Google desmantela una red de cibercriminales
Esta semana, el equipo de inteligencia de amenazas de Google ejecutó una operación para desmantelar la mayor red de proxies residenciales del mundo, conocida como IPIDEA. Esta infraestructura, poco conocida fuera de los círculos de ciberseguridad, desempeña un papel crucial en el ecosistema del cibercrimen.
Los proxies residenciales funcionan de manera diferente a los servidores convencionales. Se instalan en dispositivos como televisores inteligentes, teléfonos o routers, permitiendo a los atacantes enmascarar su actividad detrás de conexiones que parecen legítimas. Esto dificulta enormemente la detección y el bloqueo. En lugar de enrutar el tráfico a través de centros de datos fácilmente identificables, utilizan direcciones IP asignadas a hogares y pequeños negocios.
Operaciones de IPIDEA y sus implicaciones
Para mantener una red de este tipo, se requieren millones de direcciones IP residenciales, preferiblemente de países como Estados Unidos, Canadá o Europa. Los operadores de IPIDEA lograban esto de dos maneras: preinstalando el software en dispositivos o engañando a usuarios para descargar aplicaciones con código oculto. Algunos usuarios también instalan este software voluntariamente, atraídos por la promesa de ingresos por compartir su ancho de banda.
La investigación de Google reveló que, aunque los operadores destacan los beneficios para la privacidad y la libertad de expresión, la realidad es muy diferente. En solo siete días de enero de 2026, se detectaron más de 550 amenazas que utilizaban direcciones IP de IPIDEA, incluyendo grupos de ciberdelincuentes de China, Corea del Norte, Irán y Rusia.
Impacto y riesgos para los usuarios
Las actividades observadas iban desde accesos no autorizados a entornos empresariales hasta ataques de fuerza bruta contra gestores de contraseñas. Google identificó también que muchos programas de proxy y VPN aparentemente independientes estaban controlados por los mismos actores detrás de IPIDEA.
Estos operadores controlan kits de desarrollo de software (SDK) que se integran en aplicaciones existentes. Los desarrolladores reciben pagos por descarga, convirtiendo los dispositivos de los usuarios en nodos de salida para la red de proxies. Google identificó más de 600 aplicaciones de Android conectadas a la infraestructura de IPIDEA, principalmente utilidades y juegos.
Consecuencias y recomendaciones
Los bloqueos de Google han reducido en millones el número de dispositivos disponibles para los operadores de esta red clandestina. No obstante, los consumidores cuyos dispositivos forman parte de estas redes enfrentan riesgos significativos. Además de proporcionar involuntariamente su dirección IP para actividades ilícitas, el software introduce vulnerabilidades de seguridad en los dispositivos.
A pesar de los esfuerzos de Google, IPIDEA todavía tiene acceso a dispositivos en todo el mundo. La compañía advierte que instalar aplicaciones que ofrecen pagos por «ancho de banda no utilizado» es siempre peligroso. Para dispositivos conectados como decodificadores de televisión, recomienda comprar únicamente a fabricantes reconocidos.
