Caja Android TV pirateada: signos y verificación 2026

Más de dos millones de dispositivos de streaming fueron utilizados por cibercriminales para revender datos. Aprende a identificar y proteger tu Android TV tras la operación del FBI y Google en 2026.

Dos millones de dispositivos comprometidos: cajas de streaming, televisores conectados y otros artefactos del hogar, todos traicionando a sus propietarios al revender su conexión a cibercriminales. El FBI y Google desmantelaron esta red en julio de 2026.

Si adquiriste una caja de Android TV por treinta euros en Amazon, Temu o AliExpress, eres el blanco perfecto. Te diré qué ocurre detrás de escena, cómo detectar los signos de una máquina comprometida y por qué ese restablecimiento de fábrica que todos señalan muchas veces no resuelve nada.

📌 Lo esencial a recordar

Dos millones de cajas de streaming y televisores conectados revendían la conexión de sus propietarios a criminales. El FBI y Google cortaron la red NetNut el 2 de julio de 2026. Los dispositivos en la mira son casi siempre cajas de Android TV de menos de 50 euros, sin certificación Play Protect, con malware ya incrustado en el firmware. Identificar el problema toma apenas dos minutos, revisando la configuración de la Play Store. Y si el dispositivo no está certificado, un restablecimiento de fábrica no será suficiente: el problema yace por debajo del sistema.

¿Qué es un proxy residencial y por qué les interesa tu caja?

Un proxy es un intermediario que redirige el tráfico de otra persona. Si ese intermediario está en tu hogar, hablamos de un proxy residencial. Aquí es donde se torna atractivo para los criminales.

Los bancos o sitios de comercio electrónico pueden detectar fácilmente el tráfico que sale de un servidor de un centro de datos. Esas direcciones son registradas y bloqueadas. Pero una conexión desde una caja de internet en una casa francesa parece legítima. Transmite la impresión de un cliente normal, en un entorno común.

Esencialmente, tu caja oculta la procedencia del tráfico malicioso. Los investigadores han documentado su uso recurrente en: pruebas masivas de contraseñas robadas, explotación de datos filtrados, elusión de protecciones anti-bots. Tan solo en una semana de junio de 2026, se registraron 316 grupos maliciosos activos en esta infraestructura.

El problema no es solo técnico, sino legal. Es tu dirección IP la que aparece en los registros de conexión de los sitios atacados, no la del delincuente.

Lo que desmantelaron exactamente el FBI y Google

La operación se centró en NetNut, un servicio de proxies residenciales operado por la empresa israelí Alarum Technologies. El Google Threat Intelligence Group y el FBI anunciaron el 2 de julio de 2026 la incautación de cientos de dominios relacionados con esta red, conocida también como Popa. Las acciones de Alarum cayeron bruscamente, causando la suspensión de parte de sus operaciones.

Un detalle clave: NetNut se presentaba como una empresa legítima, no como una banda de piratas. Vender ancho de banda residencial es un mercado establecido, con precios claros. El núcleo del problema radica en cómo esos dos millones de dispositivos pasaron a formar parte de la red sin el consentimiento de sus propietarios.

El nombre que surge en todos los análisis es BadBox 2.0, una red de dispositivos zombi detectada en marzo de 2025 por investigadores de HUMAN Security, con un millón de dispositivos contabilizados. En julio de 2025, Google demandó a sus operadores, indicando más de diez millones de máquinas afectadas. Los analistas de Google han vinculado componentes de NetNut a BadBox 2.0.

El código malicioso está préinstallé dans le firmware, ese software interno que acompaña al dispositivo desde su salida de la fábrica. Lo enchufas y ya está trabajando para otro.

La otra forma de infección es más típica. Aplicaciones gratuitas que prometen rémunérer en échange de votre bande passante. Algunas cumplen la promesa, pero muchas revenden tu conexión sin que lo sepas, sin consentimiento explícito. En boîtiers Android de gama baja, estas aplicaciones suelen venir preinstaladas.

¿Qué dispositivos están afectados?

