スマートホーム読了 6 分

Android TVボックスにバックドア発覚、Googleが取引停止――130万台が感染

Shiritomo編集部 @shiritomoAI_jp 2026年11月5日更新

「カントリーリスク！」。
そのひと言とともに流れてきた投稿が、1万4000件を超えるいいねを集めました。
安いAndroid TVボックスを自宅のテレビにつないでいる人なら、他人事では済まない話です。
中国メーカーが自社製品に仕込んだ”裏口”が、知らないうちに犯罪組織へ売り渡されていたことが分かりました。

この記事では、何が起きたのか、自分の端末は大丈夫なのかを一次情報にもとづいて整理します。

先に結論をまとめると：
– Android TVボックスの製造元Videostrong Technologyが、工場出荷時点でバックドア「XCPE」を仕込み、犯罪グループにアクセス権を販売していた
– 対象は130万台以上、200以上の国・地域に広がっていた
– Googleは同社を永久追放し、指令サーバーを遮断。
被害が及ぶ可能性のあった端末はさらに1,000万台規模とみられる

何が起きたのか

Googleの脅威分析チームは現地時間11月2日（月）、公式ブログで一連の調査結果を公表しました。
対象はAndroid TVの認定を受けていたボックス型ストリーミング端末で、MECOOLブランドなどを展開する中国メーカー「Videostrong Technology」が製造していたものです。

Googleによれば、Videostrongは自社製品のファームウェアに「XCPE（x.cpe）」と呼ばれるバックドアを意図的に組み込み、犯罪グループに端末へのアクセス権を販売していました。
買った人の自宅のインターネット回線が、広告詐欺や「レジデンシャルプロキシ」（一般家庭の回線を経由させ、発信元を隠すための中継地点）として、知らないうちに悪用されていたのです。
この経緯は日本のXでも広く拡散しました。

カントリーリスク！

中国メーカー、出荷前のAndroid端末に犯罪用のバックドアを設置か　Googleが取引停止

カントリーリスク！

中国メーカー、出荷前のAndroid端末に犯罪用のバックドアを設置か　Googleが取引停止 https://t.co/9tPsA5VOpw
— 竹田恒泰 (@takenoma) 2026年11月4日

ただ、ここで気になるのは「対象はどこまでか」「自分の端末は無関係なのか」という点です。
そこで一次情報を確かめてみました。

調べて分かったこと

感染規模はどれくらいなのか？

英The Registerなど複数の海外メディアの報道によると、バックドアが確認された端末は130万台以上、200以上の国・地域に広がっていました。
Googleはこれに加え、指令サーバー（C2ドメイン）を遮断したことで、最大1,000万台規模の端末への不正アクセスを防げたとみています。
この数字は、以前から知られていた別のボットネット「BadBox 2.0」と同じ生態系に連なるものとされ、今回の発覚はその延長線上にある調査の成果だと報じられています。

なぜメーカー自身が仕掛けたのか？

今回の特徴は、ハッキングによる後付けの侵入ではなく、製造元が最初からファームウェアに組み込んでいた点です。
Googleは「金銭目的で意図的に開発・運用された」と評価しており、Videostrongは端末へのアクセス権そのものを犯罪グループに売る側に回っていたことになります。
発表を知った人の間では、公式プレスリリースの内容そのものに驚く投稿も見られました。

よくわかんねえニュース出て来たなと思ってGoogle側を見に行ったらプレスリリース出てた。

機器メーカーが犯罪組織の手先となってレジデンシャルプロキシ込みの製品を販売してたってお前、お前ら…

よくわかんねえニュース出て来たなと思ってGoogle側を見に行ったらプレスリリース出てた。

機器メーカーが犯罪組織の手先となってレジデンシャルプロキシ込みの製品を販売してたってお前、お前ら…https://t.co/7Ig52GUyOk https://t.co/xHEn5eNKlv
— ktgohan (@ktgohan) 2026年11月4日

日本の警察庁はどう関わったのか？

The Registerの報道では、Google・Lumen・Human Security・Plume・Synthient・TrendAIといった複数のセキュリティ企業に加え、日本の警察庁も今回の対応に名前を連ねています。
国境をまたぐボットネットの摘発は一国だけでは完結しないため、各国の捜査機関と民間企業が連携する体制が取られたようです。
1,000件を超えるいいねを集めたmikamiyohさんの投稿も、この構図を端的に言い表していました。

メーカー自身がバックドアを仕込み、犯罪集団に”販売”　乗っ取られたTV用端末130万台超、Googleが遮断　日本の警察庁も参加

メーカー自身がバックドアを仕込み、犯罪集団に“販売”　乗っ取られたTV用端末130万台超、Googleが遮断　日本の警察庁も参加

https://t.co/8CrbHeokjK
— 三上洋 (@mikamiyoh) 2026年11月4日

自分の端末は対象になるのか？

公式発表の範囲では、対象はVideostrongが製造し、Google純正アプリをプリロードしていた認定Android TV端末です。
Googleは同社とその関連会社について、今後Android認定デバイスを販売すること自体を禁止しました。
ただし、どのブランド名・型番までが実際に流通していたかは発表のたびに情報が更新されている状況で、現時点では「Videostrong製かどうか」までしか断定できません。
心当たりのある方は、購入時の販売ページやメーカー名を確認し、ファームウェアの出どころが不明な安価な端末は買い替えのタイミングで慎重に選ぶのが無難でしょう。

Shiritomo GADGET編集部の考察

安いAndroid TVボックスは、型番や製造元の表記があいまいなまま通販サイトに並んでいることが少なくありません。
今回の一件が改めて示したのは、スマート家電の安さの裏側にある「どこが作って、どこが検証したか分からない」というリスクです。

Googleは今回、ファームウェアの検証プロセス自体を見直すと説明しています。
つまり、認定ロゴがあるからといって安全性が保証されていたわけではなかった、ということでもあります。
読者の立場でできる現実的な対策は、極端に安い無名ブランドの通信機器を避けることと、ルーターの管理画面で見覚えのない通信先がないか時々確認する習慣を持つことです。
IoT機器は一度設置すると存在を忘れがちですが、今回のような事案は「買ったら終わり」ではないことを教えてくれます。