Sicurezza

TV box da streaming: perché quello economico ti spia

Prometteva "contenuti illimitati per un pagamento unico". In realtà affittava la tua connessione e fingeva di essere il tuo smartphone.

Cosa ha scoperto l'indagine

I TV box Android generici — le chiavette o le scatolette da collegare alla TV che promettono film, serie e canali sportivi "gratis per sempre" con un solo pagamento — sono da anni sotto osservazione per un motivo noto: molti rivendono di nascosto la connessione Internet di chi li usa a sconosciuti, trasformando la rete di casa in un nodo di una rete proxy. Un'indagine recente del ricercatore Pedro Falé, della società di sicurezza Bitsight, ha aggiunto un tassello inquietante registrando un dominio scaduto che un tempo veniva usato per raccogliere telemetria da decine di migliaia di dispositivi di un marchio molto diffuso, l'H96.

Analizzando il traffico che arrivava a quel dominio, Falé ha notato qualcosa di assurdo: quasi tutti i TV box si dichiaravano smartphone, con marche come Samsung, Vivo, Huawei e Xiaomi. Ogni dispositivo aveva installate le stesse due app, sviluppate da un'azienda cinese, la Zhejiang Fengwo IoT Technology, che gestisce anche una rete di siti web con articoli generati da IA in settori come finanza, salute, istruzione, gaming e cucina. Il trucco: quei siti mostrano pubblicità solo quando il visitatore sembra un telefono — cioè solo quando è uno dei TV box "travestiti" a visitarli.

Come funziona la truffa pubblicitaria

Il meccanismo è un classico ad fraud (frode pubblicitaria) su scala industriale, reso accessibile anche a operatori senza competenze tecniche: gli addetti dell'azienda costruiscono le routine di frode trascinando blocchi visuali in un editor basato su Blockly — lo stesso linguaggio a blocchi nato per insegnare programmazione ai bambini — senza dover capire cosa fa il codice sottostante. Una volta salvata, la routine viene esportata in JavaScript e caricata su server cloud, pronta per essere eseguita su migliaia di TV box contemporaneamente. Ogni dispositivo, fingendosi un telefono che "naviga" su un sito di notizie, genera clic su annunci reali che fruttano soldi veri agli operatori della frode — soldi pagati dagli inserzionisti che pensano di raggiungere persone vere.

Per chi ha comprato il dispositivo, il danno non è solo etico: la connessione di casa viene usata per attività che potrebbero attirare l'attenzione del proprio provider o, in casi peggiori, delle autorità, dato che lo stesso traffico "rubato" può essere rivenduto anche per altri scopi. E poiché il dispositivo comunica costantemente con server remoti per ricevere comandi, chi lo possiede non ha alcun controllo su cosa gira davvero sulla propria rete.

Esempi pratici

Fonti: Read this before you buy that TV streaming stick su KrebsOnSecurity