テレビにつなぐ機器など130万台超を不正に操っていたボットネットを、米グーグルが先週、業界の提携先とともに解体した。同社の脅威分析部門が11月3日付の報告書で公表した。ボットネットは、不正ソフトに感染した多数の機器を遠隔操作する仕組みを指す。報告書は、中国の製造受託会社Videostrong Technologyが利益を得る目的で開発、配備、運用したと「高い確度」で判断したと記し、グーグルは同社との関係を断った。連携先の最初に挙げたのは日本の警察庁だ。
130万台超を解体、別の1000万台への接続も断つ
解体の対象は「XCPE」と呼ばれる裏口（バックドア）である。機器の持ち主に知られないまま外から操作するための不正な入り口で、報告書によると感染機器の大半はAndroid TVのセットトップボックスだった。テレビにつないで動画配信などを見るための小型の機器である。遠隔医療の機器、カラオケ機、デジタルサイネージ（電子看板）への感染も確認したという。
感染は世界に広がっており、報告書は分布に濃淡があると記すものの、本文に国別の台数は書いていない。
グーグルが取った措置は4つある。まず法的手段で、ボットネットの制御に使われたドメインとサーバーを停止させた。次に、この裏口を通じて読み込まれていた十数種類の不正ソフトについても、指令用のドメインを同じ手段で止めている。3つ目は、Videostrongと将来の子会社・関連会社に、認証済みのAndroid機器を製造・販売することと、認証機器を作る他社へソフトを供給することを禁じた措置である。4つ目に、Android TVの認証機器でファームウェア（機器を動かす基本ソフト）の完全性を確かめる方法を改めた。
不正ソフトを提供していた側はXCPE以外にも配布の経路を持っていた。このためグーグルは、指令用ドメインの停止によって、少なくとも1000万台の感染機器への接続も断たれると見積もっている。
Videostrongは同社サイトによると2011年の設立で、本社は中国・深圳にある。沿革には2017年の項に、グーグルと契約を結びAndroid TVのパートナーになったと記している。現在のサイトはAIロボットの受託製造を前面に出す一方、セットトップボックスとIPTV（通信回線を使うテレビ配信）の機器で14年の経験があると説明している。
グーグルの判断はあくまで同社の評価で、報告書に同社の反論は載っていない。本紙が11月5日に同社サイトの英語版の会社概要とニュース、中国語版のトップを確認した範囲では、この件への見解は見当たらなかった。
基本ソフトに組み込み、消しても再起動で戻る
報告書が特に問題視するのは、感染の経路である。XCPEは利用者が後から入れるアプリではなく、ファームウェアの領域に最初から入っていたという。システムの権限で動き、利用者が削除しても、再起動すると別の領域から自動で入り直す。さらにAndroidの安全機能Google Play Protectによるアプリの確認を無効にし、利用者の同意なしに別のファイルを読み込んで実行していた。
グーグルは機器メーカーに互換性と安全性の試験を課している。報告書によると、Videostrongは内容を読み取りにくくする加工を施し、機器の初回起動の後に不正なコードを読み込むことで、試験の隙を突いた。グーグルは審査の手順を改めたという。同社は「多数の機種とブランドに複数年にわたり組み込まれていた」とし、一部の内部犯行や開発上の手落ちではなかったとの見方を示した。
不正ソフトは検知を逃れるため形を変えてきた。報告書によると、遅くとも2024年末には3段階の構成に移っている。裏口が指令用のサーバーと通信し、別の読み込み役が実行を受け持ち、収益を生む部品を後から積み込む形である。2026年8月以降は、読み込み役を一斉に削除し、システムのアプリを装った名前の新しい配布用ソフトへ切り替える動きも確認された。
通信記録の分析では、機器の操作の多くは部品の導入や削除、設定に関するものだった。ただしグーグルは、運営者が機器の画面を取得する、キー入力を送り込む、アカウント情報や機器の情報を持ち出す、といった操作も観測したとしている。
裏口を犯罪者に貸し、家庭の回線が中継点に
グーグルによると、収益の源は裏口の貸し出しだった。Videostrongは犯罪者側の提携先に裏口の利用権を売り、提携先の不正ソフトを感染機器へ積み込んでいたという。積み込まれたのは主に3種類ある。画面に出さずに広告の閲覧を偽装する広告詐欺のソフト、機器を「レジデンシャルプロキシ」に変えるソフト、さらに別の不正ソフトを呼び込むソフトだ。1台に3種類のプロキシ用ソフトが同時に入っていた例もあった。
レジデンシャルプロキシは、一般家庭の回線を使って第三者の通信を中継する仕組みをいう。攻撃者がこれを経由すると、接続先のサーバーの記録には攻撃者ではなく、家庭の機器の住所にあたるIPアドレスが残る。海外からの接続を制限したサーバーにも、国内の機器を経由すれば入れる。
