A smart TV da sala é um nó na economia de scraping com IA

(blog.includesecurity.com)

3 pontos por GN⁺ 2026-06-07 | 2 comentários | Compartilhar no WhatsApp

O Bright Data SDK embutido em apps de consumo, com o consentimento do usuário, transforma o celular ou a smart TV em um nó de saída de proxy residencial e roteia o tráfego de web scraping dos clientes por IPs domésticos
Proxies residenciais são um meio de contorno para alcançar sites-alvo usando IPs de clientes residenciais pagantes, em um ambiente em que Cloudflare, DataDome e HUMAN limitam ou bloqueiam solicitações vindas de IPs de nuvem conhecidos
TVs conectadas não têm restrições de bateria, ficam sempre conectadas ao Wi‑Fi e operam em espera 24/7, oferecendo condições de proxy com maior persistência e capacidade de ficar sem supervisão do que celulares
O SDK para iOS recebe critérios de ociosidade, limites de banda e uma lista de parceiros a partir de um endpoint de configuração sem autenticação, e abre um túnel de pares via WebSocket para processar telemetria do estado do dispositivo e tarefas de scraping cmd_tun
A defesa se concentra em bloqueio de DNS de proxyjs.* e clientsdk.*, filtragem de SNI, detecção por impressão digital de certificados TLS e varredura de binários de apps via MDM; no iOS, use_netifs impõe uma limitação que contorna a visibilidade baseada em VPN

Visão geral

Independentemente da oposição em nível comunitário à construção de data centers para ampliar capacidades de IA, há uma estrutura em que dispositivos dentro de casa podem ser usados para coleta distribuída de dados para treinamento de IA
A Bright Data vende acesso a uma rede de proxies residenciais com mais de 400M de endereços IP domésticos, pelos quais clientes roteiam tráfego de web scraping, e a fonte de suprimento é um SDK embutido em apps de consumo
Esse SDK, com o consentimento do usuário, transforma celulares ou smart TVs em nós de saída; a análise examina como o SDK funciona, em quais plataformas é distribuído e por que TVs conectadas à internet são adequadas como proxies de web scraping para modelos de IA

Por que isso importa agora

Empresas de IA dependem de conteúdo obtido por web scraping para pré-treinamento, busca e RAG, grounding de agentes e recursos de pesquisa
A web moderna é um ambiente que não pode ser raspado facilmente a partir de data centers, e Cloudflare, DataDome, HUMAN limitam ou bloqueiam solicitações de IPs de nuvem conhecidos
A alternativa é um proxy residencial que alcança o site-alvo a partir do IP de um cliente residencial pagante, como uma conexão de assinante da Comcast ou da T-Mobile
Uma citação da reportagem de outubro de 2025 da Krebs diz que “o excesso de proxies do Aisuru e de outras fontes está alimentando esforços massivos de coleta de dados ligados a vários projetos de IA”
Medições acadêmicas, que remontam a 2019, concluíram que essas redes são usadas de forma abusiva de maneira esmagadora, e o FBI também emitiu um alerta oficial no início deste ano
A maior parte da cobertura anterior se concentrou no fornecimento ilegal de proxies residenciais, como botnets como Aisuru e Kimwolf, apps trojanizados como PROXYLIB e hardware IoT previamente infectado como IPIDEA
O lado da oferta legal recebeu bem menos escrutínio, e a Bright Data, que se apresenta em seu próprio marketing como a maior rede de proxies residenciais do mundo, anuncia “150M+ IPs” com base em um SDK com consentimento embutido em apps parceiros

Por que TVs conectadas são proxies ideais

Fator	Celular	Smart TV / CTV
Energia	Usa bateria na maior parte do dia	Sempre ligada à energia
Rede	Wi‑Fi + celular	Sempre no Wi‑Fi, alta velocidade
Tempo de atividade	Intermitente	24/7 em espera
Limite de banda	Baixo, com restrições móveis	Praticamente ilimitado
Atenção do usuário	Uso ativo	Frequentemente sem supervisão
UI de consentimento	Texto na tela do celular	Texto navegado com as setas do controle remoto da TV
Supervisão corporativa/familiar	Maior, com MDM, EDR móvel etc.	Praticamente inexistente

