El aparato barato que trae el malware de fábrica (y convierte tu casa en cómplice)

Compras un TV box Android por 20 o 30 euros para ver series en la tele. Lo enchufas, funciona, y tan contento. Lo que no sabes es que quizá venía con un inquilino de regalo: malware instalado de fábrica, antes de llegar a tu casa. No es que te hayas bajado nada raro. Ya venía puesto. Y no es un caso aislado: hablamos de millones de aparatos repartidos por salones de todo el mundo.

Qué hace ese aparato a tus espaldas

Mientras tú ves tu serie, el cacharro monta en silencio un par de negocios que no te ha contado:

Lo que hace un TV box infectado mientras lo usas: alquila tu conexión como proxy para delincuentes, hace clic en anuncios para cometer fraude, y sirve de punto de entrada a tu red doméstica. — Tú ves la tele; el aparato, en segundo plano, trabaja para otros.

Alquila tu conexión a delincuentes (proxy residencial). El malware convierte tu router en un punto de paso: otras personas (estafadores, atacantes) hacen pasar su tráfico por tu casa. ¿El problema? Para el mundo, esas fechorías salen desde tu dirección IP, la de tu hogar.
Comete fraude publicitario. En segundo plano, "hace clic" en anuncios y carga páginas que nadie mira, para ordeñar dinero de la publicidad. Gasta tus datos y tu electricidad haciéndolo.
Se planta dentro de tu red. Ese aparato vive junto a tus móviles, tu ordenador, tu cámara. Un intruso permanente en la habitación de al lado.

Todo esto, sin una ventana, sin un aviso, sin que notes nada más que, quizá, que va un poco lento.

Lo más inquietante: viene de serie

Aquí está el detalle que lo cambia todo. Con casi todo el malware, la regla es "no te bajes cosas raras". Con estos aparatos eso no te salva, porque el bicho ya viene dentro del sistema cuando abres la caja. Lo han metido durante la fabricación o en algún punto de la cadena de suministro, y el aparato incluso trae de fábrica la capacidad de instalar más apps sin tu permiso.

¿Por qué pasa? Porque son dispositivos ultrabaratos y sin certificar: Android "pelado", sin las protecciones de seguridad de Google, fabricados recortando por todos lados… incluida la confianza. Y se venden con toda naturalidad en tiendas conocidas y grandes plataformas online, no en un mercado negro oscuro.

"Pero si yo solo veo pelis"

Da igual. El daño no va contra tus series, va contra ti de otras formas:

Tu IP, en malas compañías. Si desde tu conexión se cometen fraudes o ataques, quien mire de dónde vienen te apunta a ti. Explícale luego a quien corresponda que fue "la caja de la tele".
Tu red, expuesta. Un dispositivo comprometido dentro de casa es un pie en la puerta para curiosear el resto: tus otros aparatos, tu tráfico.
Pagas tú. Tu ancho de banda, tu luz y tu tranquilidad, financiando el negocio de otro.

Lo "gratis" o lo "baratísimo" casi siempre tiene un precio. Aquí, el precio es tu seguridad.

Cómo no picar (y qué hacer si ya picaste)

La buena noticia: evitarlo es sobre todo cuestión de dónde y qué compras.

Cómo protegerte de los TV box con malware: comprar dispositivos certificados y de marcas conocidas, desconfiar de precios imposibles, aislar los aparatos en una red de invitados, y desenchufar si sospechas. — Cuatro hábitos que te ahorran el disgusto. Ninguno cuesta dinero.

Compra dispositivos certificados y de marca conocida. Un Chromecast/Google TV, un Apple TV, un Fire TV o un Roku están certificados y reciben actualizaciones. Una caja sin marca de 15 euros, no.
Desconfía de lo imposible. Si un aparato promete "todo el fútbol y todas las plataformas gratis" o cuesta sospechosamente poco, el negocio real no eres tú como cliente: eres tú como producto.
Aísla los cacharros en una red de invitados. Que la tele, el TV box y los aparatos "inteligentes" vayan por una wifi separada, sin ver tus ordenadores ni tus móviles. Si uno cae, no se lleva a los demás.
Señales de alarma: consumo de datos raro estando "apagado", el aparato caliente o lento, conexiones a horas intempestivas.
Si sospechas, desenchúfalo. Con el malware metido en el firmware, un simple reinicio no siempre limpia nada. A veces lo más sensato con uno de estos aparatos es, sencillamente, dejar de usarlo.

El fondo del asunto

"Lo barato sale caro" aquí no es un refrán, es una descripción técnica. Cuando un aparato cuesta cuatro duros, alguien está recortando en algo que no ves, y muchas veces ese algo es tu seguridad. Un cacharro sin marca conectado en tu salón es un desconocido con una llave de tu casa: puede que solo te ponga la tele… o puede que, además, esté usando tu dirección para cosas que no querrías firmar.

No hace falta gastar mucho. Hace falta comprar con cabeza: menos aparatos, pero de quien puedas fiarte.