Hai pagato trenta dollari per una chiavetta per lo streaming che prometteva «tutto, senza abbonamento». Riproduce i film senza problemi. Ma secondo una ricerca riportata da Krebs on Security, una categoria di questi economici box Android TV svolge un secondo lavoro in background: fingere di essere un cellulare, navigare su siti web generati dall'IA e fare clic sugli annunci per frodare inserzionisti e commercianti online, il tutto usando la tua connessione Internet domestica e la tua elettricità.

Che cosa hanno effettivamente scoperto i ricercatori

Il ricercatore di sicurezza Pedro Falé, della società di sicurezza Bitsight, ha potuto dare uno sguardo raro all'interno di una di queste operazioni registrando un dominio scaduto che in precedenza era stato usato per coordinare lo schema. Quel dominio, ha riferito Krebs, aveva raccolto tutti i dettagli hardware e l'intero elenco delle app installate da decine di migliaia di chiavette per lo streaming, in particolare di un marchio popolare e ampiamente venduto chiamato H96, collegate a televisori in tutto il mondo. Una volta preso il controllo del dominio, Falé ha potuto vedere il traffico che continuava a raggiungerlo: dispositivi che si spacciavano per cellulari e facevano clic sugli annunci su siti web generati dall'IA, nell'ambito di una più ampia rete di frodi pubblicitarie.

Questo si aggiunge a qualcosa di cui i ricercatori di sicurezza mettono in guardia da anni a proposito dei box per lo streaming generici e senza marchio: molti di essi funzionano anche come «proxy residenziali», affittando segretamente a sconosciuti una parte della tua connessione Internet domestica, così che il traffico di altre persone, a volte legittimo e a volte no, sembri provenire dal tuo indirizzo. Il comportamento di clic sugli annunci documentato da Bitsight è una versione più specifica e più attiva dello stesso problema di fondo: il box non si limita a stare lì a riprodurre i tuoi programmi, ma lavora anche per qualcun altro, a tue spese e usando il tuo indirizzo IP.

Perché i box più economici sono i candidati più probabili

Non tutti i dispositivi per lo streaming fanno questo. Il modello che i ricercatori continuano a riscontrare è specifico di una categoria: box Android senza marchio o di marche sconosciute, solitamente venduti come «completamente precaricati», con tutte le app per lo streaming già installate, a un prezzo contenuto una tantum e senza abbonamento. È il modello di business a essere rivelatore. I produttori di hardware legittimi (Roku, Google, la linea ufficiale Fire TV di Amazon) guadagnano dal dispositivo, dal loro app store o da una quota sui servizi: non hanno bisogno di una seconda fonte di guadagno. Un box economico, che fa tutto gratis e deve comunque generare profitti viene, per definizione, pagato da qualcuno che non sei tu. Le frodi pubblicitarie e la rivendita della banda sono i due modi in cui i ricercatori hanno documentato che ciò avviene.

Questi dispositivi tendono inoltre a non avere la certificazione Play Protect di Google, a essere distribuiti senza aggiornamenti di sicurezza regolari e a fare affidamento su app caricate lateralmente da store APK non ufficiali invece che dal Play Store: esattamente il tipo di percorso di installazione che rende facile includere un modulo nascosto per le frodi o per fare da proxy insieme al lettore multimediale che volevi davvero.

Cinque controlli che puoi effettuare davvero

Per la maggior parte di questi controlli non ti servono strumenti speciali: ti basta accedere alla pagina di amministrazione del router e al menu delle impostazioni del box.

  • Controlla il nome del modello. Guarda il box stesso oppure la schermata delle impostazioni o delle informazioni per individuare il marchio. H96 è il modello indicato specificamente nella ricerca di Bitsight; se è quello che possiedi, considera il resto di questo elenco urgente, non facoltativo. I box Android dall'aspetto generico acquistati su marketplace come gli annunci di venditori terzi di Amazon, AliExpress o eBay con nomi di marchi che non riconosci meritano lo stesso livello di attenzione.
  • Controlla l'utilizzo dei dati per dispositivo nel pannello di amministrazione del router. La maggior parte dei router domestici (e tutti i sistemi mesh) mostra l'utilizzo dei dati suddiviso per dispositivo connesso. Una chiavetta per lo streaming dovrebbe mostrare un'attività di download intensa mentre stai guardando qualcosa attivamente, e quasi nulla per il resto del tempo. Un traffico di upload costante, o qualsiasi traffico quando il televisore è spento e non viene riprodotto nulla, merita un controllo.
  • Apri l'elenco delle app installate. Sui box Android TV di solito si trova in Impostazioni > App > Vedi tutte le app e mostra anche le app di sistema. Cerca tutto ciò che non riconosci e che non hai installato: nomi generici, icone vuote o app con autorizzazioni (come l'accesso alla rete) che non corrispondono a ciò che dichiarano di fare.
  • Ricorda come hai configurato il box inizialmente. Se è arrivato precaricato con un «app store» di terze parti invece che con il Google Play Store, oppure ti è stato detto di caricare lateralmente un APK da un link o da un codice QR nel manuale del box per far funzionare le app di streaming, si tratta dello stesso percorso di distribuzione descritto dalla ricerca per la diffusione dei moduli fraudolenti.
  • Fai attenzione ai segnali di attività quando non viene riprodotto nulla. Un box caldo al tatto, con una ventola in funzione o con le spie di attività che lampeggiano regolarmente quando lo schermo è spento e non è aperta alcuna app, sta facendo qualcosa. Potrebbe essere del tutto innocente (aggiornamenti in background), ma, insieme a uno qualsiasi degli elementi sopra indicati, è un motivo per esaminare la situazione più da vicino.

Se trovi qualcosa

Non limitarti a disinstallare un'app dall'aspetto sospetto. Il comportamento descritto dai ricercatori è spesso integrato nella telemetria e nel livello di sistema del dispositivo, non in una singola app che puoi rimuovere; quindi un ripristino delle impostazioni di fabbrica del box stesso potrebbe non eliminarlo, perché l'immagine di ripristino potrebbe essere lo stesso firmware compromesso con cui è stato distribuito. La soluzione affidabile è smettere di usare il dispositivo: staccalo dalla corrente, disconnettilo dal Wi-Fi (cambia la password del Wi-Fi se non sei sicuro di poterlo altrimenti forzare a disconnettersi) e sostituiscilo con hardware di un marchio affermato.

Che cosa comprare invece

Non devi spendere molto di più per evitare questa categoria di rischio: devi acquistare da un'azienda il cui modello di business non abbia bisogno di una seconda fonte di reddito nascosta. I dispositivi ufficiali Roku, Amazon Fire TV, Google TV/Chromecast e Apple TV offrono tutti una distribuzione standard tramite app store e una responsabilità del produttore che i box senza marchio «completamente precaricati» non offrono. Se un'offerta pubblicizza l'accesso gratuito a tutti i servizi di streaming a un prezzo contenuto una tantum e senza abbonamento, poniti la domanda ovvia a cui la ricerca continua a dare risposta: se non lo paghi con il denaro, con che cosa lo stai pagando?