Tu smart TV podría estar alquilando tu conexión a internet

La firma de investigación en seguridad Spur encontró SDK de proxy residencial integrados en el 42 % de las aplicaciones de la tienda webOS de LG y en más del 25 % de las aplicaciones de la tienda Tizen de Samsung, que convierten discretamente el televisor en un nodo de salida por el que pasa el tráfico de internet de desconocidos, sin que su propietario lo sepa nunca. LG ha confirmado ya que suspenderá las aplicaciones que no cumplan. Samsung no ha dicho nada.

Qué es de verdad un «proxy residencial»

Un proxy residencial es una dirección IP que pertenece a una conexión a internet doméstica real y no a un centro de datos. La distinción importa comercialmente: el tráfico desde una IP residencial parece el de una persona normal navegando, lo que hace que a los sitios web les resulte mucho más difícil detectarlo y bloquearlo que el tráfico desde una IP de centro de datos que es claramente un servidor. Las redes de proxy residencial existen precisamente para vender esa legitimidad.

El modelo de negocio que descubrió Spur es sencillo. Un proveedor de proxies (Bright Data se señaló como el actor más grande en ambas plataformas) paga a los desarrolladores de aplicaciones para que incluyan un SDK en sus aplicaciones para smart TV. Una vez instalado, ese SDK convierte el televisor en un nodo de proxy. Después, el proveedor alquila el acceso a ese conjunto de direcciones IP domésticas reales a clientes de pago, que las usan para scraping web a gran escala, verificación de anuncios, bots de compra de zapatillas y, cada vez más, para recopilar datos con los que entrenar modelos de IA. El propietario del televisor no ve nada del dinero y no dio ningún consentimiento significativo; el desarrollador cobra por dispositivo.

Por qué precisamente el televisor

Los smart TV son casi el huésped ideal para esto. Casi siempre están encendidos y conectados. Ejecutan aplicaciones de una tienda cerrada que la mayoría de los propietarios nunca revisan. Los propietarios tratan de forma abrumadora el televisor como un electrodoméstico, no como un ordenador: nadie pone monitorización de endpoints en un televisor. Y a diferencia de un teléfono o un portátil, no hay ningún consumo evidente de batería, ruido del ventilador ni lentitud que avise de que hay procesos en segundo plano consumiendo su ancho de banda. Es un ordenador que nadie trata como tal, que es justo el perfil que busca una red de proxies encubierta.

La respuesta de LG y el hueco que deja

El vicepresidente sénior de LG John Taylor dijo a Krebs on Security que «a residential proxy network is not an intended use for LG smart TVs» («una red de proxy residencial no es un uso previsto de los smart TV de LG») y que LG está trabajando con los desarrolladores para eliminar la capacidad de proxy de las aplicaciones de webOS, y que las aplicaciones que no cumplan serán suspendidas. Es una solución real, para una plataforma.

No soluciona nada en la tienda Tizen de Samsung, donde la tasa de infección que midió Spur no estaba, de hecho, muy lejos de la de LG: más de una cuarta parte de las aplicaciones. En el momento de escribir esto, Samsung no ha publicado una declaración comparable ni un calendario de corrección. El mismo patrón de monetización, en la plataforma con mayor cuota del mercado mundial de televisores, sigue sin abordarse.

Qué significa esto para los equipos de seguridad

• Tu perímetro de red incluye dispositivos que no gestionas. Los smart TV, los reproductores de streaming y otros dispositivos IoT de consumo similares se conectan a las redes de invitados corporativas, las salas de descanso, las salas de reuniones y, cada vez más, a las redes domésticas de los empleados en remoto que llevan tráfico de VPN corporativa. Un SDK de proxy en ese televisor significa que el tráfico de terceros desconocidos comparte la misma puerta de enlace NAT que la sesión de trabajo de tu empleado.
• La revisión de las tiendas de aplicaciones no lo detectó a escala. Las dos tiendas aprobaron estas aplicaciones. La aprobación en la tienda del fabricante es un mínimo, no un control de seguridad: la misma lección que han enseñado una y otra vez las tiendas de aplicaciones móviles.
• Es un problema de cadena de suministro disfrazado de electrónica de consumo. Probablemente los desarrolladores no construyeron ellos mismos la infraestructura de proxy: integraron un SDK de monetización, igual que innumerables aplicaciones móviles integran SDK de publicidad, sin auditar necesariamente qué hace ese SDK con la conexión del usuario.
• «Es solo un televisor» ya no es una justificación válida para aceptar el riesgo. Cualquier dispositivo siempre encendido y conectado a internet en una red de la que eres responsable es un posible nodo de proxy, un posible punto de pivote y una posible fuente de tráfico atribuible a ti si alguien usa esa IP alquilada para algo ilegal.

El patrón más amplio

Esto es la economía del proxy residencial apareciendo en un sitio nuevo, no algo nuevo. El mismo mercado de fondo (pagar por el ancho de banda de los dispositivos de los propietarios para dar legitimidad al tráfico de scraping) ya había aparecido en aplicaciones de «VPN gratuita», extensiones de navegador y SDK de Android. Los smart TV son solo el huésped más reciente y menos vigilado. Cuenta con ver el mismo patrón en la próxima categoría de hardware de consumo siempre encendido: los routers, los altavoces inteligentes y los electrodomésticos conectados son objetivos estructuralmente idénticos.

Historia completa: krebsonsecurity.com: LG to Ban Residential Proxies from Smart TV Apps

¿Crees que tu equipo detectaría un riesgo de cadena de suministro escondido en hardware de consumo «inofensivo» de la red? Trabaja un caso real de SOC →