TVs não chegam a 1% de bateria, não mudam com frequência entre redes Wi‑Fi e não bloqueiam a tela enquanto o usuário dorme
Alguns publishers parceiros divulgam a relação com a Bright Data em suas políticas de privacidade, e a política de privacidade da PlayWorks é um exemplo
Divulgar isso na política de privacidade não é um ponto de controle adequado para TVs; é difícil rolar documentos legais com as setas do controle remoto, e as caixas de diálogo de consentimento no app não conseguem comunicar que clientes pagantes da Bright Data rotearão tráfego de scraping pela internet doméstica do usuário
A tela de opt-in do app Petflix para Roku, documentada pelo The Verge, usa a frase “para reduzir anúncios e aproveitar de graça, permita que a Bright Data use ocasionalmente os recursos ociosos e o endereço IP do seu dispositivo para baixar dados públicos da web na internet”
O diálogo do Petflix usa a palavra “ocasionalmente”, mas a configuração do SDK consultável publicamente mostra max_bw_monthly_wifi: 200,000,000,000, um orçamento padrão mensal de Wi‑Fi de 200 GB

Alvos nomeados pela Bright Data como parceiros

A Bright Data expõe um endpoint de manifesto de parceiros que qualquer pessoa pode consultar sem autenticação
Itens de identificação de alta confiança com base em fontes públicas

Partner ID	Entidade	Escala
`playworks_digital`	PlayWorks Digital Ltd	400+ títulos de jogos para CTV, alcance de cerca de 250M de lares com TV via Comcast, Sky, Cox, LG, Samsung, Vizio e Roku
`cloudtv`	CloudTV	Integrado em mais de 125 marcas de TV e mais de 15 OEMs
`longvision_media_hong_kong_co_limited`	Longvision Media HK (LongTV)	5M de usuários OTT em Hong Kong e na Malásia
`viber_media_s_r_l`	Viber Media S.à r.l. (Rakuten)	250M–820M de usuários mensais do mensageiro Viber
`supercent_inc`	Supercent	Maior publisher mobile da Coreia em downloads em 2023
`moonfrog_labs_private_limited`	Moonfrog Labs	Só o Teen Patti Gold tem cerca de 10M de MAU; empresa foi adquirida por US$ 90 milhões
`hola_networks`	Hola Networks	Empresa-mãe histórica da Bright Data; no pico, o marketing da Hola alegava uma base de usuários na faixa de dezenas de milhões até cerca de 100M+

desoline, free_time, ott_studio, global_microtrading, m_m_media, easystaff_lp aparecem no manifest, mas são itens difíceis de identificar em fontes públicas
bright_screensavers, bright_videos, brightdata são apps da própria Bright Data
O fato de haver nomes nas configurações da Bright Data sugere que pode ter havido integração em algum momento, mas não é evidência direta de que os apps atualmente distribuídos por um determinado publisher incluam o SDK em ambiente de produção
O que a lista de parceiros comprova diretamente é que a Bright Data distribui essa relação em um endpoint público sem autenticação e que pelo menos três empresas focadas em CTV, como PlayWorks, CloudTV e Longvision, monetizaram dispositivos de usuários como nós de saída de proxy residencial
Segundo os próprios materiais de marketing da PlayWorks, a empresa apresenta números de distribuição de CTV em grandes plataformas de TV e ISPs, com alcance de centenas de milhões de lares

Como o SDK da Bright Data transforma dispositivos de usuários em nós de saída de proxy residencial

