【記事まとめ】出荷時から「裏口」が仕込まれていた！Android TVボックス不正ソフト（XCPE）問題の全貌

どぉもっすぅぅぅKisaです！😊

今回はちょっと真面目で大切なセキュリティのお話、「Android TVボックスに製造段階から不正ソフト（x.cpe）が仕込まれていた問題」についてシェアしたいと思います。

実はこれ、もともとある視聴者さんから 「このTVボックス、x.cpe（Xcpe）って仕込まれてないですか？」 とコメントでご質問いただいたのがきっかけでした。

当時の私は「x.cpeって何だろう？🤔」とよく分からないまま、とりあえず手元の端末（DIGIBox D6 MAX）の中身をファイルマネージャーやコマンドで隅々まで調べてみて、「うん、そんな怪しいファイルは見当たらないな〜」という結果で一度終わっていたんです。

ところが今日、ネットニュースを眺めていたところ、たまたま「警察庁とGoogleが連携し、家庭用IoT機器（Android TV接続機器）に製造段階で不正ソフトが無断で組み込まれていた実態を解明した」という記事を見かけまして……！😳💦

「あ！視聴者さんが言っていた『x.cpe』って、まさにこのことだったのか！！」と、ここでようやく点と線がつながりました。

私自身も最初は正体が分からなかったので、もし同じように知らずにAndroid TVボックスを使っている方のために、少しでも参考になればと思い、今回このプログラムが「何が悪いのか」「放置するとどうなるのか」、そして「公表されている対象機種リスト」を詳しく調べた結果をまとめて記載しておきますね✍️

1. そもそも「x.cpe」って何が悪いの？（3つの悪質な仕組み）

今回の事件（通称：XCPEボットネット）がこれまでのウイルスと決定的に違うのは、「ユーザーが怪しいアプリを入れたから感染した」のではなく、「工場で製品が作られる段階（出荷前）から製造メーカー自身が裏口を仕込んでいた」という点です。

• ① 消しても初期化しても復活する「不死身のシステム権限」 中核となるバックドアプログラム（x.cpe または com.oemservice）は、通常のアプリ領域ではなく、OSの根幹であるファームウェア領域に強力なシステム権限付きで組み込まれています。そのため、設定画面から削除したり、工場出荷状態へ初期化（ファクトリーリセット）したりしても、再起動すると自動的に復活してしまいます。
• ② Googleの事前審査をすり抜ける巧妙な仕組み 製造元（中国のOEM/ODMメーカー・Videostrong社）は、Googleのセキュリティ検査を通過するためにプログラムを難読化して隠し、「購入者が家で初めて電源を入れた後」に初めて外部と通信を開始するように仕組んでいました。さらに感染後は、Google Play プロテクト（アプリ監視機能）を勝手に無効化してセキュリティの目を塞いでしまいます。
• ③ 役割分担された「3層構造」で犯罪ビジネス化 単に端末を壊すのではなく、外部の犯罪グループや業者に「踏み台ネットワーク」として貸し出して金銭を得るための高度な3層構造を持っていました。
  • 第1層（x.cpe / com.oemservice）： 端末の奥深くに潜伏し、外部の指令サーバーと通信する「裏口の受付係」
  • 第2層（com.abc.nexus）： セキュリティソフトの検知を回避しながら、指令通りに実行プログラムを展開する「運び屋（ローダー）」
  • 第3層（収益化モジュール）： 外部の業者が送り込む実働部隊。端末を犯罪の踏み台や広告詐欺マシンに変えてしまいます。

2. ネットにつなぎ続けると「どうなる」の？（具体的なリスク）

「テレビで動画を見るだけだから、個人情報なんて入ってないし大丈夫でしょ？」と思いがちですが、このマルウェアの本当の怖さは「お家のインターネット回線そのものが犯罪に悪用されること」にあります。

