Google y un grupo de socios del sector desconectaron a finales de octubre los servidores de XCPE, una botnet de más de 1,3 millones de dispositivos Android, en su mayoría televisores y cajas de streaming. La compañía dice estar «muy segura» de que el fabricante Videostrong metió una puerta trasera en los aparatos a sabiendas y después vendió el acceso a delincuentes. No es una vulnerabilidad que apareció sola en un producto barato: es un modelo de negocio construido sobre la confianza de quien compra una caja certificada y la enchufa al salón.
El dato que peor encaja en la narrativa habitual de la seguridad doméstica es ese, el de la certificación. Los equipos afectados no eran reliquias sin marca compradas en un mercadillo. Eran dispositivos que pasaron por los controles de Google para llevar Android y sus servicios, y aun así operaron durante años dentro de una red criminal sin que el usuario notara nada.
Lo que la operación desmonta es una idea cómoda: que el riesgo vive en el software que instalas y no en el aparato que ya venía infectado. En este caso el daño no llegaba con una aplicación nueva. Venía de fábrica, con el sello puesto, y se activaba cada vez que el televisor se conectaba a internet.
Un fabricante que vendía la puerta
La investigación de Google Threat Intelligence describe una operación de años en la que los aparatos de Videostrong quedaban bajo control de terceros. La compañía afirma que la participación del fabricante no fue negligencia, sino una decisión: incrustar el acceso y monetizarlo con quien quisiera pagar por él.
Vender acceso a un parque de dispositivos conectados tiene una ventaja evidente para el comprador. No hace falta explotar nada ni esperar a que aparezca un fallo. El equipo ya está dentro de casa, encendido, con conexión permanente y con una vida útil que nadie audita. Es una puerta con llave maestra repartida de antemano.
Google ha vetado al fabricante y ha activado las defensas de su plataforma para detectar y neutralizar el programa malicioso. La parte incómoda es el tiempo transcurrido entre la primera infección y la respuesta, un margen que la compañía no ha detallado y que probablemente sea la pregunta más relevante de todo el caso.
Fraude y tráfico ajeno desde tu salón
El negocio tenía dos patas conocidas. La primera era el fraude publicitario, con los equipos generando impresiones y clics falsos a escala industrial. La segunda era más silenciosa y más valiosa: usar la conexión doméstica de cada propietario como salida para el tráfico de otros, un proxy residencial de un millón de puertas sin que nadie hubiera firmado nada.
Ese segundo uso explica por qué estas redes importan tanto. Una dirección IP doméstica tiene buena reputación, no está en listas negras y no levanta sospechas en un panel de control bancario. Alquilarla permite hacer desde fraudes con tarjeta hasta rastreos y ataques de relleno de credenciales con una capa extra de anonimato.
Para el dueño del televisor, el coste visible es el ancho de banda y la factura de la luz. El coste invisible es que su conexión aparece en investigaciones de terceros, y que cualquier actividad delictiva puede acabar apuntando a su router. Es la versión doméstica de prestar el coche sin saberlo a alguien que lo usa para atracar una tienda.
La certificación no es una garantía
Los controles de Google verifican que un aparato cumple requisitos técnicos y de seguridad en el momento de la homologación. Lo que no pueden garantizar es la intención del fabricante ni lo que ocurre después en una cadena de producción ajena. Ese hueco entre el sello y la fábrica es donde vive este tipo de fraude.
La respuesta razonable no es dejar de comprar televisiones inteligentes, sino cambiar la pregunta que se hace antes de comprar. Un aparato conectado sin actualizaciones regulares y sin un fabricante identificable no es un electrodoméstico, es un ordenador abandonado dentro de casa. Y los ordenadores abandonados son la materia prima preferida de cualquier botnet.
Hay una prueba sencilla que cualquier comprador puede hacer. Buscar en la web del fabricante la fecha del último firmware publicado y comprobar si existe una página de soporte con avisos de seguridad. Si no hay nada, el aparato no tiene mantenimiento y su vida útil real terminó el día que salió de la fábrica.
La comparación con el mundo del PC ayuda. Cualquiera aceptaría que un portátil sin parches durante cuatro años es un riesgo. Con una caja de streaming de 40 euros, la misma situación se percibe como normal. La diferencia está en la expectativa, no en la tecnología, y esa expectativa es exactamente lo que explotó XCPE.
El coste de limpiar un millón de aparatos
Desconectar los servidores de una botnet no limpia los aparatos. Google puede actualizar sus servicios de protección para detectar el programa y neutralizarlo, pero la parte del parque que ya no recibe soporte seguirá encendida en salones de medio mundo. Es la diferencia entre cerrar un negocio y reparar a sus clientes.
La actualización de firmware es el eslabón que casi nunca funciona en electrónica de consumo. Un televisor comprado en 2022 puede tener una versión de sistema que nadie volverá a tocar, y el usuario no tiene forma práctica de saberlo. En el mejor de los casos la aplicación de protección bloquea el componente malicioso, en el peor el aparato sigue funcionando como puerta.
La alternativa que queda es el reemplazo, y ahí aparece el problema medioambiental. Un parque de un millón de equipos que se sustituye cada cuatro años genera residuos electrónicos y un gasto que recae en quien menos culpa tiene. Ninguna de las partes del incidente asume ese coste, y por eso el ciclo se repite con cada fabricante que encuentra el mismo atajo.
Los operadores de red tienen aquí un papel poco discutido. Un aparato infectado genera tráfico que sale por su infraestructura, y detectar patrones anómalos en conexiones domésticas es técnicamente posible aunque comercialmente incómodo. Algunos países han empezado a avisar a sus clientes y ese modelo merece más atención de la que recibe.
El cementerio de cajas baratas
El negocio del hardware barato tiene un incentivo perverso: cuanto más corto el soporte, más barato el producto y más rápido el reemplazo. Ese ciclo deja millones de aparatos sin parches, con sistemas operativos congelados y con acceso a la red doméstica. Los atacantes no necesitan un zero-day para explotarlos, les basta con el abandono.
Google puede cerrar esta red concreta, vetar a un fabricante y limpiar parte del parque. Lo que no puede hacer solo es cambiar la economía del sector. Mientras las cajas se vendan como electrónica de consumo y no como infraestructura conectada, la próxima XCPE encontrará otro nombre, otro fabricante y otro país donde fabricar sin preguntas.
La pregunta que queda sobre la mesa tiene poco de técnica. Si un aparato certificado puede salir de fábrica con una puerta trasera vendida al mejor postor, ¿qué haría falta para que el usuario pudiera comprobar, de verdad, qué está haciendo su televisor con la conexión de su casa?