O SDK da Bright Data é um produto comercial documentado publicamente, com documentação de integração do SDK para publishers e uma variante em JavaScript para web
A análise foi baseada em engenharia reversa de um framework iOS em distribuição e em 30 dias de instrumentação de tráfego em tempo de execução
O SDK é distribuído dentro de apps parceiros na forma do framework iOS brdsdk.framework
Configuração sem autenticação
- O SDK faz a seguinte requisição a cada execução
- GET https://clientsdk.bright-sdk.com/sdk_config_ios.json/…;
- O endpoint funciona sem autenticação significativa, e o servidor só verifica dois parâmetros de consulta: appid, que é o bundle ID do app, e ver, que é a string da versão do SDK
- Se forem fornecidos o bundle ID encontrado na listagem da App Store de um app parceiro, a string da versão do SDK e um UUID gerado arbitrariamente, ele retorna a mesma configuração que um dispositivo real recebe
- A resposta inclui flags de recurso, limiares de detecção de inatividade como nível de bateria, teto de CPU/memória e regras de Wi‑Fi/celular, classes de largura de banda por país e uma estrutura com o manifesto do parceiro
- Dentro da configuração existem regras de inatividade que qualificam o dispositivo para retransmitir tráfego, flags para rotear tráfego de pares ao redor de VPN, um map que conecta instalações entre plataformas a uma única identidade e limites de largura de banda por país
Túnel de pares
- Depois de buscar a configuração, o SDK abre um WebSocket persistente para o endereço abaixo
- wss://proxyjs.brdtnet.com:443
- No momento da escrita, esse nome de host resolve para os IPs do AWS Global Accelerator 3.33.193.183, 15.197.193.114
- O certificado TLS é CN=*.luminatinet.com, e Luminati Networks era o nome da empresa da Bright Data antes de 2018
- Mesmo após o rebranding de 2018, a infraestrutura ativa do SDK usa certificados legacy, e tráfego para luminatinet.com ou brdtnet.com não é um indício de uso de Bright Data pelo cliente, mas sim um indício de identificação do plano do túnel de pares
- Como o serviço de proxy voltado ao cliente hoje opera em domínios da marca brightdata.com, tráfego de rede para luminatinet.com e brdtnet.com corresponde ao plano do túnel de pares
- O servidor se identifica como uWebSockets: 20
- O endpoint de pares não exige autenticação no upgrade, aceita um upgrade WebSocket válido via TLS e então envia imediatamente um frame em camada de aplicação devolvendo o IP público do cliente
- Fluxo de handshake
- 1. servidor → cliente tunnel_init: cria a sessão e retorna o IP público do cliente
- 1. servidor → cliente cid_set: atribui um identificador de rastreamento de sessão no formato <IP>-<token>/ls<N>c<M>p443_<IP>_<counter>, confirmado como correspondente ao campo cid na telemetria de dispositivos reais
- 1. servidor → cliente status_get: consulta inatividade, bateria, tipo de rede e largura de banda disponível do dispositivo, e o dispositivo responde com telemetria contínua como idle, wifi_connected, mobile_connected, mobile_type, roaming, battery_level, using_battery, screen_on, on_call, cpu_usage, mem_usage, raw_bw, bw, ipv6_supported, appid, sdk_version, platform, cid
- 1. depois que o handshake termina, se o dispositivo reportar um estado favorável, a camada de matching de tarefas do servidor pode enviar frames cmd_tun, e o SDK os executa como requisições HTTP a sites de terceiros usando o IP residencial do usuário como origem
- Todos os frames do WebSocket são JSON puro com um envelope fixo
- {"type": "ipc_call"|"ipc_post"|"ipc_result"|"ipc_error","cmd": <command>, "cookie": <correlation-id>,"err_code": 0, "msg": { ...payload... }}
- Comandos extraídos do binário e confirmados em comunicações reais
- | direção | cmd | propósito |
- |---|---|---|
- | Server → Client | tunnel_init | abertura da sessão, echo do IP público |
- | Server → Client | cid_set | atribuição do identificador de sessão |
- | Server → Client | status_get | consulta de inatividade, bateria e largura de banda do dispositivo |