1. 自宅のネット回線が「サイバー攻撃・不正送金の踏み台」になる 感染したTVボックスは、世界中の犯罪者や業者に「一般家庭の正規のIPアドレス（中継地点）」として貸し出されます。実際に日本の警察庁の発表でも、こうしたIoT機器が踏み台にされたことで、2025年だけでもネットバンキングの不正送金が737件（被害額約14億円）確認されているそうです。もし警察が攻撃元のIPアドレスを追跡した場合、一番最初に捜査線上に浮かぶのは「自分の家の回線」になってしまいます💦
2. 知らないうちに「広告詐欺（アドフラウド）」に加担させられる 画面には映らない裏側で勝手に広告を再生・クリックし続け、広告主から不正に広告費をだまし取る行為に使われます。知らないうちに自宅の通信帯域や電気代が消費され、ネット回線が重くなる原因にもなります。
3. 同じWi-Fi内のPC・スマホへの侵入経路になる TVボックスが遠隔操作の拠点になることで、同じルーター（Wi-Fi）につながっているメインPCやスマートフォン、NASなどの家庭内ネットワークを覗かれたり、横から攻撃を仕掛けられたりするリスクが生じます。
4. アカウント乗っ取り・追加マルウェアの感染 指令次第で画面キャプチャを撮られたり、別のウイルスを勝手にインストールされたりするため、TVボックスに普段使いのGoogleアカウントでログインしている場合はアカウント乗っ取りの危険があります。

3. 観測された「対象機種（モデル名）全182機種リスト」

調査会社（Synthient）が公式GitHubで公開している、バックドア（x.cpe）の通信から観測された全182機種のデバイスモデル名をすべて掲載しておきます。 （※Android内部のシステムモデル名そのままの表記です。同じモデル名を使い回している別メーカー品もあるため、「リストに名前がある＝100%感染確定」ではありませんので、あくまでチェックの目安としてご覧ください！）

① MECOOL（ミークール）系モデル

MECOOL / KM1 / KM1_QM0202V / KM2 / KM2PLUS / KM2PLUSDELUXE / KM3 / KM6 / KM7 / KM7PLUS / KM7SE / KM7SE_GTV / KM8 / KM8-ATV-MF / KM9 / KM9PRO / KM9PRO_MAX / KM21 / KM22 / KM22_PRO / KM23 / KD1 / KD2 / KD3 / KD5 / KT1 / KT2 / KII_PRO / KIII_PRO / KA1 / KA2 / KS3

② 他社ブランド・海外キャリア・OEM供給モデル

LEAP-S1 / Steren_INTV_1000 / INTV-110 / INTV_1000 / INTV_ASIST / DREAMSTAR_A4 / DREAMSTAR_B_Series / Cruze_Tv_Hybrid / Cruzetv_Hybrid_3_tuner / skycom / BLUECOM_TV / TVCOM / ONSCREEN_Spark / PALFLIX / MEGA_PLUS_GOLD / MAXIMUS / MAXIMUS_5.0 / MAXIMUS_6.0 / SHOWBOX / ShowBox / MagicPlus / ZipSmart_Prime / ULTRA-LINK / Vala_Plus_4

③ 汎用TVボックス・スティック・SoC名系

M8S_PLUS / M8S_PLUS_DVB / M8S_PLUS_W / M8S_PRO_W / M8SPROW / TX3MINI / Q96MAX / MXV-4K / H616 / S905 / E900V22C / 4K_Android_TV_Box / 4K_Google_TV_Box / 4K_Google_TV_Stick / ext-4K Android TV Box / UHD_Google_TV_STB / TV_Game_box / TV_Stick / DongleTV1 / TBox_TV / MyBox / MI_Smart / mbox / Mbox_VFD / Mbox_Y4 / Mbox_Y4_T2 / MeGo1 / MEgo1_2K / MEgo1_4K / S12_PLUS_GOLD / S168 / S16_PLUS_GOLD / S16PlusGold / RT-X3 / RT-X3GB / RT-X3K / RT-X3S / RT-X3V / Nitro_X3