同種の問題は以前から指摘されてきた。米連邦捜査局（FBI）は2025年6月、「BADBOX 2.0」と呼ばれるボットネットについて注意喚起を出している。それによると2023年に確認された当初のBADBOXは、購入前に不正ソフトが入ったAndroid機器が中心で、2024年に妨害された後に後継が見つかり、感染は数百万台に及んでいた。
今回の報告書も、XCPEの機器で確認した不正ソフトの一部がBadBoxに関連すると記す。2024年末の構成変更については、BadBoxをめぐるグーグルの以前の措置への対応だった可能性があるという。総務省の提言によると、グーグルは2026年1月にも世界最大級のレジデンシャルプロキシ網を停止させる措置を発表している。
国内では不正送金の踏み台に
日本でも被害は表に出ている。警察庁によると、インターネットバンキングの不正送金では、次の件数と金額でレジデンシャルプロキシの使用が確認された。いずれも「少なくとも」の数である。
| 年 | 不正送金の被害件数 | うち使用を確認 | 被害額 | うち使用を確認 |
|---|---|---|---|---|
| 2024年 | 4,369件 | 1,918件 | 約86.9億円 | 約28.9億円 |
| 2025年 | 4,747件 | 737件 | 約104億円 | 約13.9億円 |
出典: 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」、同「警察庁の取組」（レジデンシャルプロキシ対策アライアンス第1回資料）
警察庁が2025年度中に報告を受けた事例の内訳では、機器自体に不正ソフトが仕込まれたものが52％を占めた。そのうち88％が動画ストリーミング機器だった。機器の入手元は、オンラインショップ、海外での購入、知人からの譲り受けなどだったという。警察庁などは、国内にレジデンシャルプロキシが少なくとも数万台以上存在すると推定している。
持ち主が疑われる例もある。警察庁の資料によると、証券口座への不正アクセス事案で、不正アクセス元のIPアドレスから回線の契約者を特定し、自宅を訪ねて捜査した。契約者は関与を否定した。調べると、小型の動画ストリーミング機器に入れた音楽視聴アプリがプロキシとして動いていた。これは機器に最初から入っていた例ではなくアプリの例で、警察の要請を受けて配信は停止された。
国内の対策の流れはレジデンシャルプロキシとは 家庭のIoT機器が犯罪の踏み台に 総務省がISPによる注意喚起を提言が詳しい。民間と組んで犯罪の基盤を止めた例にはフィッシングの闇市場「YAM Store」停止 日本狙う偽サイトの道具、警察庁・マイクロソフト連携がある。
今回の作戦で警察庁が何を担ったのかは分かっていない。報告書は警察庁やLumen、HUMAN Securityなど6者と「緊密に連携した」と記すだけである。本紙が11月5日に警察庁のトップページ、サイバー警察局のページ、レジデンシャルプロキシ対策のページを確認した範囲で、この件の発表は見つからなかった。国内の感染台数も、国内の個別の事案とXCPEとの関係も確認できていない。
機種の一覧は無く、買う段階での注意が中心
利用者にとって難しいのは、自分の機器が対象かどうかを確かめる手段が示されていない点だ。報告書の巻末には不正ソフトのパッケージ名やドメインの一覧があるものの、専門家向けの識別情報で、感染した機種やブランドの名前の一覧は載っていない。
グーグルが消費者に勧めるのは、セットトップボックスなどを信頼できるメーカーから買うことだ。認証パートナーの一覧はAndroidの公式サイトで案内している。あわせて、「使っていない通信帯域」の提供で報酬を払うとうたうアプリに警戒する、信頼できるアプリストアを使う、VPNやプロキシのアプリの権限を確かめる、Google Play Protectが有効かを確かめる、の各項目を挙げた。
警察庁と総務省、情報通信研究機構（NICT）が7月21日に公表した資料も、対策の内容は近い。「テレビに接続して無料で国内外の動画を視聴できます」などとうたう機器、本来は有料のサービスを無料で使えるとうたう製品、相場より安いなど不審な製品は、買わず、使わないよう求めている。機器のファームウェアを最新に保ち、メーカーのサポートが終わった機器は買い換えも検討するよう促している。
同じ7月21日には、警察庁と総務省を事務局とする「レジデンシャルプロキシ対策アライアンス」も設立された。9月7日の第1回会合の議事要旨には、製品名を特定できれば利用者が対策を取りやすいとの意見が残る。総務省が10月2日に公表した提言は、対策が難しい理由の一つに、機器の製造の供給網が多層的で、運営の主体がはっきりしない点を挙げていた。
グーグルも今回の解体を一時点の措置と位置づける。裏口の運営者、広告詐欺の集団、プロキシの提供者は互いにつながる供給網をなし、一部を止めても別の部品へ移るためだ。報告書は、機器のブランド、販売業者、通信事業者、通販サイトにも責任があるとし、小売と流通には製造受託会社へ独立した安全監査を求め、問題が判明した製造元の出品を速やかに取りやめるよう促した。