- | Server → Client | cmd_tun / tun | entrega de tarefa de scraping |
- | Server → Client | dns | solicitação de resolução DNS do alvo |
- | Server → Client | consent | solicitação do estado de consentimento |
- | Client → Server | status_send | heartbeat periódico do estado do dispositivo |
- | Client → Server | tun_report / tun_ack / tun_fin | respostas do ciclo de vida da tarefa de retransmissão |
- | Client → Server | tunnel_init_decline | recusa da sessão |
- | Client → Server | logs | envio de logs de diagnóstico ao servidor |
- Não há assinatura de mensagens, HMAC, certificado de cliente nem atestação do dispositivo, e os únicos fatores que separam os pares que recebem trabalho real são a camada TLS e os filtros de reputação de IP do servidor
- Para leitores familiarizados com design de protocolos de malware comercial, o nível de segurança é, na prática, inferior ao de um C2 típico
O que o SDK considera “inativo”
- A configuração especifica regras de estado do dispositivo que permitem retransmitir tráfego de outras pessoas
```
"idle_metrics": {
  "ignore_screen_on": true,
  "ignore_on_call": true,
  "max_bw_ratio": 1,
  "min_battery": 0.2,
  "wifi_on_battery": true,
  "min_battery_wifi": 0.2,
  "max_cpu_usage": 70,
  "max_mem_usage": 90,
  "mem_screen_off": true,
  "idle_timeout": 30,
  "not_idle_timeout": 10
}
```
- Por causa das flags ignore_screen_on e ignore_on_call, “inativo” não significa que o usuário esteja longe do dispositivo, mas sim que CPU, memória e bateria estão dentro dos limiares do SDK
- Mesmo se o usuário estiver em uma ligação ou lendo ativamente a tela, isso pode ser considerado estado inativo para fins de retransmissão
Vinculação de identidade entre plataformas
- A configuração contém o seguinte map dual_pairing
```
"dual_pairing": {
  "ios_com.brd.earnapp": ["win_earnapp.com", "mac_com.earnapp"]
}
```
- Esse map é uma estrutura de ligação do lado do servidor que agrupa instalações de iOS, Windows e macOS da mesma marca em uma única entidade
- O campo http3_enabled: true é uma flag para transporte de pares baseado em QUIC, e versões futuras podem mover o túnel de pares de TCP/443 para UDP/443
- Defensores que detectam WebSocket por rastreamento de conexões TCP podem ter seu método de detecção quebrado se houver migração para UDP/443
Evasão de inspeção
- A flag use_netifs: true na configuração do SDK é a condição que faz o código binário do SDK construir NWConnection com uma interface obrigatória específica, em vez da rota padrão do sistema
- As interfaces obrigatórias são en0 para Wi‑Fi ou pdp_ip0 para celular
- No iOS, esse método contorna completamente a interface tun0 de uma VPN configurada, e, mesmo que outro tráfego HTTPS do app passe pela VPN, o túnel de pares não passa pela VPN configurada pelo usuário
O ambiente de pesquisa com interceptação transparente de TLS capturou todas as chamadas HTTPS do SDK, mas não conseguiu capturar o túnel peer proxyjs.brdtnet.com:443, mesmo com a porta 443 explicitamente redirecionada ao interceptador
- O desvio usa a API documentada da Apple NWParameters.requiredInterface
- O SDK usa dois desvios independentes de inspeção
- Plano de controle: a obtenção de configuração e os pings de telemetria são baseados nas primitivas CFHTTPMessage do CFNetwork, e não em URLSession ou NSURLConnection, neutralizando instrumentação em nível de URLSession, swizzling, extensões de rede e subclasses de URLProtocol, comuns em ferramentas de segurança para apps móveis, ao mesmo tempo em que respeita proxies do sistema para manter visibilidade a pesquisadores de interceptação TLS
- Plano de dados: o túnel peer é baseado em NWConnection, com a interface física definida como interface obrigatória, desativando VPNs e garantindo que o scraping rode a partir de IPs residenciais
- Para equipes de segurança que usam MDM, inspeção de tráfego baseada em VPN corporativa e controles parentais em roteadores domésticos, o canal mais sensível foi projetado para contornar a camada de visibilidade

