Une vaste opération coordonnée par le FBI, en partenariat avec Google, Lumen et d’autres acteurs du secteur, visait à perturber le réseau de proxys résidentiels NetNut, l’un des plus importants du monde. Selon nos confrères de FrenchBreaches, cette intervention a mis en lumière un détail embarrassant : les autorités américaines ont saisi le mauvais nom de domaine lors de l’opération, alors que le service commercial de NetNut, accessible via netnut.io, est resté opérationnel. Une erreur qui a rapidement suscité des réactions dans la communauté de la cybersécurité.

Ce qu'il faut retenir

  • Le FBI a mené une opération conjointe avec Google et Lumen contre le réseau de proxys résidentiels NetNut, l’un des plus importants au monde.
  • Les autorités ont saisi par erreur le domaine netnut.com au lieu de netnut.io, permettant au service de continuer à fonctionner.
  • Google affirme avoir désactivé des milliers de comptes liés à NetNut et réduit de plusieurs millions le nombre d’appareils compromis.
  • NetNut est une filiale de la société israélienne Alarum Technologies, qui a confirmé avoir été informée par le FBI.
  • Cette opération s’inscrit dans une série de démantèlements ciblant les réseaux de proxys malveillants, interconnectés entre eux.
  • Google indique avoir observé 316 clusters de menaces distincts utilisant des nœuds NetNut en juin 2026.

Une opération d’envergure contre un réseau de proxys résidentiels malveillants

Le FBI a coordonné une opération d’envergure visant à démanteler l’infrastructure technique de NetNut, un fournisseur de proxys résidentiels largement utilisé par des cybercriminels pour masquer leurs activités. Cette intervention, menée avec le soutien de Google, Lumen et plusieurs autres partenaires, avait pour objectif de perturber un réseau comptant au moins deux millions d’appareils compromis dans le monde, selon les estimations de Google Threat Intelligence Group (GTIG). L’entreprise précise que cette action s’inscrit dans une campagne plus large visant à démanteler les principaux réseaux de proxys résidentiels malveillants.

Une erreur de saisie qui a attiré l’attention de la communauté cybersécurité

Peu après l’annonce officielle de la saisie du domaine netnut.com, plusieurs chercheurs en cybersécurité ont rapidement remarqué que le service commercial de NetNut était toujours accessible via netnut.io. Cette confusion a alimenté de nombreux commentaires sur les réseaux sociaux, certains qualifiant cette erreur de l’un des ratés les plus embarrassants du FBI en matière de saisie de domaine. Malgré cette erreur, les autorités n’ont pas remis en cause l’ensemble de l’opération, qui visait principalement à perturber l’infrastructure technique de NetNut.

Les mesures prises par Google pour affaiblir le réseau NetNut

Selon Google, cette opération a permis de désactiver plusieurs comptes utilisés comme infrastructure de commande et contrôle (C2), de partager des renseignements techniques avec les forces de l’ordre et les entreprises de cybersécurité, et de renforcer les protections de Google Play Protect pour bloquer automatiquement les applications intégrant des composants malveillants de NetNut. L’entreprise affirme avoir contribué à perturber significativement le fonctionnement du réseau, réduisant de plusieurs millions le nombre d’appareils disponibles pour les opérateurs du réseau.

Qu’est-ce qu’un proxy résidentiel et pourquoi est-il utilisé à des fins malveillantes ?

Un proxy résidentiel permet à un utilisateur de faire transiter son trafic Internet via l’adresse IP d’un particulier. Si cette technologie possède des usages légitimes, comme les tests de géolocalisation ou la collecte de données publiques, elle est également très recherchée par les cybercriminels pour masquer l’origine de leurs attaques. Selon Google, le réseau NetNut compterait au moins deux millions d’appareils compromis répartis dans le monde. Ces infrastructures reposent sur l’infection de nombreux appareils domestiques, tels que des téléviseurs connectés, des box multimédias, des smartphones ou des objets connectés. Une fois compromis, ces appareils deviennent des nœuds de sortie permettant à d’autres utilisateurs de faire transiter leur trafic Internet via leur connexion.

Les risques pour les particuliers et les entreprises

Lorsqu’un appareil domestique devient un proxy résidentiel à l’insu de son propriétaire, plusieurs risques apparaissent. Les cybercriminels peuvent utiliser cette connexion pour masquer leurs attaques, réaliser des campagnes de phishing, mener des attaques par force brute, accéder à des infrastructures compromises ou lancer des attaques par déni de service distribué (DDoS). Dans certains cas, le trafic malveillant semble provenir directement du domicile de la victime, ce qui peut entraîner le blocage de son adresse IP ou attirer l’attention des fournisseurs d’accès. Google indique avoir observé 316 clusters de menaces distincts utilisant des nœuds de sortie NetNut au cours d’une seule semaine de juin 2026.

Une opération qui s’inscrit dans une série de démantèlements

Cette intervention fait suite à une précédente opération menée par Google en janvier 2026 contre le réseau IPIDEA, un autre fournisseur de proxys résidentiels malveillants. Le groupe explique que ces réseaux sont fortement interconnectés : lorsqu’un opérateur perd une partie de son infrastructure, il lui arrive fréquemment de louer les capacités de réseaux concurrents pour poursuivre ses activités. Selon Google, seule une stratégie coordonnée visant simultanément plusieurs infrastructures permettra d’affaiblir durablement cet écosystème. Cette approche vise à empêcher les opérateurs de reconstruire rapidement leur réseau ou de s’appuyer sur des réseaux concurrents.

Alarum reconnaît avoir été informé par le FBI

NetNut est une filiale de la société israélienne Alarum Technologies. Interrogée par Reuters, l’entreprise indique avoir été informée par le FBI de la saisie de certains noms de domaine. Alarum affirme prendre cette affaire très au sérieux et déclare coopérer pleinement avec les autorités pour identifier tout usage abusif éventuel de son infrastructure. Cette coopération pourrait permettre de mieux comprendre l’ampleur des activités malveillantes liées au réseau NetNut et d’identifier les responsables derrière ces opérations.

Et maintenant ?

L’efficacité réelle de cette opération pourra être évaluée dans les prochaines semaines. Les opérateurs de réseaux de proxys résidentiels ont souvent démontré leur capacité à reconstruire rapidement leur infrastructure ou à s’appuyer sur des réseaux concurrents. Les autorités et les acteurs du secteur devront donc maintenir une surveillance accrue pour évaluer l’impact de cette intervention et ajuster leurs stratégies si nécessaire.

Cette opération illustre les défis auxquels sont confrontées les autorités dans la lutte contre les réseaux de proxys malveillants, souvent interconnectés et capables de se reconstruire rapidement. Les prochains mois seront déterminants pour mesurer l’impact de cette intervention et évaluer si une approche coordonnée entre les acteurs publics et privés peut permettre de démanteler durablement ces infrastructures.

Un proxy résidentiel permet de faire transiter le trafic Internet via l’adresse IP d’un particulier. Bien que cette technologie ait des usages légitimes, comme les tests de géolocalisation, elle est aussi exploitée par les cybercriminels pour masquer l’origine de leurs attaques, réalisant des campagnes de phishing, des attaques par force brute ou des attaques DDoS.