El perfil común es claro: un boîtier Android TV que se vende entre 20 y 50 euros, bajo marcas poco conocidas, adquiridos en mercados online. Modelos que frecuentemente aparecen en informes de investigadores de seguridad como T95, X96Q, MX10, TV BOX o SuperBox.

Estos dispositivos operan bajo Android Open Source Project, una versión sin las garantías de seguridad que Google exige a sus socios. Sin certificación, sin auditorías. La versión de Android instalada suele tener entre cinco y seis años.

Una señal de alerta: un boîtier que promete acceso gratuito e ilimitado a canales de pago, películas o deportes en vivo. Se venden con ese argumento y son el caldo de cultivo para infecciones. Queda claro, un fabricante que ofrece contenido pirata a treinta euros no se preocupa por lo que instala en su firmware.

En contraposición, un Chromecast, Apple TV, Nvidia Shield, boîtiers proporcionados por tu operador, o televisores de marcas reconocidas como Samsung, LG o Sony, no tienen ese tipo de compromisos desde el inicio.

Las señales que delatan un boîtier comprometido

Un dispositivo reclutado en una red de proxies actúa con sutileza. No hace ruido, no cifra tus archivos. Cuatro indicios que debes observar:

• El boîtier se calienta y consume en reposo. Dos horas sin usarlo, y sigue tibio con la luz parpadeando. Un dispositivo en espera no debería estar activo.
• Tráfico saliente por la noche. Nadie ve televisión a las tres de la mañana, pero el dispositivo sigue comunicándose con internet.
• Una tienda de aplicaciones desconocida instalada de origen, o aplicaciones sin ícono en la lista.
• Google Play Protect desactivado o inexistente en la configuración, aunque el boîtier se venda como Android TV.

La prueba más concluyente se realiza desde la interfaz de tu caja de internet. La mayoría de los operadoras muestran los dispositivos conectados y el volumen de datos. Desconecta todo menos el boîtier, déjalo en espera y revisa al día siguiente. Si no transmitió nada y aún así intercambió varios cientos de megabytes, hay preguntas que surgen.

Verificar la certificación Play Protect en dos minutos

El control más fiable está al alcance de todos. La certificación Play Protect indica que Google validó el dispositivo y su firmware. Los boîtiers comprometidos nunca la tienen.

1. Abre el Google Play Store en el boîtier.
2. Accede a Configuraciones (ícono de perfil, luego Configuraciones).
3. Despliega la sección Acerca de.
4. Busca la línea Certificación Play Protect.

Si la mención dice « El dispositivo no está certificado », tu boîtier nunca ha pasado los controles de Google. Esto no prueba que esté infectado, pero significa que no ha sido verificado.

Y si el Play Store no aparece en su dispositivo, la solución es clara.

La cuestión está resuelta.

Revise la fecha del parche de seguridad en Configuración, luego en Acerca de. Un dispositivo nuevo de 2026 con un parche de 2019 ha estado estancado, sin actualizaciones desde su nacimiento.

Por qué la reinicio de fábrica no es suficiente

Aquí va la decepción: la reinicio de fábrica restaura el dispositivo a su estado original. Pero si el malware se infiltra en el firmware, ya sea en la fábrica o en el camino, ese estado inicial es, justamente, el de la infección.

Borra cuentas, aplicaciones y configuraciones. Lo que permanece es la vulnerabilidad original. Y un antivirus en Android no puede hacer nada; actúa por encima, no por debajo del sistema.

La reinicio tiene sentido únicamente si la infección proviene de una aplicación instalada después, en un dispositivo que era seguro al principio. Si confías en una marca reconocida y aprobada por Play Protect, adelante. Para una referencia no certificada, ese consejo no aplica.

Y si su dispositivo ya ha servido de relé?

El daño ya está hecho, pero no es el fin del mundo. El tráfico que emite no está ligado a su nombre, sino a su dirección IP. Se traduce en síntomas claros: CAPTCHA en cada visita, pedidos que no se procesan, conexiones bloqueadas sin razón. Inconvenientes, sí, pero manejables.