Camadas por país

As configurações incluem limites de largura de banda por país

País	Bateria mínima para relay	Limite diário	Limite mensal
Uzbekistan	1%	1GB	30GB
Oman	1%	1GB	30GB
Qatar	20%	40MB	250MB
UAE	20%	40MB	250MB
padrão, mundial	20%	50MB	500MB

Dispositivos de Uzbekistan e Oman podem fazer relay até 1% de bateria, com limite diário 20 vezes maior que o padrão e limite mensal 60 vezes maior
Dispositivos de Qatar e UAE são restringidos a limites mais baixos que o padrão
Não é possível confirmar por que as camadas por país foram configuradas dessa forma; só é possível especular
Mesmo a cota padrão global permite 500MB por mês de tráfego de outras pessoas pela internet residencial do usuário

Configuração de teste e metodologia

Durante 30 dias, foi feita captura por proxy de interceptação TLS em dispositivos iOS executando apps parceiros instalados com consentimento; um app de exemplo é o XYO COIN com Bright SDK embutido
Análise estática realizada sobre brdsdk.framework version 1.532.120, binário iOS arm64
Os nomes de host específicos da Bright Data, as impressões digitais de certificado e a infraestrutura TLS são observáveis publicamente por qualquer pessoa que faça as mesmas requisições
O documento não contém dados de identificação por sessão da frota de pesquisa nem dos clientes de pesquisa

Linha do tempo

Em 11 de maio de 2026, foi enviado um e-mail de aviso prévio de publicação para privacy@brightdata.com
Até o momento da publicação, não houve resposta a esse aviso

Abordagens de defesa

O tráfego deixa fingerprints claros no perímetro da rede, e o SDK é estruturado para deixar símbolos identificáveis no binário do app
Abordagem 1: bloqueio por DNS, uma forma simples e eficaz para dispositivos roteados pela rede
- proxyjs.brdtnet.com
- proxyjs.luminatinet.com
- proxyjs.bright-sdk.com
- clientsdk.bright-sdk.com
- clientsdk.brdtnet.com
Bloquear proxyjs.* interrompe os túneis de peer e não afeta clientes que usam legitimamente serviços de proxy da Bright Data para clientes em outros domínios
Abordagem 2: filtragem de TLS SNI, bloqueando ou alertando sobre handshakes TLS em que server_name corresponda a *.brdtnet.com, *.luminatinet.com, *.luminati.io
A filtragem por SNI funciona no perímetro da rede sem inspeção de TLS
Abordagem 3: detecção por impressão digital de certificado TLS, com bloqueio ou alerta com base nas seguintes impressões
- .brdtnet.com → SHA256 313ce4ec7d5a51e5…
- .luminatinet.com → SHA256 5028612e625befea…
As impressões digitais dos certificados permanecem estáveis até a troca dos certificados da Sectigo, e os certificados atuais são válidos até meados de 2026
Por causa das restrições relacionadas a use_netifs, as três camadas só funcionam quando o tráfego passa pelo perímetro da rede
Quando um dispositivo iOS usa rede celular, o binding use_netifs do SDK cria uma condição em que o tráfego de peer contorna completamente o Wi‑Fi corporativo
Um controle compensatório para frotas de dispositivos gerenciados é a varredura do binário do app via MDM, procurando os símbolos Swift BrdWebSocketFacade e BrdNetwork.DNSResolver nos apps instalados e proibindo em dispositivos corporativos os apps que contêm esses símbolos
Usuários domésticos preocupados com determinada smart TV ou app móvel podem bloquear os nomes de host acima nas configurações de DNS do roteador
Exemplos de ferramentas de bloqueio: Pi-hole, NextDNS, Cloudflare Gateway ou recurso equivalente do ISP

