Android TVボックス130万台にバックドア　自分の機種は確認できる？

Googleが11月3日（現地時間）、Android TVのセットトップボックス130万台超に、出荷の時点から遠隔で操作できる裏口が付いていたと発表した。付けたのは、その箱を作った会社そのものだという。別の経路で広がった分を足すと、少なくとも1000万台に影響が出たとしている。

で、うちのテレビの下にある箱はどうなのか。たぶん、そこがいちばん知りたい。

作った会社が、自分で裏口を付けていた

Googleによると、裏口を付けたのは中国・深圳のVideostrong Technology。ほかのブランドの名前で売られる端末を請け負って作るOEM/ODMだ。

仕込まれたソフトは「x.cpe」と呼ばれる。端末の初回起動のあとに不正なコードを読み込む作りで、Googleの検査をすり抜けていた。使う人が消しても、再起動で勝手に戻ってくる。Google Play プロテクトを止める機能も付いていた。遠隔から画面を撮る、キー入力を送る、アカウント情報やシステムの記録を外へ送る。そこまでできた。

いちばん多かった使い方は「住宅用プロキシ」だった。知らないうちに、だれかの通信が自分の家の回線から出ていく。広告詐欺や、別のマルウェアの配布にも使われていた。Googleは、遅くとも2024年の後半から続いていたとみている。日本の警察庁、米Lumen、HUMAN Security、Plume、Synthient、TrendAIと組み、10月の最終週に、指令を出すサーバーを止めた。

消す方法は二つしかない　自分の機種は確認できる？

Googleは強い言葉を使った。「端末メーカーが意図的に利用者をマルウェアに感染させることは、受け入れがたい信頼の裏切りであり、その利用者にとって重大なリスクだ」。さらに「Videostrongは、利用者の安全とプライバシーよりも、販売後に繰り返し得られる不正な収入を優先した」。処分として、認証されたAndroid端末を作ることと、ほかの認証メーカーにソフトを渡すことを禁じた。将来の子会社や関連会社も含むという。

ただ、宙に浮いた人たちがいる。箱の持ち主だ。

指令サーバーが止まっても、ソフトは端末の中に残る。Googleは、感染した端末からマルウェアは取り除かれていないとしている。消しても、端末内の領域から自動で入り直す。直し方は二つだけだ。きれいなファームウェアを入れ直すか、その箱をネットから外すか。

では、自分の機種が対象かは分かるのか。協力した調査会社Synthientが、今回見つかった200機種を超える型番の一覧をGitHubで公開している。MECOOLのKMシリーズや、Skyworth DigitalのGoogle TV向け機器などが並ぶ。ただ一覧には、型番だけでは感染を確かめるには足りない、と注意書きが付いている。実際に仕込まれた状態が確認できたのは、2025年後半に買われたMECOOLの「KM9PRO Max」だ。TrendAIの観測では147万2,554台・206機種で、広がったのは200を超える国と地域だった。

気になるのは、これらの箱がGoogleの認証を通っていたことだ。初回起動のあとに読み込む作りが、検査の穴を抜けた。Googleはそのあと、認証したAndroid TV端末のファームウェアの確認を厳しくし、メーカーの審査のやり方も変えたと書いている。一般の人向けの助言は三つ。認証パートナーの一覧に載るメーカーから買う、帯域を貸すとお金が入るというアプリに気をつける、Google Play プロテクトを有効にしておく。買う前の人には効く。もう買った人には、あまり効かない。

ネットの評判

はてなブックマークでは、ITmedia NEWSの記事に266人がブックマークを付け、65件のコメントが並んだ。多かったのは、ネットにつながる中国製の機器そのものへの不信だ。ロボット掃除機や防犯カメラは大丈夫なのか、スマート家電が家の中の音や間取りを外に出すのではないか、という心配が書かれていた。消しても再起動で戻ってくる作りに驚く声も目立った。一方で、問題はこの一社ではなく、仕組みの側にあるという見方も出ていた。

11月5日午前の時点で、Googleからの追加の発表はない。Videostrong側の反論も、確かめられなかった。止まったのは指令を出すサーバーで、箱の中のソフトは、今も持ち主の家に残っている。