Dos pasos son clave. Desconéctelo para detener el relé. Luego, cambie las contraseñas de las cuentas abiertas, empezando por Google y los servicios de streaming. No es efectivo reiniciar el router esperando cambiar la IP: en muchos casos, es fija. La reputación de su dirección se restablece automáticamente cuando cesa el tráfico malicioso. Si advierte un perjuicio real, como cuentas hackeadas o cobros inesperados, consulte el portal Cybermalveillance.gouv.fr para guiarse sobre los pasos y proveedores en su área.

Lo que haría en su lugar

Empiece verificando la certificación de Play Protect; no toma más de dos minutos. Si está certificado, actualícelo, active Play Protect y vigile su consumo de red unos días.

Si no lo está, la respuesta es dura: desenchúfelo y reemplácelo. Un dispositivo de treinta euros sin opción de limpiar el firmware es un riesgo. Si lo compró recientemente, pida un reembolso explicando la situación.

Como medida preventiva, aisle el dispositivo en la red Wi-Fi invitada. Seguirá retransmitiendo tráfico, pero no tendrá acceso a sus equipos, NAS ni impresoras. Es una solución temporal, no definitiva.

Recuerde para futuras compras: un dispositivo de streaming por treinta euros es un engaño; el verdadero beneficio llega de otra parte. Opte por 55 euros en un dispositivo certificado, como el Fire TV Stick 4K Select, listado a 54,99 euros en el catálogo francés, o alrededor de 80 euros para el Fire TV Stick 4K Max. Más aún para Google TV. Así sabrá quién se beneficia de su salón.

Preguntas frecuentes

¿Mi dispositivo Android TV está necesariamente infectado si no está certificado por Play Protect?

No. La falta de certificación indica que Google nunca verificó el dispositivo ni su firmware. Muchos dispositivos no certificados funcionan sin problemas. Sin embargo, los modelos comprometidos reportados por investigadores carecían de esa certificación: este es el primer filtro a considerar, no una prueba definitiva.

¿Cómo saber si mi caja relaja tráfico durante la noche?

Accede a la interfaz de administración de tu caja de internet. Ve a la sección que lista los dispositivos conectados y su consumo de datos. Desconecta todo menos la caja, déjala en reposo una noche y revisa el contador al amanecer. Si detectas varios cientos de megabytes intercambiados sin haber compartido nada, es una señal de alerta.

¿Estoy en riesgo de ser perseguido si mi dispositivo sirve de relé para criminales?

Es tu dirección IP la que aparece en los registros de los sitios atacados, lo que podría hacer que tu proveedor de internet te pida explicaciones o que ciertos servicios te bloqueen. Una sanción penal requiere intención, algo que no posees. Pero aclarar la situación lleva tiempo, y esa es una razón válida para desconectar.

¿Puede un antivirus instalado en la caja solucionar el problema?

No funcionará si el código malicioso está en el firmware. Un antivirus opera por encima del sistema, incapaz de detectar lo que ocurre en niveles más profundos. En el mejor de los casos, identificará aplicaciones dudosas instaladas después, nunca un relé que venga de fábrica.

¿Los televisores conectados de las grandes marcas están afectados?

Los modelos de Samsung, LG, Sony, Philips y TCL, vendidos en el circuito tradicional, cumplen con las certificaciones de su plataforma y reciben actualizaciones. El riesgo que mencionamos aquí se dirige a dispositivos que usan Android Open Source Project, vendidos sin marca reconocible en mercados online.

¿Puedo obtener un reembolso por una caja entregada con software malicioso preinstalado?

Puedes invocar la garantía legal de conformidad: dos años para productos nuevos en Francia, lo que compromete al vendedor, no al fabricante. En un mercado, la reclamación se gestiona a través del servicio de garantías de la plataforma. Adjunta una captura de la mención "El dispositivo no está certificado" a tu solicitud.

Si deseas encontrar artículos similares a Caja Android TV pirateada: signos y verificación 2026, te sugerimos revisar la categoría Seguridad.