2 comentários

GN⁺ 2026-06-08

Comentários do Hacker News

Depois de buscar as configurações, o SDK abre um WebSocket permanente para wss://proxyjs.brdtnet.com:443, e esse nome de host é resolvido para um IP do AWS Global Accelerator
Há uma ironia no fato de que tanto os scrapers quanto os sites que estão sendo raspados provavelmente estejam hospedados na AWS, fingindo que não têm relação entre si enquanto travam um sofisticado jogo de gato e rato
- A Cloudflare também vende proteção contra DDoS para painéis de controle de DDoS
- A Bright Data também está listada como produto no AWS Marketplace
  https://aws.amazon.com/marketplace/seller-profile?id=bf9b432...
- Adicionei imediatamente à lista de bloqueio de DNS
- Isso é parecido com a forma como o governo dos EUA precisa de empresas comerciais que ele não regula de verdade, e faz com que essas empresas ofereçam violação de privacidade como se fosse uma ferramenta legal, permitindo ao governo lavar as mãos
Não conecto nenhum dispositivo inteligente ao Wi-Fi. Se não funciona sem conexão, então eu não quero
TV para mim é só um dispositivo de exibição; basta ter entrada HDMI
- Tenho uma smart TV que nunca se comunicou com a internet desde que saiu da caixa, mas parece um equilíbrio bem instável
  Tenho receio de que algum visitante veja o aviso na tela HDMI por alguns segundos — “Services unavailable, press [menu] to troubleshoot” — e, querendo ajudar, acabe conectando. Aí entrariam de uma vez 4 ou 5 anos de atualizações de firmware, seriam enviados aqueles dados de visualização de meio década que ela de algum jeito extraiu e guardou do sinal HDMI para este exato momento, e anúncios começariam a aparecer por toda parte
  Mesmo que isso não aconteça imediatamente, parece que existe alguma flag tipo makeEverythingWorse escondida nas profundezas do OS, pronta para ser ativada no femtossegundo em que The Beast farejar um número de patch um pouco maior. No fim, ela só acabaria estragada, tendo cumprido o único objetivo de contar para alguém da Samsung que o programa de que eu gosto é o HDMI2
  Já tive de impedir que a TV da minha mãe recuasse desse penhasco, então acho uma preocupação válida. A tela inicial vazia da TV e o ícone de torre de transmissão riscado ficam praticamente sussurrando: “nós também temos Disney+ e CraveTV... aperte [menu]... ignore o bilhete que seu filho deixou colado na mesa de centro”
- Tudo bem. Com tecnologias como Amazon Sidewalk e módulos 4G/5G baratos e leves, agora ninguém mais precisa pedir permissão para se conectar
  Você pode até usar aparelhos antigos, mas afinal você não quer ficar para trás, quer? As pessoas ao seu redor vão achar que você é pobre ou um C.H.U.D. se simplesmente não aceitar o jugo digital
- Entendo esse princípio em teoria, mas não sei bem como isso funciona na prática na vida moderna, quando você quer ver Netflix ou YouTube na TV
  Pode ser a TV ou uma caixa Android, mas no fim você sempre acaba confiando, em algum ponto, em um terceiro e em um software sobre o qual outros apps de terceiros podem rodar. A alternativa é um servidor local Jellyfin, mas para colocar o conteúdo que a família quer ver, há uma chance muito alta de você estar infringindo a lei
  Pessoalmente, eu preferiria não ter TV nenhuma em casa, mas convencer a família não é fácil ;-)
- Minha TV TCL exige que eu me conecte primeiro para ler as políticas do Google com as quais devo concordar. Se eu não conectar, na prática estarei concordando com uma política que não li
  Felizmente, sem conectividade, o alcance do dano causado por isso é praticamente nulo
- De forma frustrante, eu quero alguns recursos que só se obtêm ao conectar a TV à rede. Em especial, o recurso de controlar coisas como ligar a TV ou selecionar a entrada por uma API que a TV expõe
  Dá para administrar isso colocando-a em uma VLAN sem acesso à internet externa, mas o simples fato de ter que fazer isso já é realmente irritante
Em princípio, bloquear a TV na rede local é uma boa ideia. Mas um dispositivo Amazon Fire não criou por um tempo um caminho de volta para a base usando o Sidewalk?
Já bastaria o interfone Ring do vizinho estar com a configuração padrão
A configuração do SDK inclui a flag use_netifs: true, e essa flag faz com que, ao criar uma NWConnection no binário do SDK, ele especifique uma interface obrigatória, en0 (Wi-Fi) ou pdp_ip0 (celular), em vez da rota padrão do sistema
No iOS, isso ignora completamente a interface tun0 de uma VPN configurada. Mesmo que o restante do tráfego HTTPS do app passe pela VPN, o túnel peer não passa pela VPN configurada pelo usuário
Qual seria um caso de uso legítimo para essa API? Em que situação e por que um app deveria ter permissão para ignorar a VPN configurada pelo usuário?
- Um caso de uso legítimo seria se esse app fosse um aplicativo que fornece VPN ou um app feito para se comunicar com algo em uma rede local próxima, e não com um destino acessível globalmente
- Quando o tunelamento total para de funcionar temporariamente, o tunelamento dividido pode contornar problemas causados pela VPN
  Mas eu não acho que um app deva poder contornar algo como uma fronteira de rede