④ その他の型番・デジタルサイネージ・業務用ボード系

10P / 10S / 8S / 9088 / 9P / 9S / ABSL-216 / ABSL-432 / ABSL_432 / AHD9000 / APLAY4 / Aurora-1Gen / B11 / BC13 / BPTV30 / CBOX_3.0 / changshi / DS4000 / E10 / FAS_K2150 / GI_UNI2 / GLBox_HD500 / Gpon_Y4 / HC1 / HD801_4K / HD890_4K / huayan / I-905 / IK-R8-2 / Impala / IPx1 / IPx3 / iX-MACAN / K5 / K7 / KARAxKARA / kh3 / KH3 / KH6 / kh9 / Lite_3 / Lunn / M7.0 / MMC-B19 / NEK7 / NetUP_v.3.1. / NetUP_v.4.2. / NL5H00X / NXMY / OCBN / OTT-5000 / PDB-F2 / Prime_1.0 / PRO / PRO-C2 / PRO-M2 / PRO02 / Pulse / Pulse_Drop / q3-evo-1 / QX1 / RL02 / ross / RS02 / RW01 / SA01 / SS-BOX1 / STV-3000_Plus / STV-3000Plus / STVB2 / SWITRON-i12L / SXYJ / T10 / t7_an400 / TEH-500 / TEH-500_PLUS / Tesla / TK20_PRO / TV007 / TV008 / TW.ONE / TW.two / U10 / V1 / VBSL-217 / WR-370 / yitai

4. 現在の状況と、私たちが取れる対策（ファイルマネージャーでの確認方法）

2026年11月4日の発表時点で、警察庁とGoogleの連携により大元の指令サーバーは無力化され、製造元のVideostrong社もGoogle認定端末の製造資格を剥奪されています。 ただし、すでに市場に出回った端末のファームウェア内にはバックドアプログラム自体が残ったままです。

なお、私が検証したDIGIBox D6 MAXは上記の182機種リストには含まれておらず、実機のファイルマネージャーやシステム領域を直接確認しても不審なファイルは一切存在しないことを確認済みです🙆‍♂️✨

「自分のTVボックスも念のため調べておきたい！」という方は、パソコンを使わなくてもファイルマネージャーアプリ（X-plore File Manager や Cxファイルエクスプローラーなど）を使えば、テレビ画面から簡単にチェックできますよ🔍

📁 ファイルマネージャーを使った簡単チェック手順

1. ファイルマネージャーを開き、端末の「ルート（システム領域）」を表示する ※アプリの設定で「隠しファイルを表示」をオンにしておくと見落としにくくなります。
2. 以下のフォルダの中や、アプリ全体検索（虫眼鏡マーク）でファイル名を探す 主な確認場所：/oem、/system、/vendor、/bin などのフォルダ内
3. 以下のキーワード（ファイル名・パッケージ名）がヒットしないか確認する
   • x.cpe（または xcpe）
   • com.oemservice（または oemservice）
   • com.abc.nexus ※もしこれらに該当するファイルやフォルダが見つかった場合は、感染している可能性が高いです💦

あわせて、Androidの標準機能からも以下の2点を確認しておくとさらに安心です！

• ① システムアプリの一覧を確認する 「設定 → アプリ → すべてのアプリを表示 → システムアプリを表示」を開き、上記の x.cpe や com.oemservice が入っていないかチェックする。
• ② Google Play プロテクトが有効になっているか確認する Google Playストアを開き、右上のプロフィールアイコン →「Play プロテクト」が勝手にオフ（無効化）にされていないか確認する。
• ③ ルーターの「ゲストWi-Fi」に隔離＆メインアカウントを入れない メインPCやスマホと同じWi-Fiにはつながず、ルーターの「ゲストWi-Fi（ネットワーク分離機能）」を使って家庭内ネットワークと切り離し、大切なGoogleアカウントやパスワードは入力しないようにしましょう。

まとめ☘️

最初は視聴者さんのコメントから始まった調査でしたが、こうしてニュースとつながって改めてセキュリティの大切さを実感しました…！ コメントをくださった視聴者さん、気づくきっかけを本当にありがとうございました🙏✨

今回リストに挙がっている機種は、日本のAmazonなどでも普通に販売されているものが多いです。すべてが感染しているわけではないと思いますが、もし気になる方は一度チェックしてみてくださいね🔍

また、実際に「うちの端末で確認できたよ」「こんな状況だったよ」という方がいらっしゃいましたら、ぜひコメント欄で教えていただけると嬉しいです！

同じようなTVボックスをお使いの方の参考になれば幸いです。 それでは、また次の記事でお会いしましょう〜！👋😊