NetNut y G3Proxy. Por ejemplo, tras la intervención de Google en la operación de IPIDEA a principios de 2026, la red perdió parte de su infraestructura, pero se recuperó en unos meses gracias a sus vínculos con otros proveedores de proxy. A principios de julio de 2026, IPIDEA volvió a superar su tamaño anterior y alcanzó casi 10 millones de direcciones IP diarias.

El problema principal es que estos servicios funcionan como una cadena de suministro única. Un operador puede vender acceso a dispositivos que él mismo ha infectado y al mismo tiempo revender proxies de terceros. Por eso, desconectar un botnet aislado rara vez produce un resultado a largo plazo: los demás participantes reponen rápidamente el grupo con nuevas direcciones.

Para reducir el riesgo se recomienda a las organizaciones no confiar en inicios de sesión desde direcciones IP domésticas, proteger los recursos en la nube frente a intentos sospechosos de autorización, bloquear indicadores conocidos de compromiso y cerrar las interfaces externas de administración de los equipos de red.

A los propietarios de dispositivos domésticos se les aconseja instalar regularmente las actualizaciones de seguridad, reiniciar los routers, evitar decodificadores de TV sospechosos y sustituir los dispositivos después del fin del soporte por parte del fabricante.