【セキュリティ注意喚起】出荷時からバックドア入りのAndroid TVボックス130万台超――Googleと警察庁がボットネット「XCPE」を無力化

Googleの脅威インテリジェンスグループ（GTIG）は11月2日、警察庁や民間セキュリティ企業5社と連携し、10月下旬にボットネット「XCPE」を無力化したと発表した。XCPEは200以上の国と地域で130万台を超えるAndroid機器を支配下に置いており、その大半はAndroid TVのセットトップボックスだった。Googleは、中国・深圳の機器メーカーVideostrong Technologyが出荷時のファームウェアにバックドアを意図的に組み込み、機器へのアクセス権を犯罪グループに販売していたと「高い確信」をもって評価している。

指令サーバーは停止されたが、バックドアは販売済みの機器に残ったままだ。事件の端緒は日本にある。福岡県警がネットバンキングの不正送金事件を捜査する中で、不正アクセス元をたどってこれらの機器に行き着いた。日本で暮らし、事業を営む人にとって、決して遠い国の話ではない。

事案の経緯

2025年9月、福岡県警はネットバンキング不正送金事件の捜査で不正アクセス元を追跡し、不正なアプリが混入された家庭用IoT機器を発見した。関東管区警察局サイバー特別捜査部が不正アプリを解析し、機器の製造・販売状況を調べてGoogleに情報提供した。報道によると、これらの機器は国内外の通販サイトや家電量販店で販売されていた。

10月下旬、Googleは米国での法的措置により、Videostrongがボットネットの制御とモジュール配信に使っていたドメインとサーバーを停止した。関連する十数系統のマルウェアの指令サーバーも止めた。解析と対処にはLumen、HUMAN Security、Plume、Synthient、TrendAIも参加した。Googleは、XCPE以外の経路で感染した少なくとも1,000万台の機器についても、犯罪者のアクセスを断てたと見ている。

GoogleはVideostrongとの取引を打ち切り、Googleのアプリやサービスを搭載したAndroid TV機器を製造するライセンスを取り消した。同社とその将来の関連会社に対し、認定Android機器の製造や、認定ベンダーへのソフトウェア提供も禁じた。TrendAIは2026年6月3日～10月1日に206機種、1,472,554台の感染機器を観測しており、感染が多いのはマレーシア、ブラジル、イラク、メキシコ、台湾だった。

時期	出来事
2026年11月4日	警察庁、関東管区警察局、福岡県警が発表
2026年11月2日（米国時間）	Googleが公表し、Videostrongを名指し
2026年10月下旬	Googleと協力組織が指令ドメインとサーバーを停止
2026年8月以降	運営者がシステムアプリを装う新しいドロッパーを導入
2026年3月以降	警察庁とGoogleが連携を開始
2025年9月	福岡県警が不正送金事件の捜査で不審な機器を発見
2024年後半	悪性モジュールがバックドア本体から分離される

技術分析：問題は一社にとどまらない

システム設計の観点から、エンジニアと企業が押さえておくべき点が五つある。

1. バックドアの3層構造

x.cpe（一部のファームウェアではcom.oemservice）は出荷前にファームウェアへ書き込まれ、システム権限で動作し、メーカーの鍵で署名されている。起動すると、シリアル番号、MACアドレス、機種、ファームウェアのバージョンを暗号化して登録サーバーへ送り、MQTTの接続情報を受け取ってから指令サーバーに常時接続する。モジュールを配信する前には、Google Playプロテクトのアプリ検証を無効化し、無断でインストールする。

2024年後半からは、悪性モジュールの実行を独立したローダーcom.abc.nexusが担い、2026年8月以降はシステムアプリを装う小型のドロッパーに置き換わった。運営者は、アプリの無断インストール、システム権限でのシェルコマンド実行、リアルタイムの画面取得、キー入力の注入、アカウント・機器情報の収集、内部ネットワークの偵察、リバースシェルの確立が可能だった。

XCPEの構成図：左は機器のファームウェア内の3層のコード（x.cpeバックドア、ローダーとドロッパー、収益化モジュール）、右は停止された登録サーバーとMQTT指令サーバー

赤い破線の枠が今回停止されたコントロールプレーンだ。左側の3層のコードは機器のファームウェアに残ったままである。

2. 認証が見るのは「スナップショット」、攻撃は実行時に起きる

BadBoxやVo1dなど、主に未認証の格安機器で見つかった過去の事例と違い、XCPEはGoogleの認証を通った機器で動いていた。バックドアは難読化でセキュリティテストをすり抜け、初回起動後に悪性コードを読み込む。

認証とは、ある時点のファームウェアを検査することだ。出荷後に遠隔で書き換えられる経路が残っていれば、静的な審査では止められない。Googleも今回、ファームウェアの完全性を確認する審査工程を加えた。機器やクライアントソフトを開発するチームは、「初回起動後のふるまい」を継続的な監視の対象に含めるべきだ。

3. コントロールプレーンは断たれたが、データプレーンは残る

すべての検体が同じMQTTブローカーにつながっていた。運営者にとっては集中管理の利便性だが、捜査側から見れば単一障害点であり、少数のドメインとサーバーを押さえるだけで130万台が一斉に「圏外」になる。