Pergunta ingênua: o que eu deveria pesquisar para aprender a detectar isso nos meus dispositivos — a maioria iOS — ou na minha rede doméstica?
Quero encontrar e remover apps com esse SDK ativo no meu aparelho
- Pode haver material melhor, mas se você também tiver um Mac, isso pareceu uma boa introdução à primeira vista
  https://www.thequantizer.com/tutorials/wireshark-iphone-traf...
  Faz um tempo que eu não faço esse tipo de rastreamento, mas pessoalmente achei o Wireshark bem fácil de usar, e quando a rede fica exposta há bastante referência online
  O fato de contornar a VPN foi especialmente horrível, e eu diria que tudo isso é horrível. Pessoalmente, eu gostaria que houvesse um limite para o quanto pode entrar em termos de serviço. Ninguém mais quer ler tanto texto assim
As medidas de mitigação propostas parecem fracas
Bloqueio de DNS e filtragem de SNI provavelmente fariam a Bright Data rotacionar endpoints se isso recebesse atenção suficiente. Todos os apps que incluem o SDK levariam um tempo para acompanhar, mas, se forem espertos, o SDK talvez já tenha conexões de comando e controle de backup para tentar quando não conseguir alcançar o endpoint atual por um longo período
Impressões digitais de TLS continuam sendo a forma mais barata de mudar isso o tempo todo, a menos que o SDK faça pinning
Soluções de MDM são praticamente inacessíveis para usuários individuais, e também não está claro quão estável é o nome do SDK para que se possa depender disso
Isso não quer dizer que exista uma abordagem melhor. Parece o tipo de comportamento que Apple e Google deveriam proibir explicitamente e encerrar imediatamente a conta do publicador
Meu firewall não deveria impedir o acesso ao mundo externo. Só deveria permitir o que é controlado pelo Home Assistant
- Muitas smart TVs vêm com anúncios embutidos. Comprei uma Sony Bravia usada e a deixei na calçada depois de três dias de irritação
  porque entrou em loop de boot e a latência da interface era de uns 3 segundos. Eu nunca a conectei à rede, mas, prestativamente, ela mostrava propagandas de filmes do estúdio Sony da época em que a TV foi fabricada, há cerca de 10 anos
Acabei de verificar e estou usando AdGuard na rede inteira. Na TV, 80% das requisições são bloqueadas, e na rede toda cerca de 50% são bloqueadas. É um nível insano
Se esse tipo de proxy não é ilegal, no mínimo deveria ser. Dizer que isso está no limite de contornar premissas básicas sobre roteamento da internet e locação e propriedade de endereços IP ainda é fraco perto do que a Bright Data conseguiu empacotar como produto vendável
Há a frase: “You allow Bright Data to occasionally use your device’s spare resources and IP address to download public web data from the internet”
A parte enganosa para o usuário final é “download public web data”. Se os dados são públicos, por que a Bright Data não pode baixá-los por conta própria? Presumivelmente porque o outro lado não quer. Esse produto faz o usuário ajudar a Bright Data a contornar características indesejadas do provedor de dados “públicos”, em nome de alguém que tem dinheiro, mas está em posição desfavorável na internet por um motivo legítimo
É totalmente lamentável, mas, sabendo que a direção era essa, sinceramente nem me surpreende e nem me preocupa tanto. As pessoas já votam com a carteira há muito tempo. Quem está sendo usado como proxy aqui não é o Joe the Hacker super consciente com privacidade, e sim nossos pais e milhões de outras pessoas, além de pais com filhos pequenos, que só querem entretenimento no fim do dia
A cada dia a teoria da internet sombria parece mais plausível e, sinceramente, acho que tudo bem se formos nessa direção. A internet vai colapsar em uma internetwork feudal em que qualquer roteamento exige uma chave a cada hop, e isso vai ser necessário para que pessoas reais — e, francamente, agentes também — mantenham algum nível da confiança que hoje está sendo ativamente contornada
- É totalmente legal, e essa lei sobre roteamento de IP e propriedade de endereços de que você falou não existe
Um dos problemas visíveis aqui é o mesmo de operar um nó de saída do Tor. Isso pode ser usado por usuários maliciosos para esconder a própria localização
Basta imaginar a situação em que o verdadeiro culpado é alguém usando sua TV como proxy para negociar material de abuso sexual infantil, e a polícia aparece na sua casa achando que é você quem está distribuindo aquilo
- Eu realmente odeio como tudo está ficando hostil ao usuário. Você precisa virar especialista em quase tudo e continuar acompanhando as notícias para ver se houve alguma mudança importante que derrube pressupostos antigos
  E, se deixar passar alguma coisa e reclamar, os defensores aparecem em massa para justificar, desviar o ponto ou tumultuar a conversa
  A única boa notícia, se é que há alguma, é que esse cansaço está chegando também às pessoas comuns. Um colega de trabalho reclamou que, para aplicar corretamente restrições e limites aos filhos, ele precisa virar um administrador completo de Wi‑Fi/internet
  Estou só desabafando. Ainda não sei muito bem qual seria a solução adequada aqui
- Grupos como a Bright Data têm procedimentos de KYC bastante bons. Depois de um grande susto com a visita da polícia, o verdadeiro autor vai para a cadeia

