本記事にはプロモーション（アフィリエイトリンク）が含まれています。
GoogleがAndroid TVのセットトップボックスなど130万台以上に仕込まれていた「XCPE」というバックドアを止めたと発表しました。メーカー自身が出荷前の端末に不正なプログラムを組み込んでいたとされ、「家のテレビにつないでいる安い動画端末は大丈夫？」と気になった人も多いはずです。
先に結論です。ネット通販などで安く買った、メーカーのよく分からないAndroidのテレビ用ボックスを使っているなら、まずGoogle Playプロテクトの認定を受けた端末かどうかを確かめてください。分からない、または認定がない場合は、使うのをやめて家のネットから外し、大手メーカーの正規品に買い替えるのがいちばん確実です。手頃な価格で4K対応のものなら、AmazonのFire TV Stick 4K Selectがあります（記事の後半で紹介しています）。
Googleが発表した「XCPE」バックドアとは
Googleの脅威分析チーム（Google Threat Intelligence Group）は11月4日、公式ブログで次の内容を発表しました。
- 130万台以上のセットトップボックスをボットネット（遠隔操作される機器の集まり）に組み込んでいた「XCPE」というバックドアを、業界のパートナーと連携して無効化した
- バックドアは、AndroidのOEM／ODM企業であるVideostrong Technology社が、利益を得る目的で意図的に開発・運用していたと高い確信を持って評価している
- 関連する指令サーバー（C2）のドメインも止め、さらに1,000万台以上の感染端末へのアクセスを遮断できたと推測している
- Videostrong社とその子会社・関連会社による、認定Android端末の製造・販売や他社へのソフトウェア提供を永久に禁止した
INTERNET Watchの報道によると、この取り組みには日本の警察庁も協力しています。
感染した端末の大半はAndroid TVのセットトップボックスでした。ほかに、遠隔医療の端末やカラオケ機器、デジタルサイネージなど、Androidを使ったネット接続機器でも確認されています。
感染した端末で何が起きていたのか
Googleの説明では、乗っ取られた端末は主に次のことに使われていました。
- 見えないところで広告を表示したように見せかける広告不正
- 家のネット回線を、他人の通信の中継地点として使わせる「レジデンシャルプロキシ」
- 別の不正なプログラムの追加インストール
一部の端末では、画面のキャプチャやキー入力の取得、アカウント情報の持ち出しといった、より深刻な操作が行われた例も確認されています。
やっかいなのは、このバックドアが端末の基本ソフト（ファームウェア）に最初から組み込まれていたことです。利用者がアンインストールしても、再起動すると自動で入り直す仕組みでした。セキュリティ機能のGoogle Playプロテクトを無効にする動きも確認されています。利用者が自分で取り除くのは難しいと考えたほうがよいでしょう。
家のストリーミング端末を確かめる3つのポイント
1. Google Playプロテクトの認定を受けているか
Google Playのヘルプでは、Playストアアプリでプロフィールアイコンをタップし、「設定」→「デバイス情報」と進むと、Playプロテクト認定済みかどうかを確認できると案内しています。テレビ用の端末では画面の構成が違う場合がありますが、同じように設定の中を探してみてください。
Googleは今回の発表で、ネットにつなぐ機器は信頼できるメーカーから買うこと、認定パートナーの一覧はAndroid TVの公式サイトで確認できることを呼びかけています。
2. 「有料のはずの番組が無料で見られる」とうたっていないか
警察庁・総務省などは2026年7月21日、家庭のネット機器が踏み台にされる「レジデンシャルプロキシ」について注意を呼びかけました。INTERNET Watchの報道によると、動画のストリーミング端末については、本来は有料のサービスを無料で使えるとうたう製品や、相場より極端に安い製品は買わない・使わないよう求めています。
心当たりがある端末は、メーカー名が書かれていなかったり、聞いたことのないブランドだったりすることが多いはずです。Googleの発表では、バックドア入りの基本ソフトが多数の機種やブランドで使われていたとされています。そのため、箱に書かれたブランド名だけでは安全かどうか判断できません。
3. アップデートが続いているか
