O rețea de tip botnet de amploare, cunoscută sub numele Popa, a operat timp de patru ani fără a fi atribuită public unui actor identificabil. Cercetătorii din mai multe firme de securitate cibernetică au reușit în cele din urmă să o conecteze la NetNut, un furnizor de proxy rezidențial operat de compania israeliană Alarum Technologies Ltd, listată la bursa NASDAQ sub simbolul ALAR.

Botnet-ul Popa a infectat milioane de dispozitive Android de tip set-top box, adică acele echipamente utilizate de consumatori pentru a accesa conținut de televiziune prin internet. Aceste dispozitive, odată compromise, erau folosite pentru a releu trafic de internet asociat unor activități cu grad ridicat de periculozitate, printre care frauda publicitară la scară largă, preluarea neautorizată a conturilor utilizatorilor și extragerea masivă de date de pe platforme online. Caracterul insidios al atacului constă în faptul că proprietarii dispozitivelor infectate nu aveau nicio cunoștință despre utilizarea abuzivă a conexiunii lor la internet.

Modelul de business al proxy-urilor rezidențiale se bazează pe direcționarea traficului internet prin adresele IP ale utilizatorilor obișnuiți, ceea ce face ca activitatea malițioasă să pară legitimă din perspectiva platformelor vizate. Atunci când o astfel de infrastructură este construită pe baza unor dispozitive infectate fără consimțământul proprietarilor, granița dintre un serviciu comercial și o operațiune cibernetică ilegală devine extrem de subțire. Cazul Popa ridică întrebări serioase despre responsabilitatea juridică și etică a companiilor care comercializează acces la astfel de rețele, indiferent de statutul lor bursier sau de jurisdicția în care operează.

Cercetătorii au subliniat că atribuirea acestui botnet unei entități comerciale publice reprezintă un precedent semnificativ în industria securității cibernetice. De regulă, operatorii de botnet-uri sunt actori anonimi sau grupuri de criminalitate organizată. Faptul că o companie tranzacționată public pe o bursă majoră poate fi asociată cu o infrastructură de acest tip demonstrează că amenințările cibernetice nu provin exclusiv din zone obscure ale internetului, ci pot implica actori economici integrati în circuite financiare legitime.

Pentru organizațiile din România, acest caz are mai multe implicații practice directe. În primul rând, dispozitivele Android low-cost de tip TV box sunt prezente în multe rețele de acasă ale angajaților care lucrează în regim hibrid sau remote, putând reprezenta un vector de intrare în rețelele corporative. În al doilea rând, companiile care utilizează servicii de proxy rezidențial pentru activități de cercetare de piață sau scraping de date trebuie să verifice cu rigurozitate proveniența traficului pe care îl achiziționează. Departamentele IT și echipele de securitate sunt sfătuite să inventarieze dispozitivele conectate la rețelele organizației, să aplice politici stricte de segmentare a rețelei și să monitorizeze traficul de ieșire neobișnuit care ar putea indica prezența unui nod de proxy instalat fără autorizație.