GN⁺ 2026-06-07

Comentários do Lobste.rs

Falando desse protocolo, talvez desse para criar um honeypot reverso que voluntariamente devolve dados lixo gerados aleatoriamente em todas as requisições, o que poderia virar um projeto divertido de vibe coding para alguém com tokens sobrando
- Nem parece necessário implementar o protocolo. Pelos logs, uma boa parte desses proxies residenciais falha completamente em se esconder, então dá para simplesmente despejar dados lixo neles com facilidade
  Nem precisa de vibe coding, e já existem dezenas de ferramentas capazes de fazer isso. Muitas delas já vêm fornecendo dados lixo infinitos para esses proxies há mais de um ano
Eu realmente não entendo por que conectar uma TV ou qualquer outro eletrodoméstico à internet. Não há um bom motivo para fazer isso
- As pessoas assistem a serviços de streaming na TV. Conectar a TV à internet é a forma mais fácil de fazer isso

A smart TV da sala é um nó na economia de scraping com IA

Visão geral

Por que isso importa agora

Por que TVs conectadas são proxies ideais

Alvos nomeados pela Bright Data como parceiros

Como o SDK da Bright Data transforma dispositivos de usuários em nós de saída de proxy residencial

Configuração sem autenticação

Túnel de pares

O que o SDK considera “inativo”

Vinculação de identidade entre plataformas

Evasão de inspeção

Camadas por país

Configuração de teste e metodologia

Linha do tempo

Abordagens de defesa

Leituras relacionadas

2 comentários

Comentários do Hacker News

Comentários do Lobste.rs