ただし断たれたのはコントロールプレーンだけだ。各機器のファームウェアにある、システム権限を持ち自己修復するコードは一行も変わっておらず、いまは「持ち主のいないバックドア」になっている。新たな制御経路が現れればリスクは再燃しうる。完全に取り除くには、クリーンなファームウェアへの書き換えか機器の交換しかない。

4. バックドアのプラットフォーム化

XCPEは「経路」と「収益化」を分けていた。メーカーが出荷台数と遠隔配信の仕組みを提供し、機器へのアクセス権を下流の犯罪グループに売る。買い手は住宅プロキシSDK（Linkfog、NetNut、Honeygain、Traffmonetizerなど）や広告詐欺モジュール、追加のバックドアを載せる。

帰属の手がかりは、運営側の詰めの甘さから見つかった。Synthientは公開ディレクトリでVideostrongの研究開発責任者の署名入りPDFを発見し、videostrong[.]cn は指令サーバーと同じIPアドレスに解決されていた。バックドアの署名には同社のメールアドレスが使われていた。Googleは、内部の一個人の不正や開発上のミスではないと判断している。

5. 住宅プロキシがIPベースの対策をすり抜ける理由

住宅プロキシを使うと、攻撃の通信が一般家庭の回線から出ていく。IPの評判や国外IPの遮断に頼る対策は効かなくなり、警察の追跡も難しくなる。TrendAIによると、6月3日～10月1日に380万を超える住宅IPが出口として使われた。

警察庁によると、2025年のネットバンキング不正送金4,747件のうち、少なくとも737件（被害額約13億9千万円）でこうした手口が使われた。2026年には、企業への不正アクセス十数件でも家庭用IoT機器が中継に使われていた。

企業・開発者が取るべき対策

最も重要なのは、IPアドレスを本人確認の根拠にしないことだ。

IPだけでリスク判定しない。 ログイン、送金、管理画面へのアクセスは、IPの評判や地域制限だけに頼らず、端末の紐付け、パスキー（FIDO2）、取引ごとの追加確認を組み合わせる。
レート制限はアカウントと端末の単位で。 IP単位の集計は、大量の「きれいな」住宅IPで薄められてしまう。
IoT機器を分離する。 オフィスや在宅勤務のネットワークにあるTVボックスやカメラは、専用のVLANやゲストネットワークに置き、社内ネットワークや管理ポートへのアクセスを禁じる。
ログを遡って確認する。 DNSやファイアウォールのログで下表の指標を検索する。ドメインはすでに押さえられているが、過去の記録から感染していた機器を洗い出せる。
調達時に確認する。 ODMやノーブランド機器は、ファームウェアの出所、署名、更新の仕組みを供給元に説明させる。「認証済み」は自社での確認の代わりにならない。

指標	種別	説明
`x.cpe`、`com.oemservice`	Androidパッケージ名	バックドア本体、システム権限
`com.abc.nexus`	Androidパッケージ名	ローダー（2024年後半～）
`com.android.system.ntp`	Androidパッケージ名	システムアプリを装うドロッパーの一例（2026年8月～）。署名と合わせて判断
`anyevonline[.]com` とサブドメイン	ドメイン	機器登録、設定配信、ファイル置き場
`mqtt.szbboys[.]com`、ポート3885～3887	ドメイン／ポート	MQTT指令サーバー

ドメインの [.] は誤クリック防止の表記。検索時はドットに戻すこと。

一般利用者向け：確認と対処

自宅にAndroid TVボックスがある場合は、次の順で確認してほしい。

ブランドと機種を確認する。 Videostrongは自社ブランドMECOOLを展開しつつ他社向けにも製造しているため、パッケージに社名が出ないことがある。Synthientは2025年末に購入したMECOOL KM9PRO Maxでバックドアの事前導入を確認した。
「Google認証」を過信しない。 今回問題になったのはまさに認証済み機器だ。11月2日時点で、Videostrongの公式サイトはなお製品を「Google認証」とうたっていた。
初期化では消えない可能性がある。 バックドアは /oem パーティションから自動で再導入される。完全に除去するにはクリーンなファームウェアへの書き換えが必要だ。ネットから切り離せば悪用は止まるが、感染そのものは消えない。
疑わしければまずネットから外す。 そのうえで購入元に修理か交換を相談する。クリーンなファームウェアが手に入らなければ、使用をやめる。
家庭のネットワークを固める。 TVボックスなどのIoT機器はルーターのゲストネットワークに置く。ネットバンキングや主要アカウントは多要素認証を有効にし、不審なログイン通知に注意する。

注記と参考資料

XCPEをVideostrongによるものとしたのはGoogle脅威インテリジェンスグループの評価であり、裁判所の判断ではない。本稿執筆時点で、Videostrongの公式な声明は確認できていない。警察庁の発表資料は「IoT機器」と記すのみで、XCPEやVideostrongの名前は挙げていない。情報は2026年11月7日時点のもの。