【衝撃】格安Android TVが犯罪の踏み台に？130万台を巻き込んだ「XCPEボットネット」の正体
テレビに接続するだけで動画配信を楽しめる格安Android TVボックス。ところが、その便利な端末が、知らないうちに世界規模のサイバー犯罪ネットワークに組み込まれていた。
2026年11月、Google Threat Intelligence Group（GTIG）は、日本の警察庁や複数のセキュリティ企業と連携し、130万台以上の端末を巻き込んだ「XCPEボットネット」の無効化を発表した。
今回の事件で驚くべきなのは、感染の入口がユーザーの不注意ではなかったことだ。
Googleの調査によれば、Android OEM/ODM企業のVideostrong Technology社が、マルウェア「x.cpe」（一部ではcom.oemservice）を製品のファームウェアに組み込んでいた。
コードは初回起動後にロードされ、Androidのシステム権限で動作する。ユーザーが削除しても、再起動時にOEM領域から再インストールされる仕組みだった。
つまり、怪しいアプリを入れなくても、購入した時点で危険な端末だった可能性がある。
Googleは同社が経済的利益を目的に意図的に開発・運用したと高い確信を持って評価。認定Android端末の製造・販売や、他の認定ベンダーへのソフトウェア提供を禁止した。
Videostrong社は感染端末へのアクセス権を犯罪グループに提供し、複数の方法で利益を得ていた。
代表的なのが、家庭のインターネット回線を第三者の通信中継に利用する「レジデンシャルプロキシ」だ。
犯罪者は一般家庭のIPアドレスを経由することで、自らの通信元を隠すことができる。
さらに、利用者に見えない広告表示・クリックを発生させるアドフラウドや、追加マルウェアの導入にも悪用されていた。
Googleの解析では、1台の端末に最大3種類のプロキシSDKが同居していた例も確認されている。
マルウェアはGoogle Playプロテクトのアプリ検証機能を無効化し、外部から追加プログラムを密かにインストールできる状態を作っていた。
さらに、解析を妨害する仕組みや、システム領域への自己インストールなど、検知と削除を困難にする技術も使われていた。
2026年8月以降には、Androidの正規システム機能に見せかけた新しいパッケージへの移行も確認されている。
単なるウイルス感染というより、端末そのものを遠隔管理する裏口が設置されていたわけだ。
Googleは、攻撃者が感染端末に対して画面キャプチャ、キー入力の注入、アカウント情報やシステムログの持ち出し、リバースシェルの確立などを実行した証拠も確認している。
また、端末に組み込まれた機能によって家庭内ネットワークの調査も行われていた。
ただし、これは家庭内のPCやNASまで実際に侵害されたことを意味するわけではない。それでも、テレビに接続した小さな端末が、家庭内ネットワークを調べる攻撃者の拠点になり得るのは深刻だ。
今回の遮断作戦では、130万台以上のXCPE感染端末だけでなく、関連する犯罪グループが利用していた複数のC2ドメインも無効化された。
Googleは、これによってXCPE以外の配信経路で感染していた端末も含め、少なくとも1,000万台以上へのアクセスが遮断されたと推定している。
ただし、これは新たに感染した台数でも、すべての端末が完全に駆除されたという意味でもない。
今回の事件が示したのは、怪しいサイトを開かない、怪しいアプリを入れないという従来の対策だけでは不十分だという現実だ。
特に格安のノーブランドAndroid端末には注意したい。
出所や製造元が不明な端末は避ける。
信頼できるメーカーの正規認定製品を選ぶ。
不審な帯域共有・プロキシアプリを利用しない。
疑わしい端末はネットワークから切り離し、メーカーや販売元に確認する。
なお、今回のようにファームウェアにバックドアが組み込まれた端末は、通常のアプリ削除や初期化だけでは安全を取り戻せない可能性がある。
今回のXCPE事件は、サイバーセキュリティの責任がユーザーだけでなく、製造元や流通経路にも及ぶことを突きつけた。
あなたのリビングにあるその格安スマート機器。便利だからという理由だけで、ネットワークへの接続を許していないだろうか。
感想
まだ感想はありません。最初の1件を書きましょう！