Un investigador descubrió que Bright Data utiliza un SDK en aplicaciones gratuitas para convertir dispositivos, incluidos smart TVs, en nodos de salida para el raspado de datos destinado a la industria de la IA. Esta práctica utiliza la conexión y el ancho de banda del hogar del usuario, a menudo superando los límites de consentimiento informados. El tráfico evade VPNs en iOS y se recomienda bloquear dominios específicos del SDK a nivel de router para evitarlo.




Un investigador ha aplicado ingeniería inversa al SDK de iOS que Bright Data integra en aplicaciones de consumo y ha documentado cómo convierte los dispositivos, incluidas las smart TV que siempre están encendidas, en nodos de salida que retransmiten tráfico de extracción de datos (web-scraping) para un negocio de datos que Bright Data comercializa agresivamente para la industria de la IA.

La empresa, sucesora de Luminati, opera lo que llama la red de proxies residenciales más grande del mundo, anunciada con más de 400 millones de IPs residenciales. Parte de ese suministro proviene de este SDK, distribuido dentro de aplicaciones gratuitas tras una pantalla de consentimiento y descrito como un grupo de más de 150 millones de IPs basadas en el consentimiento.

Los hallazgos, publicados el 5 de junio por Include Security y el investigador independiente Buchodi, son importantes porque la extracción de datos proviene de tu IP doméstica, no la del cliente. El riesgo inmediato no es una cuenta hackeada o datos robados; es que tu conexión doméstica y tu ancho de banda se utilicen como la infraestructura de extracción de alguien más.

Una televisión conectada es casi ideal para eso: generalmente está enchufada, con una conexión rápida, efectivamente sin límites de datos y sin supervisión.

La evidencia técnica más profunda proviene del SDK de iOS; el alcance de las smart TV se basa en el soporte de la plataforma de Bright Data, su lista pública de socios e informes anteriores. La investigación descubrió que el canal de pares que transporta los trabajos de extracción no tiene una autenticación real y, en iOS, su tráfico evade una VPN configurada.

Dentro del túnel de pares

Cuando abres la aplicación, el SDK contacta con uno de los servidores de Bright Data, que entrega sus instrucciones sin comprobar realmente quién pregunta. A partir de entonces, el servidor puede decirle a tu dispositivo que vaya a buscar páginas de otros sitios web, utilizando tu conexión a internet doméstica para hacerlo.

El investigador descubrió que el canal que transporta esos trabajos no tiene ninguno de los controles de seguridad habituales, y lo describió como más débil que los controles integrados en la mayoría de los malware.

En los iPhones, el investigador descubrió que este tráfico se desliza a través de una VPN y que gran parte de lo que hace la aplicación no aparece en las herramientas que los equipos de seguridad utilizan normalmente para monitorizar aplicaciones. El dispositivo también puede seguir retransmitiendo en segundo plano mientras alguien mira la pantalla o está en una llamada, siempre que la batería no esté baja.

La brecha del consentimiento

La pantalla de consentimiento no coincide con lo que el SDK permite en realidad. En una aplicación de Roku, Petflix, la pantalla decía que utilizaría el dispositivo y su conexión "ocasionalmente".

La configuración que carga el SDK permite hasta 200 GB de tráfico al mes. En algunos países, como Uzbekistán y Omán, los límites son mucho más altos y el dispositivo tiene permiso para seguir funcionando casi hasta que la batería se agote. El SDK también puede vincular tu teléfono y los ordenadores que ejecuten aplicaciones de la misma empresa, tratándolos como un único usuario.

Bright Data publica su lista de socios de aplicaciones en una página que cualquiera puede abrir, e incluye fabricantes de aplicaciones para smart TV como PlayWorks Digital, CloudTV y Longvision. El investigador aclara que estar en la lista solo indica que una empresa trabajó con Bright Data en algún momento, no que su aplicación incluya el SDK hoy en día. Cada una debería comprobarse por separado.

Un modelo antiguo impulsado por la demanda de la IA

Nada de esto es nuevo en su forma, solo en su escala. Bright Data es la sucesora de Luminati, el servicio de proxy de pago que surgió de Hola VPN. En 2015, se descubrió que Hola vendía el ancho de banda de sus usuarios gratuitos como nodos de salida a través de Luminati, a 20 dólares el gigabyte. El mismo modelo ahora funciona en la caja que siempre está encendida en tu salón.

Lo que ha cambiado es el comprador. Las defensas anti-bots de Cloudflare, DataDome y otros bloquean los extractores que provienen de IPs de centros de datos, por lo que los extractores de IA se enrutan a través de conexiones residenciales.

Krebs informó en octubre de 2025 que los proxies de botnets como Aisuru están impulsando la recolección de datos de IA a gran escala. Estas operaciones secuestran dispositivos de consumo; Bright Data afirma que sus nodos de salida aceptan a través de una pantalla de consentimiento. Ese consentimiento es la línea divisoria entre los dos, y si es significativo es la cuestión abierta.

Lowpass, sindicado por The Verge, sacó a la luz por primera vez el ángulo de las smart TV en febrero, y este es el análisis técnico. Google, Amazon y Roku han restringido desde entonces los SDK de proxy en segundo plano, y Bright Data abandonó esas plataformas, aunque todavía enumera Tizen de Samsung y webOS de LG.

Qué hacer

El tráfico es fácil de detectar y bloquear. En una red doméstica, el paso más sencillo es bloquear las direcciones web que el SDK utiliza para conectarse, con una herramienta a nivel de router como Pi-hole o NextDNS.

Las principales son proxyjs.brdtnet.com, proxyjs.luminatinet.com, proxyjs.bright-sdk.com, clientsdk.bright-sdk.com y clientsdk.brdtnet.com. Según la investigación, bloquear estas direcciones impide que el dispositivo actúe como repetidor sin afectar al servicio de pago de Bright Data, que funciona en direcciones separadas.

Las empresas que gestionan teléfonos del personal también pueden buscar aplicaciones que contengan el SDK. Un detalle: en una conexión móvil, el tráfico elude el Wi-Fi de la oficina, por lo que un bloqueo de red por sí solo no siempre lo detectará. Bright Data también podría cambiar la forma en que el SDK se conecta en el futuro, lo que significaría que cualquier lista de bloqueo necesite actualizarse.

Fuente:
THN