警察庁・総務省などは機器のファームウェアを最新に保ち、サポートが終わった機器は買い替えることも呼びかけています。購入してから一度も更新が来ていない端末や、メーカーのサポートページが見つからない端末は、使い続けないほうが安心です。
あわせて、無料のVPNアプリや「使っていない通信量を共有して報酬がもらえる」といったアプリも使わないよう求められています。Googleも、こうしたアプリは端末を中継地点に変え、家のネットワークを危険にさらすおそれがあると注意しています。
怪しい端末が見つかったときの対処
認定が確認できない端末や、無料で有料番組が見られるとうたっていた端末は、次の順番で片付けると安心です。
- 電源を抜き、Wi-FiやLANケーブルから外す
- その端末でログインしていた動画サービスなどのアカウントがあれば、パスワードを変更する
- 大手メーカーの正規品に買い替える
バックドアは利用者の手では消せない仕組みだったため、初期化して使い続けるより、使うのをやめるほうが確実です。
買い替えるならどれを選ぶ？選び方のポイント
テレビにつないで動画を見る端末を選び直すときは、次の点を見ておくと失敗しにくくなります。
- Amazon、Apple、Googleなど、サポートとアップデートを続けているメーカーの製品を選ぶ
- メーカーの公式ストアや、メーカーが直接出品している商品ページなど、正規の販売ルートで買う
- Prime VideoやNetflix、YouTube、TVerなど、ふだん使うアプリが入るか確認する
- 4Kテレビなら4K対応モデル、フルHDのテレビなら下位モデルでも十分
安心して使えるストリーミング端末のおすすめ
Amazon Fire TV Stick 4K Select
商品ページによると、4K Ultra HDとHDR10+に対応した、Fire TV Stickシリーズの手頃な価格帯の4Kモデルです。まず1台を置き換えたい人に向いています。
Amazon Fire TV Stick 4K Max
Fire TV Stickシリーズの上位モデルです。商品ページによると、2.0GHzのクアッドコアプロセッサとWi-Fi 6Eに対応し、Dolby Vision、HDR10+、Dolby Atmosにも対応しています。ストレージは16GBで、アプリを多く入れたい人に向いています。Wi-Fi 6Eを使うには、対応するルーターが必要です。
4K Selectとの違いは主に処理性能と通信規格です。アプリの切り替えをきびきびさせたい人や、家族で長く使う予定の人はこちらを選ぶとよいでしょう。
Apple TV 4K（第4世代）
iPhoneやiPadを使っている家庭なら、AppleのApple TV 4Kも選択肢になります。商品名の表記によると、4KのドルビービジョンとHDR10+、ドルビーアトモスに対応し、付属のSiri Remoteは「探す」機能が使えます。価格はFire TV Stickより高めですが、Apple製品とまとめて使いたい人に向いています。
よくある疑問
Q. 自分の端末がVideostrong社の製品かどうかは分かりますか？
ブランド名だけでは判断できません。Googleの発表では、バックドア入りの基本ソフトが多数の機種やブランドで使われており、ホワイトラベル（別ブランド名での販売）を行う販売者にも責任があると指摘しています。Playプロテクトの認定やメーカーのサポート状況で判断するのが現実的です。
Q. Googleが止めたのなら、もう使い続けても大丈夫ですか？
安心はできません。Googleは今回の対処で大きな打撃を与えられたとしつつ、こうした不正な業者はすぐに新しい仕組みへ移っていくとも説明しています。2026年8月以降、検知を逃れるための新しいプログラムが配られていたことも確認されています。
Q. 大手メーカーの端末なら絶対に安全ですか？
絶対ということはありません。ただ、メーカーが分かりアップデートが続いている端末は、出どころの分からない端末に比べて安心して使えます。正規品でも、提供元の分からないアプリを入れない、アップデートを止めないといった基本は守りましょう。
まとめ
- Googleは11月4日、130万台以上のセットトップボックスを乗っ取っていた「XCPE」バックドアの無効化を発表した
- バックドアは端末の基本ソフトに組み込まれ、利用者が消しても再起動で入り直す仕組みだった
- 家の端末は「Playプロテクトの認定」「有料番組が無料とうたっていないか」「アップデートが続いているか」の3点で確かめる
- 怪しい端末は電源とネットから外し、大手メーカーの正規品に買い替えるのが確実
テレビにつなぐ小さな端末でも、家のネット回線につながっています。値段の安さだけで選ばず、作っているメーカーとアップデートの有無も見て選んでください。
コメント